FortiGate HA状态检测及告警 4.2

https://www.360docs.net/doc/af330762.html,

FortiGate HA状态监测及告警

目录

1.目的 (3)

2.测试拓扑 (3)

3.测试组件 (4)

4.配置 (4)

4.1FortiGate配置 (5)

4.1.1 HA配置 (5)

4.1.2 SNMP配置 (5)

4.2 PRTG 配置 (6)

4.2.1 主防火墙监测 (7)

4.2.2 主备防火墙告警 (14)

5.总结： (19)

1.目的

本文介绍FortiGate设备在要求高可用性，24x7x365不间断运行的关键应用中，通过PRTG网管软件实时记录FortiGate HA成员运行状态，并对故障进行实时告警的方法。根据监测结果，HA成员一旦出现故障或运行参数超过设定阀值，立即以不同形式告警，包括Email、短信、图表颜色变化及声音告警，达到故障预警、提前处理，实现不间断运行的目的。

2.测试拓扑

其中，穿过接口对port27、port28的是业务流量, port25是心跳口，port39是管理口。

WAN接受互联网用户访问，LAN交换机接入提供手机电视、手机音乐和手机push 邮件的服务器群。

3.测试组件

3.1状态检测及告警软件

PRTG Traffic Grapher V6.2.2.983, 包含10个免费sensor的许可。10个免费license基本能满足大多数FortiGate HA单点运行环境的要求。

下载地址ftp://59.108.29.181/upload_directory/SE_Directory/Jerry/PRTG_V6.2.2.983.zip

3.2监测主机要求

操作系统：Windows 2000, XP, 2003, Vista 和windows 7

32bit 或64bit 版本

系统要求：64 MB RAM (256 MB 或更多内存)

安装要求磁盘空间20 MB

每个传感器每天产生的数据大约25kb 到300kb之间同时要求该监测主机能够访问互联网，并注册能支持短信提示邮件收到的邮箱，如<手机号>@https://www.360docs.net/doc/af330762.html,或<手机号>@https://www.360docs.net/doc/af330762.html,等。

3.3 FortiGate-1240B

两台FortiGate-1240B，版本为FortiOS为4.2.1或4.3.1。

4.配置

PRTG软件通过SNMP协议实时收集HA主备成员的各种参数，所以涉及HA 和SNMP相关配置。

4.1FortiGate配置

4.1.1 HA配置

HA模式采用主备方式，优先级高的协商为主防火墙，优先级低的为备份防火墙。正常情况下，主防火墙处理所有业务流量，备份防火墙只监测主防火墙的状态。如果主防火墙出现故障，备份防火墙接管主防火墙的工作，处理所有业务流量。

主机配置(CLI)：

config system ha

set group-id 11

set group-name "1240b"

set mode a-p

set hbdev "port25" 100

set session-pickup enable

set override disable

set priority 200

set monitor "port27" "port28"

end

备机配置(CLI):

config system ha

set group-id 11

set group-name "1240b"

set mode a-p

set hbdev "port25" 100

set session-pickup enable

set override disable

set priority 100

set monitor "port27" "port28"

end

4.1.2 SNMP配置

在主墙上配置SNMP后，相关配置会同步到备机。

启用SNMP代理。主墙配置：系统管理>配置>SNMP v1/v2c

创建组名

在管理接口MGMT上激活SNMP服务

4.2 PRTG 配置

本次使用的PRTG软件只有10个免费sensors，包括主备机只能检测10个对象参数，必须合理分配主备机使用的sensors数量。因为主防火墙能全面反映网

络运行的实时状态，所以尽量多分配sensors给主防火墙。而对备份防火墙，我们只需关注其是否正常，包括是否能被正常访问，其心跳口是否正常，是否有主备切换的现象等。

4.2.1 主防火墙监测

PRTG通过SNMP协议收集包括CPU、内存、会话数、心跳口及各处理业务流量接口的运行状态，其中接口流量的OID符合RFC1213标准，而CPU、内存和会话数的SNMP OID是FortiGate的私有OID，在版本v4.2 patch 1中，其OID分别是：

