Sophos Firewall HA Senkronizasyon Hatası Nasıl Çözülür?

Sophos Firewall HA (High Availability) senkronizasyon hatası, Active (Primary) ve Auxiliary (Secondary) cihazların yapılandırma veya durum bilgilerinin birbirine doğru şekilde aktarılmaması sonucu oluşur. Bu durum, HA kümesinin sağlıklı çalışmasını engelleyebilir ve olası bir cihaz arızasında servis kesintisine neden olabilir. Sorunun temelinde çoğunlukla firmware uyumsuzluğu, ağ bağlantısı, lisans, donanım farklılığı veya HA arayüzü yapılandırma problemleri bulunur.

Sophos Firewall HA Senkronizasyon Hatası Nedir?

Sophos Firewall High Availability (HA), iki güvenlik duvarının birlikte çalışarak kesintisiz hizmet sunmasını sağlayan yüksek erişilebilirlik teknolojisidir.

HA yapısında;

Primary (Active) cihaz trafiği yönetir.
Auxiliary (Passive) cihaz sürekli bekleme modundadır.
Konfigürasyonlar otomatik olarak eşitlenir.
Oturum bilgileri (Stateful HA yapılandırıldıysa) senkronize edilir.

Normal şartlarda yapılan her değişiklik saniyeler içerisinde ikinci cihaza aktarılır.

Ancak senkronizasyon başarısız olduğunda;

Secondary cihaz güncel yapılandırmayı alamaz.
Failover sırasında servisler çalışmayabilir.
VPN, NAT, Firewall Rule ve Object bilgileri eksik kalabilir.
Cluster “Not Synchronized” durumuna düşebilir.

Sophos dokümantasyonunda HA durumunun sürekli “In Sync” olarak görünmesi gerektiği belirtilmektedir.

HA Senkronizasyon Hatasının Belirtileri

En sık görülen belirtiler şunlardır:

HA Status ekranında Not Synchronized
Configuration Sync Failed
Auxiliary cihaz Offline görünmesi
Failover sonrası internet erişiminin çalışmaması
Secondary cihazda eski kuralların görünmesi
Synchronization Pending
HA Link Down
State Sync Error

En Yaygın Nedenler

Sorun	Açıklama
Firmware sürümleri farklı	HA yalnızca aynı SFOS sürümünde sağlıklı çalışır.
Donanım uyumsuzluğu	Aynı model önerilir. Desteklenen kombinasyonlar dışında HA kurulamaz.
Port eşleşmeleri yanlış	HA bağlantı portları birebir aynı olmalıdır.
HA Link kopuk	Senkronizasyon trafiği taşınamaz.
Lisans uyuşmazlığı	Bazı HA senaryolarında lisans doğrulaması gerekir.
Cluster ID uyuşmazlığı	HA kümesi bozulabilir.
MTU problemi	Büyük paketler düşebilir.
Yönetim IP çakışması	HA yönetimi başarısız olabilir.
Switch VLAN hataları	HA heartbeat paketleri iletilemez.
Fiziksel kablo problemi	En sık görülen saha sorunlarından biridir.

Ön Kontrol Listesi

Sorun çözmeye başlamadan önce aşağıdakiler doğrulanmalıdır.

✅ İki cihaz aynı firmware mi?

✅ Aynı model mi?

✅ Aynı lisans yapısı mı?

✅ HA portları doğru mu?

✅ Kablolar sağlam mı?

✅ Switch üzerinde HA VLAN’ı doğru mu?

✅ Yönetim IP çakışıyor mu?

Firmware Uyumluluğunu Kontrol Edin

Sophos HA için en kritik şartlardan biri firmware eşitliğidir.

Örneğin;

Primary

SFOS 21.0 MR1

Secondary

SFOS 20.0 MR2

Bu durumda HA senkronizasyonu gerçekleşmez.

Sophos Knowledge Base ve resmi SFOS dokümantasyonunda HA kurulmadan önce iki cihazın aynı SFOS sürümünde olması gerektiği açıkça belirtilmektedir.

HA Durumunu CLI Üzerinden Kontrol Edin

CLI üzerinden mevcut HA durumunu görüntüleyebilirsiniz.

system ha status

veya

console> system ha status

Çıktıda;

HA State

Primary

Node Status

Active

Synchronization

In Sync

şeklinde görünmelidir.

Eğer;

Synchronization

Not synchronized

görülüyorsa senkronizasyon sorunu vardır.

HA Link Bağlantısını Kontrol Edin

HA cihazları arasında kullanılan heartbeat bağlantısı kesilirse senkronizasyon tamamen durur.

Kontrol edilmesi gerekenler:

Ethernet kablosu
Switch portu
Speed/Duplex
VLAN etiketi
Fiber modül
SFP uyumluluğu

Özellikle saha ortamlarında en sık rastlanan problem bozuk patch kablolardır.

Port Eşleşmelerini Doğrulayın

HA’da tüm fiziksel portlar aynı sırada kullanılmalıdır.

