Şirketinizde internet kesintisine son: Berqnet Active-Passive HA cluster mimarisi ve çift WAN fiber/LTE otomatik hat devralma yapılandırma adımları burada.
Hızlı Özet (TL;DR)
Modern üretim tesislerinde ve kurumsal merkezlerde internetin veya yerel ağ geçidinin (Default Gateway) kesilmesi; e-Fatura ve e-İrsaliye kesilememesi nedeniyle sevkiyat tırlarının fabrika kapısında kilitlenmesi, bulut ERP/CRM bağlantılarının kopması, uzak şubelerle kurulan IPsec/SSL VPN tünellerinin düşmesi ve VLAN’lar arası (Inter-VLAN) üretim trafiğinin tamamen durması demektir. Güvenlik duvarı (Firewall) cihazının donanımsal olarak arızalanması tüm fabrika ağını felç eden bir Tekil Hata Noktasıdır (Single Point of Failure - SPOF). Gerçek bir kurumsal ağ felaket kurtarma mimarisi; iki farklı altyapı üzerinden Çift WAN Yedekliliği (Dual-WAN Redundancy: Metro Ethernet/Fiber + Radyolink/5G LTE) ile otomatik hat devretmeyi ve iki adet fiziksel güvenlik duvarı cihazının Active-Passive Donanımsal HA Cluster (High Availability) topolojisinde durum senkronizasyonu (Stateful Failover) ile çalışmasını zorunlu kılar.
Tek Güvenlik Duvarı vs Active-Passive HA Cluster Mimarisi
Fabrika veya genel müdürlük bilgi işlem odasındaki tekil güvenlik duvarı cihazının anakartı, SSD diski veya güç kaynağı (PSU) yandığında ya da bir yazılım güncellemesi sırasında cihaz kilitlendiğinde yaşanacak senaryo ile çift cihazlı HA Cluster mimarisi arasındaki operasyonel farklar:
| Kriter | Tek Cihazlı Güvenlik Duvarı (Single Appliance) | Active-Passive Donanımsal HA Cluster Mimarisi |
|---|---|---|
| Donanım Arızasında Kesinti Süresi (RTO) | Yeni cihaz temin edilip yedek dönülene kadar 6 saat – 3 gün | Milisaniyeler içinde (< 1 saniye) sıfır kesintili otomatik devralma |
| Oturum ve Durum Senkronizasyonu (State Sync) | Yok (Cihaz yeniden başlarsa tüm bağlantılar kopar) | pfsync / Conntrack-Sync ile tüm TCP, UDP ve VPN durum tablosu eşzamanlı kopyalanır |
| Sanal IP ve MAC Devri (CARP / VRRP) | Statik IP/MAC (Cihaz değişirse ARP tablosu kilitlenir) | Sanal MAC ve VIP (Virtual IP) devri ile omurga switch’lerde ayar değişmez |
| İnternet Hattı Yedekliliği (WAN Redundancy) | Genellikle tek ISP hattı (Kazı çalışmasında hat kopar) | Çift WAN (Birincil Fiber + Yedek Radyolink / Kurumsal 4.5G-5G LTE) |
| Donanım ve Firmware Bakımı | Mesai saatinde güncelleme yapılamaz, ağ kesilir | Sıfır kesintili kademeli güncelleme (Zero-Downtime Rolling Upgrade) |
| Yasal 5651 ve Kural Eşitleme | Manuel yedek alma (Unutulursa son kurallar kaybolur) | Primary cihazda yazılan her kural ve 5651 politikası saniyesinde Secondary cihaza yazılır |
Active-Passive Donanımsal HA Cluster ve CARP/VRRP Protokolü Nasıl Çalışır?
