Cem Kemal Erbaş Network, Siber Güvenlik ve Teknik Rehberler
İki firewall’ın yan yana çalışıyor olması, altyapının gerçekten High Availability sağladığı anlamına gelmez.
Asıl soru şudur:
Active firewall devre dışı kaldığında trafik gerçekten devam ediyor mu?
Palo Alto Networks ortamlarında Active/Passive High Availability, kritik network ve güvenlik altyapılarında servis sürekliliğinin temel bileşenlerinden biridir. Active/Passive mimaride bir firewall trafiği aktif olarak işlerken diğer cihaz senkronize durumda bekler ve gerekli failover koşulları oluştuğunda Active rolünü devralır. Palo Alto Networks TechDocs
Ancak HA tasarımını yalnızca Dashboard üzerinde görünen:
Active
Passive
Configuration Synchronized
durumlarından ibaret değerlendirmek ciddi bir operasyonel hata olabilir.
Gerçek bir HA tasarımında control-plane iletişiminden session synchronization’a, upstream erişilebilirliğinden routing davranışına ve gerçek failover testlerine kadar birçok bileşenin birlikte doğrulanması gerekir.
Palo Alto Active/Passive HA nedir?
Active/Passive HA mimarisinde firewall çiftinden biri Active, diğeri Passive durumda çalışır.
Active firewall normal şartlarda production trafiğini işler. Passive firewall ise gerektiğinde Active rolünü devralabilmek için konfigürasyon ve çalışma zamanı durumlarının belirli bölümlerini peer cihazdan senkronize eder.
Bir donanım, yazılım, network, link veya izlenen path problemi oluştuğunda uygun şekilde yapılandırılmış HA mekanizması Passive cihazın Active hale gelmesini sağlayabilir. Palo Alto Networks TechDocs
Buradaki amaç yalnızca ikinci bir firewall bulundurmak değildir.
Amaç network erişilebilirliğini, güvenlik politikalarını ve mümkün olduğunca mevcut oturumları koruyarak hizmet sürekliliği sağlamaktır.
HA1 nedir? Control Link ne işe yarar?
Palo Alto HA mimarisinin önemli bileşenlerinden biri HA1 Control Link bağlantısıdır.
HA1; peer firewall’lar arasındaki heartbeat, kontrol bilgileri, HA durumları ve konfigürasyon senkronizasyonunda kullanılır.
Basitleştirirsek HA1’i iki firewall’ın birbirine:
“Ben buradayım, durumum bu ve konfigürasyonumuzun aynı olması gerekiyor.”
dediği kontrol kanalı gibi düşünebiliriz.
HA1 problemi yalnızca basit bir bağlantı problemi değildir. Peer’ların birbirlerinin durumunu sağlıklı değerlendirememesi HA karar mekanizmasını doğrudan etkileyebileceği için HA1 ve gerektiğinde HA1 Backup tasarımı kritik önem taşır.
HA2 nedir? Session Synchronization neden önemlidir?
HA2 Data Link, dataplane durum bilgilerinin peer firewall’lar arasında senkronize edilmesinde görev alır.
Palo Alto Networks dokümantasyonuna göre Active/Passive HA ortamında session table bilgilerinin yanı sıra ARP, MAC, Neighbor Discovery, IPSec SA ve çeşitli runtime bilgileri HA2 üzerinden senkronize edilebilir. Palo Alto Networks TechDocs
Bu, failover sırasında özellikle önemlidir.
Örneğin bir kullanıcı aktif firewall üzerinden uzun süreli bir TCP bağlantısı kurmuş olsun. Passive firewall ilgili session bilgisini biliyorsa Active role geçtiğinde mevcut trafik akışını çok daha sağlıklı şekilde devralabilir.
Session synchronization kapalıysa veya HA2 bağlantısı kullanılamıyorsa Passive cihaz mevcut session state’lerini alamaz. Failover sonrasında bazı bağlantıların yeniden kurulması gerekebilir ve bağlantı kesintileri yaşanabilir. Palo Alto Networks TechDocs
HA2 down olduğunda otomatik failover olur mu?
Burada sık yapılan önemli bir teknik karışıklık var.
HA2’nin down olması Active/Passive yapıda tek başına normalde firewall’ın Passive cihaza failover etmesi anlamına gelmez.
