FortiGate: configurar alta disponibilidad (HA) entre dos equipos

La función HA (High Availability) de FortiGate permite agrupar varios equipos para que funcionen como uno solo. Uno toma el rol de primario y sincroniza su configuración con los demás, que quedan como secundarios.

• Activo-pasivo (a-p): el secundario queda en espera y toma el control si falla el primario.
• Activo-activo (a-a): los secundarios además procesan parte del tráfico (inspección UTM), distribuido por el primario.

Por defecto, el primario se elige según: cantidad de interfaces monitoreadas activas, tiempo de actividad (uptime), prioridad y número de serie. Con override habilitado, la prioridad pasa a pesar más que el uptime.

Requisitos

• Mismo modelo de hardware y misma versión de firmware.
• Mismo licenciamiento (FortiGuard, VDOMs, etc.).
• Dos puertos dedicados para el heartbeat (por defecto, HA1 y HA2).

1. Configurar el equipo en producción (primario)

config system ha
    set mode a-p
    set group-id 10
    set group-name "OPTIMA-HA"
    set password <clave-del-cluster>
    set override enable
    set priority 200
    set hbdev "ha1" 50 "ha2" 50
    set monitor "wan1" "internal"
end

El group-id debe ser distinto si hay más de un clúster en la misma red, porque define la MAC virtual.

2. Configurar el secundario

Si el equipo estuvo en uso, primero restablecelo a valores de fábrica y asignale un nombre distinto:

execute factoryreset

config system global
    set hostname FGT-SECUNDARIO
end

Después aplicá la misma configuración HA que en el primario, pero sin override y con una prioridad menor (por ejemplo, 100).

3. Cablear

Conectá los puertos de heartbeat entre ambos equipos. Cada red interna y cada enlace a Internet debe llegar a los dos FortiGate por el mismo puerto: por ejemplo, el cable del proveedor va a un switch y de ahí sale un cable al WAN1 de cada equipo.

4. Verificar

get system ha status
diagnose sys ha checksum cluster

Si los checksums de ambos equipos coinciden, la configuración está sincronizada. En ese momento conviene deshabilitar override en el primario, para evitar conmutaciones innecesarias cuando vuelve un equipo que había fallado:

config system ha
    set override disable
end

---