Agrégation de liens WAF et le piège du bypass matériel

Pourquoi le bypass peut être configuré et échouer quand même

Le mode de défaillance ici n'est pas un réglage manquant — ce sont deux fonctionnalités qui semblent correctes et qui s'annulent silencieusement l'une l'autre.

Le bypass matériel n'existe que pour une seule raison : maintenir le trafic métier à travers un WAF transparent en ligne même si l'appareil perd l'alimentation ou tombe en panne. Sur un WAF à quatre ports compatibles bypass, il est tentant de traiter l'agrégation de liens comme une décision purement logique — regrouper les ports adjacents dans un bond, ponter les deux bonds, terminé. C'est exactement ce réflexe qui casse le bypass, car les deux ports physiques d'une même paire de relais de bypass sont fixés matériellement et ne se soucient pas de votre regroupement logique.

Voici l'appariement d'interfaces dont dépend réellement le bypass, le câblage qui garde le court-circuit physique et le pont logique orientés dans le même sens, les réglages de négociation LACP qui doivent correspondre avant même que l'agrégation ne monte, les pièges qui expliquent la plupart de ces tickets, et des réponses tirées de cas de terrain aux questions qui reviennent sans cesse.

Lisez la carte des interfaces avant de câbler quoi que ce soit

Deux ports physiques forment une paire de bypass, que vous les ayez placés dans le même bond ou non — le relais ignore et se moque de votre regroupement logique.

Sur les ports compatibles bypass de ce WAF, s1p1↔s1p2 forme une paire de relais matériels et s1p3↔s1p4 l'autre. Quand l'appareil perd l'alimentation, le relais court-circuite physiquement chaque paire pour que le trafic continue de traverser le boîtier sans passer par le WAF. L'utilité réelle de ce court-circuit pour votre trafic dépend entièrement du bond dans lequel chaque port a fini.

Les légendes du schéma restent en anglais pour la clarté technique.

Le mauvais câblage (à gauche) n'est pas une erreur rare — c'est même le plus intuitif, car regrouper s1p1+s1p2 dans un même bond paraît soigné sur un schéma de câblage. C'est aussi exactement ce qui défait le bypass : le relais court-circuite deux ports qui appartiennent tous deux au même bond, de sorte que le trafic basculé reboucle sur lui-même au lieu de traverser vers l'autre bond. La solution consiste à croiser le câblage pour que chaque bond contienne un port de chaque paire de bypass.

Faire coopérer réellement l'agrégation et le bypass

Deux choses distinctes doivent être vraies en même temps : le câblage physique doit croiser les paires de bypass, et le LACP doit réellement négocier — l'un sans l'autre ne suffit pas.

Câblez les bonds à travers les paires de bypass, pas à l'intérieur

C'est la seule décision de câblage dont dépend tout le reste du déploiement — réglez-la avant de configurer quoi que ce soit d'autre.

1. Identifiez les paires de bypass à partir de l'étiquetage du panneau matériel avant de tirer le moindre câble — sur cette plateforme, ce sont s1p1↔s1p2 et s1p3↔s1p4.
2. Construisez bond1 avec s1p1 et s1p3 — un port de chaque paire de bypass, pas deux ports de la même paire.
3. Construisez bond2 avec s1p2 et s1p4 — les deux partenaires restants, à nouveau un de chaque paire.
4. Pontez bond1 à bond2 pour former le chemin en ligne, de la même façon qu'un pont transparent classique à deux bonds.
5. Confirmez physiquement le câblage croisé : tracez ou étiquetez chaque câble aux deux extrémités pour qu'un futur recâblage ne remette pas discrètement les deux membres d'une paire de bypass dans le même bond.

Bridge: br0
  bond1  members: s1p1, s1p3      // one port from each bypass pair
  bond2  members: s1p2, s1p4      // the other port from each bypass pair
  bypass pairs (fixed in hardware): s1p1<->s1p2 , s1p3<->s1p4
// bypass short on s1p1<->s1p2 now crosses bond1 -> bond2, matching the bridge direction

Faire réellement négocier le LACP

Le WAF ne parle que le LACP dynamique — confirmez-le avant de passer du temps à comparer les algorithmes d'équilibrage de charge.

1. Confirmez que le commutateur pair exécute le LACP dynamique (802.3ad), et non un groupe d'agrégation statique/manuel — l'implémentation 802.3ad du WAF ne négocie absolument pas avec un pair statique.
2. Lors de la création du pont, activez l'option d'analyse des paquets LACPDU — sans elle, le WAF ne traite jamais les trames de contrôle LACP du pair, et l'agrégation ne montera jamais, quoi que soit correct par ailleurs.
3. Faites correspondre l'algorithme d'équilibrage de charge / de hachage aux deux extrémités. Si le pair exécute explicitement 802.3ad, essayez l'algorithme 2+3 couches ou 3+4 couches du WAF pour corriger une incompatibilité de hachage. Si le pair n'est pas explicitement en 802.3ad, basculez le mode d'agrégation du WAF vers Round-robin ou XOR au lieu de supposer que 802.3ad se repliera avec élégance.
4. Revérifiez l'état de la négociation après chaque changement — protocole, analyse LACPDU et algorithme sont trois choses indépendantes à régler, pas un seul paramètre.

WAF supported aggregation modes:
  LACP 802.3ad          -- dynamic only, no static aggregation support
  Load-balance Round-robin
  Load-balance XOR
  active-backup

Bridge build checklist:
  [ ] Resolve LACPDU packets  -- must be checked, or LACP frames are never read
  [ ] Load-balancing algorithm: 2+3-layer or 3+4-layer -- match the peer's hash
// symptom: negotiation fails even after changing mode and algorithm repeatedly
//  -> peer is very likely on STATIC aggregation, which WAF cannot negotiate against

Cinq pièges qui reviennent sans cesse

Une fois le câblage et les réglages LACP corrects, voici les façons précises dont cela tourne encore mal sur le terrain.

// wrong
bond1: s1p1, s1p2   // both members of the same bypass relay pair
bond2: s1p3, s1p4

// correct
bond1: s1p1, s1p3   // one port from each bypass pair
bond2: s1p2, s1p4

Conceptions de solutions associées

Cinq questions qui reviennent constamment

Tirées de cas de terrain — celles qui méritent une réponse toute prête.

Limites honnêtes de cette note

Lectures connexes