D-Link DFL-1100 [32/151] Пульс кластера

отправлять пакеты, направленные на совместный аппаратный адрес, за несколько

миллисекунд.

Следовательно, единственно реальная задержка при восстановлении после сбоя

обнаруживается, когда межсетевой экран больше не функционирует.

Описанные выше сообщения (запросы ARP) также периодически широковещательно

рассылаются, чтобы гарантировать, что коммутаторы «не забудут», куда отправить

пакеты, направленные на совместный аппаратный адрес.

«Пульс» кластера

Межсетевой экран обнаруживает, что другой межсетевой экран не работает, когда

больше не слышит его «пульс».

При нормальной работе межсетевой экран будет отправлять пять признаков

«пульса» в секунду.

Когда межсетевой экран не подал трех признаков «пульса», то есть после 0.6 секунд,

он считается не функционирующим.

«Пульс» кластера имеет следующие характеристики:

• IP-адрес источника – адрес интерфейса отправляющего межсетевого экрана

• IP-адрес назначения – совместный IP-адрес

• Параметр IP TTL равен всегда 255. Если межсетевой экран получает

«пульс» кластера с другим значением TTL, принимается, что пакет прошел

через маршрутизатор, и поэтому ему нельзя всецело доверять.

• Это пакет UDP, отправленный с порта 999 на порт 999.

• MAC-адрес назначения – это групповой (multicast) адрес Ethernet,

соответствующий совместному аппаратному адресу, то есть 11-00-00-C1-4A-

nn. Были выбраны многоадресные пакеты канального уровня, а не обычные

одноадресные пакеты, по соображениям безопасности: при использовании

одноадресных пакетов локальный атакующий может обмануть коммутаторы,

и они будут маршрутизировать пакеты «пульсации» куда-нибудь в другое

место. Это приведет к тому, что межсетевой экран никогда не услышит

«пульса».

Интерфейс синхронизации

Межсетевые экраны соединяются между собой по отдельному интерфейсу

синхронизации; для этой цели выделяется четвертый порт, когда межсетевой экран

настроен на поддержку функции High Availability.

Активный межсетевой экран непрерывно отправляет сообщения об обновлении

состояния резервному межсетевому экрану, информируя его об открытых и закрытых

соединениях, состояниях и времени жизни соединений и т.д. Кроме того, через

интерфейс синхронизации передаются параметры настройки.