Cluster de Firewall
-
Boa tarde a todos …
Sou novo com PFSense, mas já tenho um servidor configurado e funcionando.
Tenho o seguinte cenário hoje na minha empresa:
1 link de internet com 4 IP's fixos (200.200.200.250 - IIS, 200.200.200.251 - APACHE, 200.200.200.252 - E-MAIL e 200.200.200.253 - APP).
No meu PFSense tenho:
1 interface WAN.
1 interface LAN.
1 interface DMZ - ligada em 1 switch onde estão ligados os 4 servidores (IIS, APACHE, E-MAIL e APP)
1 interface WIFI.Está tudo funcionando perfeitamente ... Qdo chega a requisição no IP final 250 ele direciona pro meu server IIS na DMZ, 251 pro meu server APACHE na DMZ, 252 pro meu server E-MAIL na DMZ e 253 pro meu server APP na DMZ.
Usuários navegam na internet. Usuários WIFI navegam na internet sem problema.Agora gostaria de montar um cluster de firewall ...
Sei que preciso ter mais uma interface que fará o SINCRONISMO entre os 2 firewall e que será ligada por um cabo crossover utilizando CARP ... Assisti a esse vídeo: https://www.youtube.com/watch?v=IlaAJOwHMEU
Já estou adquirindo também um SWTICH onde eu ligarei por exemplo o cabo da WAN e depois sairei com 2 cabos um para cada servidor ... E o mesmo processo para as demais interface de rede ... Dessa forma quando o servidor primário sair do ar, não vou precisar desconectar os cabos do primário e ligar no servidor secundário e vice-versa. (chegaram a me sugerir essa troca manual de cabos)
Agora a minha maior dúvida está na questão dos IP's principalmente da WAN ...
- Eu vou precisar "sacrificar" algum IP válido pra ter esse cluster ?
- Qual será o meu IP flutuente entre as interfaces WAN ?
- Eu poderia definir o 200.200.200.250 (que é um IP do meu range) como sendo flutuente e mesmo assim ele ainda fazer o direcionamento para o meu IIS ?
- Na segunda máquina, qual o IP na interface WAN que eu devo colocar ? Eu só tenho 4 IP's e os mesmos estão sendo utilizados. Poderia por ser uma configuração interna colocar o 200.200.200.249, mesmo esse IP não me pertencendo ?
Como no momento estou quebrando a cabeça com essa questão de IP, nem tive tempo de pensar em outras dúvidas ...
Qualquer ajuda será bem vinda.
Obrigado
Ronaldo Araujo
ps.: assim que entender essa questão de cluster e IP's e o servidor já estiver no ar, será implantado um 2º link de internet ...
-
A melhor solução é adquirir um switch gerenciável para administrar suas redes com vlans.
A interface/vlan dedicada server para a sincronia dos estados de conexão do firewall. O carp vai funcionar em cada uma das interfaces.
como você já usa um ip para cada serviço, você vai no máximo sacrificar um ip para o segundo firewall. Os outros ips da sua faixa serão configurados no carp.
att,
Marcello Coutinho -
Obrigado Marcello pela resposta.
O switch será gerenciável sim …
Vou montar um laboratório e fazer vários testes.