İki adet özdeş Berqnet Güvenlik Duvarı (veya kurumsal UTM) donanımı sistem kabinetine monte edilir. Cihazlardan biri Master (Active / Birincil), diğeri ise Backup (Passive / İkincil - Hot Standby) rolünü üstlenir. İki cihazın tek bir mantıksal güvenlik duvarı gibi davranmasını sağlayan üç temel mühendislik katmanı vardır:
1. Heartbeat (Kalp Atışı) ve Durum Senkronizasyon (State Sync) Kablosu
İki güvenlik duvarı cihazının arkasındaki adanmış birer Gigabit/10Gbit Ethernet portu (örneğin eth7 veya HA-Sync portu), araya hiçbir switch konulmadan doğrudan Cat6A / Fiber Patch (Heartbeat) kablosu ile birbirine bağlanır. Bu özel hat üzerinden saniyede yüzlerce kez şifreli sağlık kontrol paketleri (Heartbeat) ve durum tabloları akar:
- Durum Tablosu Eşitlemesi (Stateful Failover): Fabrika içindeki bir CNC tezgahının veya ERP istemcisinin başlattığı aktif TCP oturumları, NAT dönüşüm tabloları, aktif IPsec Site-to-Site VPN tünelleri ve kullanıcı Hotspot oturumları anlık olarak Master cihazdan Backup cihazın RAM belleğine kopyalanır.
- Konfigürasyon Senkronizasyonu (XML-RPC / Config Sync): Bilgi işlem yöneticisi Master cihazın arayüzüne girip yeni bir güvenlik duvarı kuralı, port yönlendirmesi veya KVKK 5651 Yasal Loglama tanımı eklediğinde, bu değişiklik anında yedek cihaza klonlanır.
2. CARP / VRRP ile Sanal IP (VIP) ve Sanal MAC Adresi Mimarisi
İç ağdaki (LAN / VLAN) yüzlerce bilgisayar, sunucu ve üretim tezgahı “Varsayılan Ağ Geçidi (Default Gateway)” olarak fiziksel cihazların kendi IP adreslerini değil, iki cihazın ortak kullandığı Sanal IP (Virtual IP - VIP) adresini (Örn: 10.10.1.1) bilir.
- CARP (Common Address Redundancy Protocol) veya VRRP (Virtual Router Redundancy Protocol) sayesinde Master cihaz bu Sanal IP’yi ve ona bağlı Sanal MAC adresini üzerinde tutar.
- Master cihazın elektriği kesildiğinde, anakartı arızalandığında veya WAN/LAN portlarından biri koptuğunda; Backup cihaz Heartbeat sinyallerinin kesildiğini 300 ila 800 milisaniye içinde algılar.
- Backup cihaz anında kendisini Master ilan eder ve ağ switch’lerine Gratuitous ARP (GARP) paketi yayınlayarak Sanal IP ve Sanal MAC adresini kendi fiziksel portuna çeker.
- Omurga switch’lerdeki MAC tabloları milisaniyeler içinde güncellenir; açık olan bir ERP ekranı, devam eden bir SQL veritabanı sorgusu veya sesli IP telefon (VoIP) görüşmesi kopmadan yedek cihaz üzerinden akmaya devam eder.
Çift WAN (Dual-WAN) Yük Devretme (Failover) ve Yük Dengeleme (Load Balancing)
En gelişmiş HA Cluster güvenlik duvarını kursanız bile, fabrikanın dış dünyaya çıkan tek bir fiber optik kablosu varsa ve organize sanayi bölgesindeki bir kepçe kazısında o fiber kablo koparsa fabrikanız yine internetsiz kalır. Bu nedenle Güvenlik Duvarı Firewall mimarisinin dış bacağı mutlaka Çift WAN olarak tasarlanmalıdır:
Fiziksel Medya Çeşitliliği (Media Diversity) Prensibi
İki farklı internet aboneliği alınırken yapılan en büyük hata, her iki hattın da aynı saha dolabından ve aynı yeraltı borusundan gelen iki fiber kablo olmasıdır. Gerçek yedeklilik için medya çeşitliliği şarttır:
- WAN1 (Birincil Hat): Simetrik Metro Ethernet veya Kurumsal GPON Fiber internet (Yüksek bant genişliği, düşük gecikme).
- WAN2 (İkincil / Yedek Hat): Karasal kablolardan tamamen bağımsız çatıdan çatıya Noktadan Noktaya Radyolink (AirFiber) veya sabit IP’li Kurumsal 4.5G / 5G LTE Endüstriyel Router hattı.
Akıllı Sağlık Kontrolü (Link Monitoring / SLA Probe) ve Failback
Güvenlik duvarı yalnızca WAN portunun ışığının yanıp yanmadığına (Physical Link Up/Down) bakmaz; çünkü fiber modem çalışıyor olsa bile servis sağlayıcının merkezinde internet kesilmiş olabilir.
