Agregación de enlaces WAF y la trampa del bypass de hardware

Por qué el bypass puede estar configurado y aun así fallar

El modo de falla aquí no es un ajuste faltante — son dos funciones que se ven correctas y que se anulan silenciosamente entre sí.

El bypass de hardware existe por una sola razón: mantener el tráfico de negocio fluyendo a través de un WAF transparente en línea incluso si el equipo pierde energía o falla. En un WAF con cuatro puertos compatibles con bypass, es tentador tratar la agregación de enlaces como una decisión puramente lógica — agrupar los puertos que están uno junto al otro en un bond, unir los dos bonds, listo. Ese instinto es exactamente lo que rompe el bypass, porque los dos puertos físicos dentro de un mismo par de relé de bypass están fijos por hardware y no les importa cómo los haya agrupado lógicamente.

A continuación, el emparejamiento de interfaces del que realmente depende el bypass, el cableado que mantiene el cortocircuito físico y el puente lógico apuntando en la misma dirección, los ajustes de negociación LACP que deben coincidir antes de que la agregación siquiera se establezca, los problemas que explican la mayoría de estos casos, y respuestas de campo a las preguntas que surgen constantemente.

Lea el mapa de interfaces antes de cablear nada

Dos puertos físicos forman un par de bypass, los haya puesto o no en el mismo bond — el relé no sabe ni le importa su agrupación lógica.

En los puertos compatibles con bypass de este WAF, s1p1↔s1p2 es un par de relé de hardware y s1p3↔s1p4 es el otro. Cuando el equipo pierde energía, el relé cortocircuita físicamente cada par para que el tráfico siga pasando por la caja sin el WAF en el camino. Que ese cortocircuito realmente ayude a su tráfico depende por completo de en qué bond terminó cada puerto.

Las etiquetas del diagrama se mantienen en inglés por claridad técnica.

El cableado incorrecto (izquierda) no es un error poco común — es el más intuitivo, porque agrupar s1p1+s1p2 en un mismo bond se ve ordenado en un diagrama de cableado. También es exactamente lo que anula el bypass: el relé cortocircuita dos puertos que pertenecen al mismo bond, así que el tráfico conmutado vuelve sobre sí mismo en lugar de cruzar al otro bond. La solución es cruzar el cableado para que cada bond contenga un puerto de cada par de bypass.

Lograr que la agregación y el bypass cooperen de verdad

Dos cosas distintas deben ser ciertas a la vez: el cableado físico debe cruzar los pares de bypass, y el LACP debe negociar de verdad — ninguna de las dos por sí sola basta.

Cablee los bonds cruzando los pares de bypass, no dentro de ellos

Esta es la única decisión de cableado de la que depende todo el resto del despliegue — resuélvala antes de configurar cualquier otra cosa.

1. Identifique los pares de bypass a partir del etiquetado del panel de hardware antes de tender ningún cable — en esta plataforma son s1p1↔s1p2 y s1p3↔s1p4.
2. Construya bond1 con s1p1 y s1p3 — un puerto de cada par de bypass, no dos puertos del mismo par.
3. Construya bond2 con s1p2 y s1p4 — los dos compañeros restantes, otra vez uno de cada par.
4. Puentee bond1 con bond2 para formar la ruta en línea, igual que con cualquier puente transparente de dos bonds.
5. Confirme físicamente el cableado cruzado: rastree o etiquete cada cable en ambos extremos para que un futuro recableado no vuelva a poner en silencio los dos miembros de un par de bypass en el mismo bond.

Bridge: br0
  bond1  members: s1p1, s1p3      // one port from each bypass pair
  bond2  members: s1p2, s1p4      // the other port from each bypass pair
  bypass pairs (fixed in hardware): s1p1<->s1p2 , s1p3<->s1p4
// bypass short on s1p1<->s1p2 now crosses bond1 -> bond2, matching the bridge direction

Lograr que el LACP negocie de verdad

El WAF solo habla LACP dinámico — confirme esto antes de dedicar tiempo a comparar algoritmos de balanceo de carga.

1. Confirme que el switch par ejecuta LACP dinámico (802.3ad), no un grupo de agregación estático/manual — la implementación 802.3ad del WAF no negocia en absoluto con un par estático.
2. Al crear el puente, habilite la opción de analizar paquetes LACPDU — sin ella, el WAF nunca procesa las tramas de control LACP del par, y la agregación no se establecerá sin importar qué más esté correcto.
3. Haga coincidir el algoritmo de balanceo de carga / hash en ambos extremos. Si el par ejecuta explícitamente 802.3ad, pruebe el algoritmo de 2+3 capas o 3+4 capas del WAF para corregir una discrepancia de hash. Si el par no está explícitamente en 802.3ad, cambie el modo de agregación del WAF a Round-robin o XOR en lugar de suponer que 802.3ad se degradará con elegancia.
4. Vuelva a comprobar el estado de la negociación después de cada cambio — protocolo, análisis de LACPDU y algoritmo son tres cosas independientes que hay que acertar, no un solo ajuste.

WAF supported aggregation modes:
  LACP 802.3ad          -- dynamic only, no static aggregation support
  Load-balance Round-robin
  Load-balance XOR
  active-backup

Bridge build checklist:
  [ ] Resolve LACPDU packets  -- must be checked, or LACP frames are never read
  [ ] Load-balancing algorithm: 2+3-layer or 3+4-layer -- match the peer's hash
// symptom: negotiation fails even after changing mode and algorithm repeatedly
//  -> peer is very likely on STATIC aggregation, which WAF cannot negotiate against

Cinco problemas que aparecen una y otra vez

Una vez que el cableado y los ajustes LACP están bien, estas son las formas concretas en que esto sigue fallando en campo.

// wrong
bond1: s1p1, s1p2   // both members of the same bypass relay pair
bond2: s1p3, s1p4

// correct
bond1: s1p1, s1p3   // one port from each bypass pair
bond2: s1p2, s1p4

Diseños de soluciones relacionadas

Cinco preguntas que surgen constantemente

Extraídas de casos de campo — las que vale la pena tener respondidas de antemano.

Límites honestos de esta nota

Lectura relacionada