Guide · Alta disponibilità
Alta disponibilità con pfSense: CARP, sincronizzazione e coppie Netgate
Quando è il firewall stesso che non deve essere un singolo punto di guasto, la risposta è una coppia ridondante: due appliance Netgate identiche, una attiva e una in standby, che condividono indirizzi IP virtuali. pfSense Plus le coordina con CARP e mantiene sincronizzati gli stati del firewall.
Quando serve l’alta disponibilità
Il Multi-WAN protegge dal guasto della linea; l’alta disponibilità protegge dal guasto del firewall. Risolvono problemi diversi e spesso si combinano:
- Servizi che devono restare raggiungibili anche durante una manutenzione del firewall o un guasto hardware.
- Ambienti in cui una finestra di riavvio per gli aggiornamenti non è accettabile.
- Requisiti di continuità — la stessa resilienza che NIS2 si aspetta dalle misure di rete.
Come funziona la coppia
- CARP: i due nodi condividono IP virtuali; se il master cade, il backup ne prende gli indirizzi.
- Sincronizzazione della configurazione: regole, interfacce e servizi vengono replicati dal master al backup su un’interfaccia di sincronizzazione dedicata.
- Sincronizzazione dello stato (pfsync): gli stati del firewall esistenti vengono replicati, così la maggior parte delle connessioni sopravvive al failover.
- Hardware identico: la coppia deve essere composta da due appliance dello stesso modello.
Cosa non copre l’HA
Una coppia ridondante non sostituisce il Multi-WAN: se cade l’unica linea Internet, entrambi i nodi restano offline. Non protegge dal guasto dello switch davanti ai firewall, e un blackout nel rack richiede comunque alimentazioni separate — il doppio PSU hot-swap dell’8300 MAX protegge il singolo nodo, non il rack.
Scelte hardware
La coppia raddoppia l’hardware e va progettata bene:
- Coppie comuni: 4200 per sedi distribuite, 6100 e 8200 per edge 10 GbE, 8300 per ambienti data center.
- Due appliance identiche, un collegamento di sincronizzazione dedicato e le porte switch corrispondenti.
- Per la massima resilienza: 8300 MAX con doppio PSU hot-swap, rack e alimentazioni separate.
Progettiamo l’architettura con te
Una coppia ridondante dà valore solo se ben progettata: interfacce di sync, indirizzamento, schema switch e test di failover. Raccontaci lo scenario e prepariamo progetto e pre-configurazione.
Domande frequenti
Basta il Multi-WAN o serve l’HA?
Rispondono a guasti diversi: il Multi-WAN copre la linea, l’HA copre il firewall. Un ufficio con una sola linea e una finestra di manutenzione accettabile resta spesso su una singola appliance; i servizi che non possono fermarsi di solito richiedono entrambi.
I due nodi devono essere identici?
Sì: la coppia deve essere composta da due appliance dello stesso modello, con un’interfaccia di sincronizzazione dedicata tra loro.
Le connessioni sopravvivono al failover?
La maggior parte sì: pfsync replica gli stati del firewall al backup, che subentra sugli IP virtuali. Alcuni casi limite — connessioni in fase di handshake — possono doversi ristabilire.
L’HA copre i guasti di alimentazione?
In parte: l’8300 MAX ha doppio PSU hot-swap, che protegge il singolo nodo. Un guasto dell’intero rack o del sito richiede alimentazioni indipendenti o una seconda sede.