- Cihaz, WAN1 bacağından her 2 saniyede bir birden fazla güvenilir hedefe (
8.8.8.8,1.1.1.1ve servis sağlayıcı ağ geçidi) ICMP Ping / TCP DNS sağlık paketleri gönderir. - Ardışık 3-5 pakette kayıp (Packet Loss > %20) veya aşırı gecikme (Latency > 250 ms) algılandığında, WAN1 hattı “Down (Ölü)” işaretlenir.
- Güvenlik duvarı yönlendirme tablosunu (Routing Table) saniyesinde güncelleyerek tüm İmalat ERP Çözümleri trafiğini, e-Fatura çıkışlarını ve SSL VPN bağlantılarını WAN2 (Radyolink/LTE) hattına devreder.
- Ayrıca Politika Tabanlı Yönlendirme (Policy-Based Routing - PBR) ile normal zamanlarda bile kritik ERP/VPN trafiği WAN1’den, misafir Wi-Fi ve genel personel internet trafiği WAN2’den akıtılarak her iki hattın kapasitesi aktif (Load Balancing) değerlendirilebilir.
- Birincil fiber hat tamir edilip 60 saniye boyunca kesintisiz sağlıklı ping yanıtı verdiğinde, sistem trafiği otomatik olarak tekrar ana fiber hatta geri döndürür (Auto-Failback).
Endüstriyel Ağlarda Switch Yedekliliği ve Tam Halka Topolojisi
HA Firewall mimarisinin tam koruma sağlaması için güvenlik duvarlarının altındaki omurga (Core) switch bağlantılarının da çapraz (Full-Mesh / Redundant Link) kablolanması gerekir. Hem Master hem de Backup güvenlik duvarı, omurga yığınındaki (Stack) iki farklı switch’e LACP (802.3ad Link Aggregation) veya RSTP yedekli portlarla bağlanır. Bu mimari özellikle Savunma Sanayii İmalat Ağ ve Siber Güvenlik projelerinde aranan Tier-3 / yüksek süreklilik denetim kriterlerini eksiksiz karşılar.
Split-Brain (Çift Beyin) Senaryosunu Önleme ve Quorum Mimarisi
Active-Passive HA Cluster kurulumlarında en kritik mühendislik tuzaklarından biri Split-Brain (Çift Aktif / Çift Beyin) durumudur. İki güvenlik duvarı arasındaki özel Heartbeat (Kalp Atışı) kablosu fiziksel olarak çıkarsa veya bağlı olduğu port bozulursa, her iki cihaz da diğerinin kapandığını zannederek aynı anda kendisini Master (Aktif) ilan etmeye çalışabilir. İki cihazın aynı anda aynı Sanal IP (VIP) ve Sanal MAC adresini yayınlaması ağda IP Çakışması (IP Conflict) ve ARP fırtınası yaratarak tüm fabrika trafiğini durdurur.
Bunu önlemek için Maysa Yazılım saha kurulumlarında üç katmanlı koruma uygulanır:
- Çift Fiziksel Heartbeat Hattı (LACP HA-Sync): İki cihaz arasındaki durum senkronizasyonu tek bir kablo yerine iki ayrı porttan oluşan yedekli (Bonded) kablo grubu üzerinden taşınır.
- Üçüncü Göz (Quorum / Gateway Ping Tanığı): Pasif cihaz, Heartbeat sinyali kesildiğinde doğrudan aktifliğe geçmeden önce omurga switch ve ISP ağ geçidini sorgular; eğer birincil cihaz hala dış ağda trafik geçiriyorsa pasif cihaz kendini karantinaya alır.
- STONITH / Güç Kesme ve Port Kapatma (Link-Down Propagation): Birincil cihazın LAN bacağı koparsa, cihaz otomatik olarak kendi WAN bacağını da kapatarak (Interface Tracking) trafiğin yarım kalmasını engeller ve tüm yükü eksiksiz olarak yedek cihaza devreder.
