FortiGate HA功能说明
1．1 主用－备用模式
FortiGate防火墙HA的主用－备用(A-P)模式提供了一个双机热备份集群的机制来对网络连接进行可用性保护，在HA集群里面只有一台主用设备在处理所有的网络流量，其他的一台或几台则处于备用状态FortiGate不处理任何网络流量只是在实时的监控着主用FortiGate是否仍然正常工作。
备机主要的工作有：
- 实时和主用FortiGate同步配置；
- 监控主用FortiGate状态；
- 如果启用了会话备份功能（session pick-up）的话，备用设备需要实时同步主用设备上的会话以确保在主用设备出现问题是可以透明接替主用设备，所有主用设备上已经建立的会话不需要重新建立，会话备份功能目前可以支持没有启用防火墙保护内容表的所有TCP/UDP/ICMP/多播/广播数据流；
- 如果没有启用了会话备份功能（session pick-up）的话，备用设备不会实时同步主用设备上的会话，所有主用设备上已经建立的会话在发生HA切换时需要重新建立；
1．2 主用－主用模式
A-P模式部署的防火墙虽然有多台在网但实际上只有一台设备在工作其他所有的设备都在实时的监控主用机发生故障才会有一台接替工作，这样带来的一个问题是设备资源利用率不足。FortiGate防火墙HA功能同时提供了主用－主用（A-A）模式，也就是在所有HA集群中的所有设备都同时工作以同时达到负载均衡和热备份的功能，在A-A集群里面默认配置下的主设备不会负载均衡没有启用保护内容表的流量给非主工作设备，它只会负载均衡所有的启用了防火墙保护内容表的网络连接，处理时它会先接收下来所有的流量同时根据负载均衡配置把相关连接动态分配给其他的非主工作设备处理。这样处理的原因是：通常启用了防火墙保护内容表的网络连接才是CPU和内存消耗主要来源，这样可以大大增加A-A部分是集群的高层安全处理能力。
实际上也可以开启A-A集群负载所有TCP网络流量的功能，需要进入命令行下面开启HA的load-balance-all功能就可以了。
FortiGate防火墙HA的A-A集群不支持UDP/ICMP/多播/广播流量的负载均衡功能，也不支持VoIP、IM、IPSec VPN、HTTPS和SSL VPN负载均衡功能，所有的以上流量都将只有A-A集群里面的主工作设备处理。
FortiGate防火墙HA的A-A集群会话备份功能（session pick-up）支持没有启用防火墙内容保护表的TCP流量，并不提供基于防火墙内容保护表的流量的会话备份功能（session pick-up），也不支持UDP/ICMP/多播/广播流量会话备份功能（session pick-up）。
下图显示了一个典型的包含了2台FGT3600的HA部署结构：
(点击放大)
2．关于设备故障切换和链路故障切换
2．1 什么是设备故障切换
在FortiGate防火墙A-P模式部署中，主用设备处理所有的网络流量，当主用设备出现故障时，如断电，死机，重启等等，备用设备就会自动接替主用设备工作并成为新的主用设备。
2．2 什么是链路故障切换
意思就是配置的监控口（monitor interface）如果出现故障，HA集群就会知道哪个设备上已有网口故障，如果发生网口故障的是一个主用设备，那么HA就会发生切换，备用设备就会主动接替主用设备工作以确保网络的连通性。监控端口（monitor interface）是FortiGate HA配置的一部分，建议最好把需要监控的接口全部都配置上，这样其中任意接口出现故障都可以触发HA切换；可以把一些无关紧要的接口不配置监控功能，这样这些无关紧要的接口出现故障时并不发生HA切换。在所有的HA集群中间，拥有最少的监控的故障接口的设备将会成为主用设备，如果有些设备监控的故障接口数量一致，将按照通常的HA主用设备选举过程产品HA主用设备。备用设备监控接口发生故障时并不发生HA切换而仅仅是把接口故障信息共享同步到所有的HA集群设备里面去，以备发生其他故障时使用。
3．HA集群的Fireware升级
HA集群Web界面里面或这CLI界面下的升级方法和单机的升级方法是一样的，在升级一个HA集群时，升级程序会把所有的集群里面的FortiGate都升级起来包括A-A或A-P模式里面的主用和备用设备，默认配置下HA集群的升级是一个完全无中断的升级过程，这种情况下，升级程序会先把HA集群里面的备用设备升级，等所有的备用设备一台一台全部升级并且重启完成后重新加入到HA集群的时候才升级主用设备，这个时候备用设备就可以接替主用设备工作从而不会导致fireware升级过程中中断网络。
如果有必要，你也可以手工的停止HA集群默认的无中断升级功能，这样，升级程序会同时升级所有的HA集群设备从而产生网络中断。
注意：使用串口用TFTP服务器烧FortiGate版本的时候不在上述升级范围内。