Active/Passive deployment için HA2 Keep-alive failure action tarafında Log Only kullanılması önerilir. HA2 bağlantısı kaybolduğunda ve HA2 Backup bulunmadığında state synchronization durabilir; firewall ise production trafiğini işlemeye devam edebilir. Palo Alto Networks TechDocs
Risk tam da burada ortaya çıkar.
Firewall çalışmaya devam ederken session state’leri peer’a aktarılmıyorsa, daha sonra gerçekten bir cihaz veya network problemi nedeniyle failover gerçekleştiğinde Passive firewall güncel session bilgilerine sahip olmayabilir.
Dolayısıyla:
HA2 UP olması başka, session synchronization’ın gerçekten sağlıklı olması başka bir kontroldür.
Palo Alto failover’ı ne tetikler?
HA tasarımının en önemli noktalarından biri, firewall’ın hangi durumda artık sağlıklı kabul edilmeyeceğinin doğru belirlenmesidir.
Cihazın tamamen kapanmasını beklemek zorunda değilsiniz.
Palo Alto Networks bunun için Link Monitoring ve Path Monitoring mekanizmaları sağlar. Palo Alto Networks TechDocs
Link Monitoring nasıl çalışır?
Link Monitoring ile kritik fiziksel interface’lerin durumları takip edilebilir.
Örneğin Active firewall’ın internet router’ına bağlı fiziksel portu down olduğunda cihazın kendisi çalışmaya devam ediyor olabilir.
CPU normal olabilir.
HA1 çalışıyor olabilir.
Management interface erişilebilir olabilir.
Ancak production trafik artık dış dünyaya çıkamıyorsa firewall operasyonel anlamda hizmet veremiyor demektir.
Doğru Link Monitoring politikası böyle bir durumu failover koşulu haline getirebilir.
Palo Alto, link gruplarında failure condition’ın Any veya All olarak belirlenmesine izin verir. Bu nedenle hangi interface’in gerçekten kritik olduğu mimariye göre dikkatli seçilmelidir. Palo Alto Networks TechDocs
Path Monitoring neden daha da önemli olabilir?
Fiziksel interface’in UP görünmesi network yolunun gerçekten çalıştığı anlamına gelmez.
Örneğin şu senaryoyu düşünelim:
Firewall çalışıyor.
Interface UP.
HA bağlantıları sağlıklı.
CPU normal.
Ancak upstream router veya kritik network destinasyonu artık erişilebilir değil.
Bu durumda firewall’ın kendisi teknik olarak ayakta olmasına rağmen production trafiği açısından sağlıklı değildir.
Path Monitoring, belirlenen network destinasyonlarına erişilebilirliği takip ederek tam olarak bu tür problemlerin algılanmasını sağlar. Palo Alto Networks, virtual router/logical router, VLAN veya virtual wire yapılarında belirlenen destination IP’lerin izlenmesini destekler. Palo Alto Networks TechDocs
Bu nedenle iyi tasarlanmış bir HA mimarisinin sorusu:
“Firewall çalışıyor mu?”
değil,
“Firewall üzerinden kritik servis yolu gerçekten çalışıyor mu?”
olmalıdır.
Configuration Synchronization tek başına neden yeterli değildir?
Dashboard üzerinde:
Running Configuration: Synchronized
görmek olumlu bir göstergedir.
Ancak bu sonuç tek başına HA’nın başarılı olduğunu kanıtlamaz.
Configuration synchronization, iki firewall’ın aynı politika ve network konfigürasyonuna sahip olması açısından gereklidir. Fakat runtime state, session synchronization ve gerçek network davranışı ayrıca doğrulanmalıdır.
Palo Alto’nun HA synchronization referansında control-plane ile dataplane bilgilerinin farklı HA linkleri üzerinden senkronize edildiği açıkça ayrıştırılmıştır. Palo Alto Networks TechDocs
Bu nedenle yalnızca configuration sync kontrolü yapıp HA testini tamamlanmış kabul etmek yeterli değildir.
Passive Link State neden kontrol edilmeli?
Active/Passive HA tasarımında Passive firewall’ın data interface davranışı failover süresini etkileyebilir.
Palo Alto’da Passive Link State = Auto kullanıldığında Passive cihazın interface’leri fiziksel link durumunu koruyabilir ve failover sırasında devralma süresi azaltılabilir. Ancak komşu cihazların yalnızca fiziksel link durumuna bakarak Passive firewall’a trafik yönlendirmemesi gerekir. Palo Alto Networks TechDocs
LACP kullanılan yapılarda LACP pre-negotiation gibi mekanizmalar da failover performansında önem kazanabilir.
