การตั้งค่า High Availability (HA) Active/Standby บน NGAF

บทความนี้อธิบายวิธีตั้งค่า High Availability (HA) Active/Standby บน Sangfor NGAF เพื่อให้มี Firewall สำรองที่พร้อม Failover อัตโนมัติ

สิ่งที่ต้องตรวจสอบก่อน

1. NGAF 2 ตัวต้องเป็น Model เดียวกัน และมี Interface เท่ากัน
2. NGAF 2 ตัวต้องเป็น Firmware Version เดียวกัน รวมถึง Patch
3. มี Physical Interface ว่าง บนทั้ง 2 ตัว สำหรับ HA Heartbeat (UTP หรือ Fiber) — ต้องเชื่อมต่อสายตรงระหว่าง 2 ตัว (ไม่ผ่าน Switch)
4. ต้องตั้งค่า OOBM Interface บนทั้ง 2 ตัว
5. Config บนตัว Standby ควรเหมือนกับตัว Active (สามารถ Import Config ได้)

ขั้นตอนที่ 1: ตั้งค่า HA Interface

ไปที่ Network > Interface > Physical Interface

• เลือก Interface สำหรับ HA แล้วตั้งเป็น Type: Layer 3
• ตัว Active กรอก IP เช่น 7.7.7.1/30-HA
• ตัว Standby กรอก IP เช่น 7.7.7.2/30-HA
• การเติม -HA จะทำให้ไม่ Sync IP ของ Interface นี้จากตัว Active

ขั้นตอนที่ 2: ตั้งค่า Basic Settings

ไปที่ System > High Availability > Basic Settings

• Local Device IP: เลือก HA Interface
• Peer Device IP: กรอก IP ของ NGAF อีกตัว
• ตั้งค่าบน NGAF อีกตัวให้สลับกัน แล้วกด Test ตรวจสอบ Connection

ขั้นตอนที่ 3: ตั้งค่า HA Policy

ไปที่ Tab HA Policy

• VRID: ตั้งค่าเป็น 100 บนทั้ง 2 ตัว
• Priority: Active = 100, Standby = 50
• Preemption: Active = Yes (Failback เมื่อ Interface กลับมา), Standby = No (Preemption Delay: 300 วินาที)
• Member Interface: เลือก Production Interface (WAN + LAN) ที่ต้องการ Monitor
• Link Monitoring: สามารถตั้ง Ping ไปยัง Target ภายนอกเพื่อตรวจสอบ Connectivity เพิ่มเติมได้

กรณีตั้ง Member Interface มากกว่า 1 ใน Group เดียวกัน — Interface ทั้งหมดต้อง Down ถึงจะ Failover

ต้องตั้งค่า Member Interface ให้เหมือนกันบน NGAF ทั้ง 2 ตัว

ขั้นตอนที่ 4: ตั้งค่า Sync Options

ไปที่ Tab Sync Options (ตั้งค่าบนทั้ง 2 ตัว)

1. กด Enable
2. เลือก Object ที่ต้องการ Sync
3. ตัว Active เลือก Role: Active Controller
4. ตัว Standby เลือก Role: Passive Controller

หมายเหตุ

• หาก Standby เสียบสาย Production ไม่ครบ จะขึ้น Status เป็น Fault แทน Standby
• Manual Sync > Sync Now จะ Push Config จากเครื่องที่กดไปอีกเครื่อง โดยไม่สน Active/Passive — ใช้ด้วยความระมัดระวัง
• ไม่ต้องทำ Aggregate Port ที่ Switch — เสียบ 2 เส้นเข้า NGAF ได้เลย เนื่องจาก VRRP จะตอบแค่ตัวเดียว
• สำหรับการตรวจสอบ HA Status ดูที่ ตรวจสอบการทำงาน HA ของ NGAF