4．HA 配置
4．1 HA的运行模式
包括单机模式，主用-备用模式（A-P）和主用-主用模式（A-A）。
4．2 设备优先级
这是一个可选参数，所有的HA集群里面的设备都可以配置一个不同优先级，在HA协商过程中用来确定谁是主谁是备。
4．3 HA组名
用来区分不同的HA集群，最长支持7个字符。
4．4 HA同步密码
选配参数，用来HA设备间进行认证使用。
4．5 HA会话备份功能（session pick-up）
启用HA会话备份功能（session pick-up）之后，当主用设备出现故障时，备用设备接替工作，所有的非启用保护内容表的连接可以被备用设备接着处理，不重新开始。
4．6 HA接口监控功能
用来监控FortiGate接口是否正常工作从而触发HA集群切换的功能。
4．7 HA心跳口及优先级
HA集群内的各个设备间同步配置、会话信息等等信息和设备监控功能都需要通过HA心跳口进行，在FortiGate HA集群里面可以配置多个心跳口并可以设置不同的优先级，高优先级心跳口优先使用，当高优先级心跳口故障时其他的心跳口仍然可以保证设备间心跳功能。另外，FortiGate心跳协议也支持复用在普通的通讯口上，也就是说这个口不光有用户数据传送也同时传送HA心跳报文。由于心跳功能对HA集群极其重要（心跳口故障将导致HA集群无法正常工作），所以建议部署HA集群时至少有一组独立的心跳口，另外加一组复用的心跳口。
5， HA集群的主用设备选举过程
5．1抢占（override）功能禁止时
HA选举过程如下图显示：
(点击放大)
对于大多数HA集群的默认配置来说，设备序列号******的将会被选举成为HA集群的主用设备。这里默认配置指的是启用了HA模式到A-A或A-P，并且配置了HA组名和认证密码，这样默认配置下面，之所以序列号最高的会被选举成为主用设备，是因为集群里面的所有设备优先级是一样的，工作时间通常也是相同的，而且这时候也没有启用接口监控功能。
5．2 抢占（override）功能启用的时候
HA选举过程如下图显示：
(点击放大)
和抢占（override）功能禁止时功能类似，区别就是抢占功能启用的时候，在监控结构全部正常或工作数量相等的时候，设备优先级最高的将始终是主用设备。举例说明，主备用设备配置了3个监控接口，这个时候主用电源故障关机了，备用设备就会接替主用设备处理用户数据，主用设备返厂维修电源后重新加入到集群里面来，这个时候它将重新成为主用设备而不管备用设备是否故障。override功能禁止时主用重新回来是不会发生HA切换的。
6．虚拟集群
如果防火墙启用了虚拟防火墙功能（Virtual Domain），那么防火墙将会开启虚拟集群功能。虚拟集群功能是对防火墙HA功能的一个扩展，它可以在两个虚拟集群中配置集群的主用－备用功能，也就是说你相当于可以配置2个虚拟集群的负载均衡功能，即集群1中的虚拟防火墙拥有一个优先级，假设它工作在主用模式，那么可以同时配置其他的虚拟防火墙添加到虚拟集群2中，它可以是备用模式。HA里面的另外一台设备则正好相反的配置，即虚拟集群1是备用模式，虚拟集群2是主用模式。这样，实际上实现了基于虚拟集群的负载均衡功能了。
(点击放大)
上图显示了一台防火墙配置了虚拟防火墙之后的HA部分的配置实例，其中配置了虚拟集群1包括虚拟防火墙root，虚拟集群2包括虚拟防火墙test；这台设备上虚拟集群1和虚拟集群1的优先级都是128。可以独立配置2个虚拟集群的监控接口和心跳接口。
7．HA功能的其他注意事项
7．1 HA会话备份功能（session pick-up）
此功能用户HA集群中设备间的会话同步，只支持A-A和A-P里面的没有启用防火墙保护内容表的策略会话同步，，同样不支持IPSec VPN、SSL VPN、PPTP和L2TP等会话备份功能。
7．2 HA虚拟的MAC地址
启用HA功能之后防火墙会在所有的接口上启用HA专用的虚拟MAC地址，MAC地址使用规律如下：
00-09-0f-<16进制组号>-<虚拟集群号>-<接口编号>。
注意，在同一个广播域中如果有多个HA组存在，请配置多个不通的HA组号（group-id）以确保不同的集群虚拟MAC地址不会冲突。
7．3 如下部分配置不会在HA集群设备间同步
· system.interface.secondary-ip.ha-priority
· system.interface.macaddr
· system.accprofile.menu-file
· system.fortiguard.avquery-expiration
· system.fortiguard.antispam-expiration
· system.fortiguard.webfilter-license
· system.fortiguard.webfilter-expiration
