FortiGate HA Failover: Primary Değişti Ama Trafik Neden Toparlanmadı?

İlgili yazılar

FortiGate DNS Troubleshooting: IP Çalışıyor Ama Domain Çalışmıyor

1 hafta önce

FortiGate Session Table: Policy Değişti Ama Trafik Neden Eski Davranıyor?

2 hafta önce

FortiGate Troubleshooting: Trafik Gerçekten Nerede Kesiliyor?

3 hafta önce

FortiGate HA cluster’da Primary düştü ve Secondary yeni Primary oldu.

✅ HA failover gerçekleşti
✅ Yeni Primary seçildi
❌ Trafik hâlâ normale dönmedi

Çünkü cihazın Primary role geçmesi, servisin tamamen toparlandığı anlamına gelmez.

Ben şu zinciri kontrol ederim:

HA State → Heartbeat → Interface → Session → ARP/MAC → Route/SD-WAN → VPN → Application

1. Yeni Primary Gerçekten Aktif mi?

İlk kontrol:

get system ha status

Burada cluster üyeleri, Primary/Secondary rolleri ve HA durumu doğrulanmalıdır.

Heartbeat kaybı veya split-brain gibi durumlarda iki cihazın da Primary olduğunu düşünmesi trafik kaybı ve MAC flapping oluşturabilir.

2. Monitored Interface’ler Sağlıklı mı?

HA interface monitoring kullanılıyorsa kritik WAN/LAN interface’lerinin gerçekten UP olduğundan emin olun.

Primary üzerinde monitor edilen bir interface’in kaybı HA seçim sürecini etkileyebilir.

Buradaki kritik nokta:

Node sağlıklı olabilir ama trafik taşıması gereken interface sağlıklı olmayabilir.

3. Session Pickup Çalışıyor mu?

Kontrol edilmesi gereken en önemli özelliklerden biri:

config system ha
 set session-pickup enable
end

session-pickup etkinse TCP session table diğer cluster üyelerine senkronize edilir. UDP ve ICMP session’larının korunması gerekiyorsa ayrıca session-pickup-connectionless kullanılabilir.

Ancak:

Session Pickup açık ≠ Her session kesin korunur

Bazı session tiplerinde ve security processing senaryolarında sınırlamalar bulunur. Fortinet de ideal olmayan koşullarda bazı TCP session’larının yeniden kurulması gerekebileceğini belirtiyor.

4. Switch MAC/FDB Tablosu Güncellendi mi?

FGCP cluster interface’lerinde virtual MAC kullanır.

Failover sonrasında yeni Primary, Gratuitous ARP göndererek bağlı switch’lerin FDB/CAM tablolarını yeni fiziksel porta yönlendirmeye çalışır.

Yani problem:

IP → eski MAC

ilişkisinden çok:

VMAC → eski switch portu

ilişkisinin güncellenmemesi olabilir.

Bu durumda upstream/downstream switch MAC table’larını kontrol etmek gerekir.

5. Routing ve SD-WAN Path Doğru mu?

Yeni Primary aktif olduktan sonra:

Routing Table → Default Route → SD-WAN Member → Health Check → Egress Interface

zincirini doğrulayın.

HA sağlıklı olsa bile WAN path veya SD-WAN member beklenen durumda değilse trafik yanlış interface’e yönlenebilir veya hiç çıkmayabilir.

6. VPN Tünellerini Kontrol Edin

Failover sonrasında özellikle IPsec tarafında:

IKE SA → IPsec SA → Route → Policy → Session

kontrol edilmelidir.

FortiGate HA heartbeat altyapısı IPsec state/key ve routing bilgileri gibi cluster verilerinin senkronizasyonunda da kullanılır.

Ancak gerçek doğrulama yine uygulama trafiğiyle yapılmalıdır.

Hızlı Troubleshooting Akışı

HA Role → Heartbeat → Interface → Session Pickup → MAC/FDB → Routing/SD-WAN → VPN → Return Path

Kritik nokta:

🔥 HA Failover başarılı ≠ Trafik tamamen toparlandı

Gerçek HA testi yalnızca cihazlardan birinin Primary olmasıyla tamamlanmaz.

Mevcut session devam ediyor mu?
Switch doğru porta forwarding yapıyor mu?
Route/SD-WAN doğru mu?
VPN çalışıyor mu?
Uygulama trafiği iki yönlü geçiyor mu?

sorularının tamamının doğrulanması gerekir.