CPU .1.3.6.1.4.1.12356.101.4.1.3.0

内存.1.3.6.1.4.1.12356.101.4.1.4.0

会话数.1.3.6.1.4.1.12356.101.4.1.8.0

注意：通过SNMP协议访问FortiGate HA时，访问主墙可以直接写组名；但访问各个成员时，SNMP的通信组名为: 组名-序列号，比如组名为public，FGT1240-A 的序列号为FGT1KB3909600402，则访问FGT1240-A时，其通信组名为public-FGT1KB3909600402。

创建sensor实现监测目的

创建标准OID和私有OID的sensor的过程不一样，下面分别举例：

私有OID会话数的senson创建举例：

主防火墙的序列号为FGT1KB3909600402。

1.安装PRTG很简单，执行Next就可完成安装

2.安装完成后，点击Add增加sensor

3.然后点击Next，直到如下界面

4.配置正确后，点击Next

5.输入会话的OID，后点击Test this OID，选择type= Gauge (absolute value)

然后Next

6.为主防火墙创建子组，点击结束。完成创建会话sensor过程。

用类似步骤创建CPU、内存的sensor。

标准OID接口流量的senson创建举例：a) 点击Add增加sensor

b) 点击Next，直到如下界面

c) 输入会话的OID，后点击Test this OID，选择type= Gauge (absolute value)

然后Next。(与前一例的步骤4相同)

d)列出所有接口后，点击Connected选中UP的接口，本例不涉及ssl.root虚接口，注意去掉ssl.rot虚接口。

e)点击下一步后，点击Finish.

观察实时运行状态：

配置好主备防火墙的sensor后，观察一个或两个生产周期(比如周、月)设备的运行状态，得到一张设备正常运行基准图，同时也得到了生产周期中观测项的最大值和最小值。注意，基准运行图、最大值及最小值可能随着业务季节或者业务规模的变化而

变化。

4.2.2 主备防火墙告警

对主防火墙：

对CPU的sensor，如果不响应SNMP查询就通过声音、Email/短信告警；

如果CPU利用率超过生产周期(比如周、月)中的最大值10秒钟，则Email/短信告警；

如果会话数超过生产周期最大值的2倍，则Email/短信，会话图背景颜色变化告警；

如果业务接口的流量为零或者接近零，则Email/短信，会话图背景颜色变化告警；对备防火墙：

对业务口流量sensor，如果不响应SNMP查询，就通过声音、Email/短信告警；

如果业务口sensor的流量较大，比如设定超过为主防火墙业务口流量的最小值就表示设备已经切换，且已正常接管工作。

主备防火墙切换判断：

由于目前没有专门用于观察主备防火墙HA成员的是主墙还是备墙的OID，然而可以通过观察主备墙不同优先值的变化来确认主备墙切换是否切换，比如主墙的优先值为200，备墙的优先值为100, HA优先值的OID=1.3.6.1.4.1.12356.101.13.1.3.0，正常情况下，用组名public(注意不要序列号即访问主墙)得到的值是200。一旦备墙切换为主墙后，得到的值将为100，这样的变化即可反映HA的切换。

举例：

比如主防火墙会话数超过正常情况下最大值的2倍，则email/短信、声音，背景颜色变化，步骤如下：

1)因为实验室条件下的流量及会话有限，此处正常情况下会话数为280个，

我们拟设定告警值为560。

2)选中session，点击鼠标右键，点选Edit编辑；

然后点选Notification & Limits，Threshold Notification

3)设定阀值560，如果持续5秒钟超过阀值，

4)其中有四种告警通知方式，下面描述其中Email, EXE和Background三种。E-Mail方式配置：

指定发邮件的服务器：菜单Extras > Options

邮件效果：

短信效果：

EXE:利用媒体播放器播放声音告警

效果：在SNMP监测机上播放指定的告警声音背景颜色：红色告警

触发后背景颜色为红色

5.总结：

PRTG的监测及告警功能简单易用，部署实施费用低效果好，有必要在FortiGate所有关键项目中普遍应用。