· system.ha.override
· system.ha.priority
· system.global.hostname
· gui.console
· gui.topology
7．4 所有的HA集群设备间会同步的配置文件有：
· All files under /data/config/
· CC_MAIN_FILE: /etc/cc_main
· CC_SIG: /etc/cc_sig.dat
· VIR_DB: /etc/vir
· VIR_EXTDB: /data/virext or /data2/virext, depending on there is shared partition
· FCNI: /etc/fcni.dat
· FDNI: /etc/fdnservers.dat
· FSCI: /tmp/sci.dat on FGT60B/FWF60B, /etc/sci.dat on all other platforms
· FSAE: /etc/fsae_adgrp.cache
· IDSDB: /etc/ids.rules
· IDS_USER_RULES: /etc/idsuser.rules
· NIDS_LIB: /data/lib/libips.so
· CERT_CONF: /etc/cert/cert.conf
· IM_AIM_USR: /data/cmdb/imp2p.aim-user
· IM_ICQ_USR: /data/cmdb/imp2p.icq-user
· IM_MSN_USR: /data/cmdb/imp2p.msn-user
· IM_YAHOO_USR: /data/cmdb/imp2p.yahoo-user
· TOPOLOGY_FILE: /etc/topology_root.dat
· TOPOLOGY_BG_FILE: /etc/topology_root.userimg
· TOPOL_PREFS: /etc/topology_prefs
· JSCONN_PREFS: /etc/jsconsole_prefs
· FDSM_MGMT_ID_DAT: /etc/fdsm_mgmt_id.dat
· DAEMON_CONF: /data/config/daemon.conf.gz
· ASE_SO_LIB: /data/lib/libfase.so
· ASE_RULES_CONF: /etc/fase.rules.conf
8． 集群功能相关的命令行配置命令
8．1 基本HA命令
config system ha
set authentication {disable | enable}
set encryption {disable | enable}
set group-id <id_integer>
set group-name <name_str>
set hb-interval <interval_integer>
set hbdev <interface_name> <priority_integer>
set link-failed-signal {disable | enable}
set load-balance-all {disable | enable}
set mode {a-a | a-p | standalone}
set monitor <interface_names>
set override {disable | enable}
set password <password_str>
set priority <priority_integer>
set session-pickup {disable | enable}
set sync-config {disable | enable}
8．2 其它几个常用的HA命令
8．2．1 get system ha status
可以获取当前HA集群主用、备用状态信息
8．2．2 execute ha disconnect
把设备从HA集群里面分离出去
8．2．3 execute ha manage <index>
用于从命令行下面从HA集群的一个设备登陆到另一个设备，如从主用设备上登陆到备用设备上
8．2．4 execute ha synchronize <start/stop>
手工从备用设备上面执行配置同步命令
8．2．5 diag debug application hasync -1
调试输出HA同步进程
8．2．6 diag debug application hatalk -1
调试输出HA通讯进程
8．2．7 diag system ha showcsum
显示HA集群的配置文件的checksum信息，以确认HA集群设备是否已经同步配置