Sıfır Kesintili Firmware Güncelleme (Zero-Downtime Rolling Upgrade) Adımları
Üç vardiya 24 saat çalışan bir fabrikada güvenlik duvarına acil bir siber güvenlik yaması (Zero-Day Patch) geçilmesi gerektiğinde üretimi durdurmak mümkün değildir. Active-Passive HA Cluster mimarisinde güncelleme şu 4 adımla sıfır kesintiyle tamamlanır:
- Adım 1: Önce Backup (Pasif) cihazın otomatik senkronizasyonu geçici olarak askıya alınır ve yeni Firmware paketi pasif cihaza yüklenerek yeniden başlatılır. Bu sırada fabrika trafiği Master cihaz üzerinden kesintisiz akar.
- Adım 2: Pasif cihaz yeni sürümle sağlıklı biçimde açıldıktan sonra yönetim arayüzünden “Manuel Devretme (Graceful Failover)” komutu verilir.
- Adım 3: Tüm aktif TCP, VPN ve Üretim Takip Yazılımı oturumları 1 saniyenin altında güncellenmiş olan ikinci cihaza devredilir.
- Adım 4: Artık pasif konuma geçen birinci cihaza da aynı Firmware güncellemesi uygulanır ve küme senkronizasyonu yeniden aktif hale getirilir.
HA Cluster Devreye Alma ve Felaket Tatbikatı (Failover Drill) Kontrol Listesi
Kurulan bir HA Cluster ve Çift WAN yapısının kağıt üzerinde değil, gerçek arıza anında kusursuz çalıştığını kanıtlamak için kabul testlerinde şu 5 canlı simülasyon uygulanır:
- Master cihazın elektrik fişinin aniden çekilmesi (Hard Power-Off) sırasında devam eden büyük dosya indirme ve SQL sorgusunun kopmadığının doğrulanması.
- WAN1 (Fiber) kablosunun çıkarılmasıyla IPsec Site-to-Site VPN tünellerinin WAN2 (Radyolink / 5G LTE) üzerinden 5 saniye içinde otomatik ayağa kalktığının görülmesi.
- LAN omurga switch’lerinden birinin kapatılması durumunda çapraz LACP portları üzerinden VLAN trafiğinin kesintisiz devam etmesi.
- Yedek cihaz aktifken oluşturulan bir Ortak Dosya Sunucusu ve Yedekleme erişim kuralının, birincil cihaz geri geldiğinde ters yönde de senkronize olduğunun kontrolü.
- Her iki geçişte de sistem yöneticilerine anlık SNMP Trap, Syslog ve e-posta/SMS uyarılarının ulaştığının teyit edilmesi.
Kaynaklar
Sıkça Sorulan Sorular
Active-Passive HA Cluster kurmak için iki güvenlik duvarı cihazının modeli aynı olmak zorunda mıdır?
Evet. Donanımsal HA Cluster mimarisinde port numaralarının, ağ arayüz kartı (NIC) sürücülerinin, RAM kapasitesinin ve işlemci mimarisinin birebir eşleşmesi için her iki cihazın da aynı marka, aynı donanım modeli ve aynı işletim sistemi (Firmware) sürümünde olması zorunludur. Aksi takdirde durum tablosu (State Table) senkronizasyonunda paket uyumsuzlukları yaşanır.
İkinci (Pasif) cihaz için de tam güvenlik lisansları alınması gerekir mi?
Üreticilerin (Berqnet dahil) büyük çoğunluğu donanımsal HA Cluster mimarisini teşvik etmek amacıyla ikinci (Backup) cihaz için özel indirimli HA Lisanslama modelleri sunar veya aktif cihazın lisanslarını küme bazında paylaşır. Böylece maliyet ikiye katlanmadan tam donanım yedekliliği elde edilir.
Aktif cihaz arızalanıp yedek cihaza geçiş olduğunda bilgi işlem ekibinin haberi nasıl olur?
Yedek cihaz trafiği milisaniyeler içinde devraldığı için fabrikadaki hiçbir kullanıcı kesinti hissetmez; bu durum bazen arızanın günlerce fark edilmemesine yol açabilir. Bunu önlemek için Maysa Yazılım kurulumlarında HA durum değişimi (CARP Master -> Backup geçişi) ve WAN1 hat düşüşü olayları doğrudan e-posta, SMS ve Telegram/Slack alarm kanallarına bağlanır. Böylece kullanıcılar hiçbir şey hissetmezken IT ekibi anında arızalı birincil cihaza veya kopan internet hattına müdahale eder.