Dolayısıyla HA’yı yalnızca firewall’lar arasında değerlendirmek doğru değildir.
Switch, router, load balancer ve diğer komşu sistemlerin davranışı da tasarımın parçasıdır.
Routing HA sırasında nasıl davranıyor?
Özellikle Layer 3 yapılarda BGP veya OSPF gibi dinamik routing protokolleri kullanılıyorsa failover testinde yalnızca firewall’ın rol değişimi izlenmemelidir.
Routing convergence süresi, neighbor durumları, forwarding table’ın oluşması ve upstream/downstream cihazların yeni Active firewall’a nasıl tepki verdiği de kontrol edilmelidir.
Firewall 500 milisaniyede Active olabilir; ancak network yolunun tekrar kullanılabilir hale gelmesi routing convergence nedeniyle daha uzun sürebilir.
Son kullanıcı açısından önemli olan firewall’ın Active etiketi değil:
trafik akışının yeniden başlamasıdır.
ARP ve MAC davranışını unutmayın
Failover sırasında Layer 2 seviyesindeki davranış da önemlidir.
ARP, MAC öğrenimi ve komşu cihazların yeni trafik yolunu ne kadar hızlı öğrendiği gerçek kesinti süresini etkileyebilir.
Palo Alto Active/Passive HA’da ARP ve MAC tablosu gibi bazı dataplane bilgileri HA2 üzerinden senkronize edilir. Palo Alto Networks TechDocs
Bu nedenle gerçek failover testlerinde yalnızca GUI izlemek yerine istemci ve sunucu tarafından trafik akışını da ölçmek gerekir.
NAT ve Security Policy failover sonrasında doğrulanmalı
Bir firewall’ın Active hale gelmesi trafiğin mutlaka doğru çalışacağı anlamına gelmez.
Failover sonrasında Security Policy, NAT/SNAT, routing, VPN, session table ve gerekli network bağımlılıklarının doğru çalıştığı doğrulanmalıdır.
Özellikle kritik uygulamalarda test yalnızca ping ile sınırlandırılmamalıdır.
Gerçek uygulama bağlantıları, HTTPS oturumları, VPN trafiği veya kurumun kritik servisleri üzerinden uçtan uca kontrol yapılmalıdır.
Preemption nedir?
Preemption, daha yüksek HA priority değerine sahip cihaz tekrar kullanılabilir hale geldiğinde Active rolünü yeniden devralmasını sağlayabilir.
Burada önemli bir operasyonel karar vardır:
İlk firewall geri geldiğinde hemen tekrar Active olmasını gerçekten istiyor musunuz?
Her geri dönüş yeni bir role transition oluşturacağı için Preemption tasarımı iş gereksinimlerine göre yapılmalıdır.
Palo Alto ayrıca Preemption Hold Time ve Monitor Fail Hold Up gibi zamanlayıcılar sağlayarak gereksiz role değişikliklerinin ve geçici network flap’lerinin failover oluşturmasının önüne geçilmesine yardımcı olur. Palo Alto Networks TechDocs
Gerçek Palo Alto HA testi nasıl yapılır?
HA tasarımının en kritik aşaması kontrollü failover testidir.
Palo Alto Networks’ün resmi doğrulama yöntemlerinden biri Active firewall’ı Suspend local device durumuna almak ve Passive cihazın Active hale geçtiğini doğrulamaktır.
GUI üzerinden:
Device > High Availability > Operational Commands > Suspend local device
işlemi kullanılabilir.
CLI tarafında ise:
show high-availability state
HA durumunu kontrol etmek için kullanılabilir.
Kontrollü failover için:
request high-availability state suspend
ve cihazı yeniden HA işlevine almak için:
request high-availability state functional
komutları kullanılabilir. Bu komutlar güncel PAN-OS CLI komut ağacında da yer almaktadır. Palo Alto Networks TechDocs
Ancak test burada bitmemelidir.
Passive → Active oldu sonucundan sonra production trafik, session devamlılığı, routing, NAT, VPN, application erişimi ve monitoring tarafı da doğrulanmalıdır.
