Alta disponibilidad (HA): pfSense (CARP + pfsync)

Quin vive la realidad de mantener una infraestructura de TI con servicios importantes que deben (o al menos deberan) estar siempre operativos, sabe que la redundancia de los sistemas es de suma importancia. Este documento tiene por objeto demostrar el uso de esta redundancia presente en el sistema de firewall de cdigo abierto pfSense , que utiliza los recursos del CARP y pfsync , la funcionalidad de FreeBSD es la base de este servidor de seguridad. El funcionamiento de este grupo es failover HA (activo-pasivo), ante la falta de disponibilidad del nodo "maestro" el nodo "esclavo" asume el Cluster IPs y mantiene conexiones activas. La versin utilizada es 1.2.3-Release, que es la versin estable ahora.

Topologa utilizada

Hemos realizado una instalacin predeterminada de pfSense. Las mquinas, por recomendacin de la funcionalidad requiere una interfaz independiente para la sincronizacin de la tabla de estados. As que se quedaron con tres interfaces: LAN, WAN y Sync. La configuracin de alta disponibilidad men de inicio "Firewall" en la opcin de "IPs virtuales". Dentro de la pestaa "Ajustes CARP" se configura las opciones de pfsync y sincronizacin entre servidores de seguridad.

Configuracin del maestro

Continuando con la configuracin de nodo esclavo

CARP configuracin de nodo esclavo

Despus de este paso, toda la configuracin se realiza en el nodo maestro (reglas, NAT, ips virtuales, etc) y sincroniza automticamente con el nodo esclavo. Antes de la creacin del Cluster IPs virtuales, se cre una regla para la interfaz SYNC que permitiendo la libre comunicacin (Reglas de cortafuegos, ficha SYNC).

Continuando con la creacin de las direcciones IP virtuales para clsteres (Firewall, IPS virtual). El vhid debe ser nico para cada grupo de IPs virtuales.

Configuracin de clster IP LAN

Ips Cluster Virtual configurado.

Realiza estos ajustes, el modo de funcionamiento Manual modificado para salida NAT regla de generacin de NAT (Firewall, NAT, saliente), y poner la traduccin en el campo de la IP virtual WAN (10.1.1.15).

Terminado esto, Cluter alta disponibilidad ya est trabajando. Es posible visualizar el estado de funcionamiento del men Interfaces Virtual "Estado" en el "CARP (conmutacin por error)."

CARP maestro estatus

CARP condicin de esclavo

Por ltimo, he grabado un vdeo que demuestra la funcionalidad en tiempo real. Es posible percibir el momento del "punto de inflexin" donde el nodo esclavo asume la IP virtual, as como la continuidad de la descarga se realiza y grficos de trfico entre las mquinas.

http://altairum.blogspot.com.es/2011/03/alta-disponibilidade-ha-pfsense-carp.html