*nix CARP 或 VMWare 容错？

Question

我们正在尝试在刀片中心使用 VMWare 所说的“完全折叠的 DMZ”。基本上，我们的 DMZ 直接进入 vSwitch，所有安全设备都已虚拟化。

我花了几天时间阅读为什么这是一个好主意，为什么它是一个坏主意，需要做什么才能使其安全等，但我无法找到的一件事是有关最佳容错的信息方法。

我们选择的边缘防火墙是支持 CARP 的pfSense。我们在集群中有 10 个刀片，因此拥有两个甚至三个启用 VMWare HA 的 pfSense 防火墙并在内部配置了 CARP 是非常可行的，这些防火墙在刀片出现故障时相互接管。但这似乎是很多管理开销，而且我是一个不信任的人，所以这意味着我每周都会登录多个防火墙以确保我们的所有规则等都得到反映。

但是，当 VMWare 的 FT（即使它的单个 vCPU 不足）将提供 CARP 的所有功能时，为什么还要为 CARP 烦恼，而且据我所知，更少的管理、压力和对我工作的关注。

tl;博士：

对于基于软件的防火墙，是否有任何令人信服的理由使用 CARP over FT，反之亦然？

Answer 1

虽然我已经使用 FT 多年了，但说实话，我还没有找到它的实际用途。单个 vCPU 不仅令人痛苦，而且产生的网络流量也令人震惊。您确实最终使用了大部分 GigE 链路来进行 FT，因此您最终将 vMotion 流量扔到另一个 vswitch 上 - 说实话，这让整个事情变得相当痛苦。我的另一个担忧是，FT 只能保护您免受物理故障的影响，如果经过 FT 处理的虚拟机因任何原因发生故障，那么您仍然会失去服务，因为中断将完美地反映在辅助虚拟机中。

当涉及到生产系统时，我是一个谨慎的人，只是认为 FT 现在不值得，希望改变，但我很快就会有其他系统，例如集群/VIP 等。

哦，不用担心 DMZ 崩溃，如果您使用的是 vShield 产品之一，我个人认为它们与任何 Cisco 盒子一样安全。