Que pasa cuando actualizas un firewall en HA

Hacia mucho que no tenia que escribir un «Desperation post» … pero o lo hago o reviento. Hay mucho vendemotos que te dice que, si tienes una pareja de firewalls en HA y los actualizas … las conexiones se van a mantener. Mi respuesta … a veces si, a veces … los cojones.

Antiguamente, podías actualizar un firewall (checkpoints, por ejemplo) hacer el failover a mano (lo cual no te aseguraba que todo siguiera funcionando, porque algunas conexiones se iban a la mierda (vamos que se reseteaban)).

Hablo de gente usando RDP que se le queda tonto durante 2 segundos, a veces recupera … a veces no. Todo esto, hablando de firewalls como se configuraban en esa epoca, o sea … ruta por defecto al proveedor y poco mas.

Ahora el proceso es mas «automático», de las al botoncito de actualizar y te vas a por una cocacola, dependiendo del tiempo que tarde en descargarse la nueva versión la cosa va mas o menos rápido (hablo de Fortigates).

Hablo de esto:

1. Zero Downtime Firmware Upgrades (HA Pairs)
In an HA cluster, upgrading firmware can result in nearly zero downtime because the units upgrade sequentially.

Process: The secondary unit updates first, while the primary continues to process traffic. After the secondary restarts, it becomes the primary, and the original primary updates.
Result: A brief traffic hiccup may occur during failover, but sessions are generally maintained, making it suitable for production environments.

Ahora empieza a sumarle cosas a la ecuación, la ruta por defecto se ha convertido en un par de lineas que reciben sus rutas por BGP y eso aumenta el riesgo a quedarte sin conexión durante unos segundos (no son muchos, pero son los suficientes para que a mucha gente se les cierre las sesiones).

Mas claro, eso de … actualizo que nadie se da cuenta … hace mucho que no funciona, por mucho que te vendan la moto.

¿Y porque?, de esto no me bajo … porque el firewall tiene que ser un firewall y punto. Meterle un reinicio a un core de Cisco, ya veras lo que es un «outage». Dependiendo del modelo, hay algunos que tardan minutos en arrancar y sincronizarse.

No se como hacérselo entender a la gente, cada vez que actualizo (¿5 veces al año?) la misma mierda.

Lo que mas me jode es que siempre hay alguien (normalmente fabricantes) que mandan unos pantallazos diciendo, mirar esto y mirar lo otro, sin molestarse en averiguar lo que hay configurado.