Palo Alto HA kontrol listesi
Ben bir Active/Passive HA ortamını değerlendirirken en az şu alanların birlikte doğrulanmasını öneririm:
- HA1 ve varsa HA1 Backup durumu; HA2 ve varsa HA2 Backup durumu; configuration ve session synchronization; Link Monitoring ve Path Monitoring; Passive Link State; routing adjacency ve convergence; ARP/MAC davranışı; NAT ve Security Policy; VPN session/SA davranışı; Preemption ayarları; HA timer’ları; log ve monitoring entegrasyonu; gerçek uygulama trafiği altında Active → Passive ve gerekiyorsa Passive → Active geçiş testi.
Buradaki son madde diğerlerinin hepsinden daha önemlidir.
Failover hiç test edilmediyse, HA’nın production koşullarında beklendiği şekilde çalıştığı varsayılmamalıdır.
PAN-OS 12.1 ve yeni nesil platformlarda Active/Passive HA
Buradaki orijinal notunu biraz daha kesin hale getirmek gerekiyor.
Palo Alto Networks geleneksel Active/Passive HA desteğini beşinci nesil platformlara PAN-OS 12.1 ailesi içerisinde genişletti.
Ancak sürüm seviyeleri farklıdır:
PA-7500 Series: PAN-OS 12.1.5 ve sonrası 12.1 sürümlerinde desteklenmeye başladı.
PA-5500 Series: PAN-OS 12.1.7 ve sonrası 12.1 sürümlerinde desteklenmeye başladı. Palo Alto Networks TechDocs
Bu platformlarda klasik HA mimarisinden farklı donanımsal ayrıntılar da bulunuyor. Örneğin PA-7500 ve PA-5500 serilerinde Active/Passive HA iletişimi HSCI bağlantıları üzerinden gerçekleştiriliyor. Bu nedenle deployment yapılırken kullanılan modele ve PAN-OS sürümüne ait resmi dokümantasyon ayrıca kontrol edilmelidir. Palo Alto Networks TechDocs
High Availability’ın gerçek amacı nedir?
Network Security operasyonlarında HA’nın amacı yalnızca iki cihaz bulundurmak değildir.
Gerçek hedef üç şeyi aynı anda korumaktır:
Güvenlik politikası + Network erişilebilirliği + Servis sürekliliği
Bunlara mümkün olan durumlarda session continuity de eklenir.
Dashboard üzerinde:
Active / Passive
görmek kolaydır.
Asıl mühendislik:
Active → Passive → Active
geçişinin production trafiği altında öngörülebilir, ölçülebilir ve kontrollü biçimde gerçekleşmesini sağlamaktır.
Bu nedenle iyi tasarlanmış bir HA ortamında sorulması gereken soru:
“İki firewall’ımız var mı?”
değil,
“Bir firewall’ı şimdi devreden çıkarsak kullanıcı bunu fark eder mi?”
olmalıdır.
Sık Sorulan Sorular
Palo Alto Active/Passive HA nedir?
Bir firewall’ın Active olarak trafiği işlediği, diğer firewall’ın ise senkronize Passive cihaz olarak beklediği yüksek erişilebilirlik mimarisidir. Failover koşulu oluştuğunda Passive cihaz Active rolünü devralır.
HA1 ile HA2 arasındaki fark nedir?
HA1 kontrol ve heartbeat iletişimiyle birlikte konfigürasyon senkronizasyonunda kullanılır. HA2 ise session table ve çeşitli dataplane durum bilgilerinin senkronizasyonunda görev alır. Palo Alto Networks TechDocs
HA2 bağlantısının kesilmesi failover tetikler mi?
Active/Passive yapıda HA2 Keep-alive failure için önerilen davranış Log Onlydır. Bu nedenle yalnızca HA2 bağlantısının kaybolması normal şartlarda doğrudan role failover anlamına gelmez; esas risk state/session synchronization’ın durmasıdır. Palo Alto Networks TechDocs
Link Monitoring ile Path Monitoring arasındaki fark nedir?
Link Monitoring fiziksel interface durumlarını izler. Path Monitoring ise belirlenen network destinasyonlarına erişilebilirliği kontrol eder. Böylece interface UP olsa bile upstream network yolu kullanılamıyorsa problem tespit edilebilir. Palo Alto Networks TechDocs
Palo Alto HA gerçekten nasıl test edilir?
Kontrollü bakım penceresinde Active firewall suspend edilerek Passive cihazın Active rolüne geçtiği ve gerçek uygulama trafiğinin devam ettiği doğrulanmalıdır. Palo Alto Networks bunu resmi failover doğrulama prosedüründe de destekler.