Örneğin;

Primary

Port1 WAN

Port2 LAN

Port3 DMZ

Secondary cihazda da aynı fiziksel bağlantılar bulunmalıdır.

Yanlış port eşleşmesi senkronizasyonu bozabilir.

Yönetim IP Adreslerini Kontrol Edin

HA ortamında;

Dedicated Management
Virtual MAC
HA IP
Auxiliary IP

doğru yapılandırılmış olmalıdır.

IP çakışması varsa cluster düzgün oluşmaz.

HA Loglarını İnceleyin

CLI üzerinden;

tail -f /log/syslog.log

veya

tail -f /log/ha.log

(İlgili günlük dosyası SFOS sürümüne göre değişebilir.)

Burada görülebilecek örnek kayıtlar:

Synchronization failed

Heartbeat lost

Node communication timeout

HA link down

Bu kayıtlar doğrudan sorunun kaynağını göstermeye yardımcı olur.

Cluster Durumunu Yeniden Senkronize Edin

Bazı durumlarda HA yeniden eşitleme yeterlidir.

İzlenecek adımlar:

Primary cihazın Active olduğundan emin olun.
Secondary cihazın bağlı olduğunu doğrulayın.
HA Status ekranını kontrol edin.
Gerekirse Secondary düğümü yeniden HA kümesine ekleyin.
Senkronizasyon tamamlanana kadar bekleyin.

Uyarı: HA kümesini kaldırıp yeniden oluşturmak, mevcut yapılandırmayı etkileyebilir. Üretim ortamında işlem öncesinde mutlaka güncel yedek alın ve mümkünse bakım penceresinde çalışın.

Firmware Güncellemesi Sonrası Senkronizasyon Sorunu

En sık görülen senaryolardan biridir.

Örneğin;

Primary başarıyla güncellendi.
Secondary güncellenemedi.

Sonuç:

Configuration Sync Failed

Çözüm:

İki cihazı aynı MR sürümüne yükseltin.
Gerekirse yeniden reboot edin.
HA yeniden oluşacaktır.

MTU Problemleri

Bazı veri merkezlerinde jumbo frame kullanımı HA paketlerini etkileyebilir.

Kontrol edilmesi gerekenler:

Switch MTU
Interface MTU
VLAN MTU

Tüm cihazlarda aynı değer kullanılmalıdır.

Donanım Uyumsuzluğu

Sophos resmi HA destek tablosuna göre;

Desteklenen:

Aynı model
Aynı revizyon
Aynı port yapısı

Desteklenmeyen:

XGS 2100 + XGS 2300
XGS + eski XG serisi
Farklı port mimarileri

Bu nedenle donanım uyumsuzluğu HA senkronizasyon hatasına neden olabilir.

Lisans Kontrolü

Active cihazın lisansı geçerli olmalıdır.

Kontrol edilmesi gerekenler:

Subscription
Support
Base License

Lisans doğrulaması tamamlanmadan bazı servisler düzgün senkronize olmayabilir.

Ağ Gecikmesi ve Paket Kaybı

Heartbeat bağlantısı düşük gecikmeli olmalıdır.

Sorun oluşturan durumlar:

Paket kaybı
CRC Error
Duplex uyuşmazlığı
Switch Loop
STP gecikmesi

Bu nedenle switch logları da incelenmelidir.

Fabrika Ayarına Döndürmek Gerekir mi?

Hayır.

Çoğu HA senkronizasyon problemi;

firmware
ağ
port
heartbeat
HA yeniden oluşturma

işlemleriyle çözülmektedir.

Factory Reset son seçenek olmalıdır.

Sorun Giderme Adımları

Firmware sürümlerini karşılaştırın.
Donanım modellerini doğrulayın.
HA kablosunu kontrol edin.
Switch portlarını doğrulayın.
HA heartbeat paketlerini test edin.
HA loglarını inceleyin.
Yönetim IP çakışmalarını giderin.
Lisans durumunu doğrulayın.
Secondary cihazı yeniden senkronize edin.
Gerekirse HA kümesini yeniden oluşturun.

En Sık Görülen HA Senkronizasyon Problemleri

Belirti	Olası Neden	Çözüm
Not Synchronized	Firmware farkı	Aynı SFOS sürümünü yükleyin.
Configuration Sync Failed	HA bağlantısı kopuk	Heartbeat bağlantısını kontrol edin.
Secondary Offline	Fiziksel bağlantı	Kablo ve switch portunu doğrulayın.
HA Link Down	Arızalı port	Farklı port veya kablo deneyin.
Stateful Sync Error	Ağ gecikmesi	MTU, gecikme ve paket kaybını inceleyin.
Failover başarısız	Konfigürasyon eksik	Senkronizasyonu yeniden başlatın.
Cluster oluşmuyor	Model uyumsuzluğu	Desteklenen HA kombinasyonlarını kullanın.

Windows ve macOS Yönetim İstemcileri Açısından Durum

HA senkronizasyon sorunları işletim sisteminden bağımsızdır. Firewall yapılandırması web yönetim arayüzü üzerinden yapıldığından Windows veya macOS yöneticileri aynı HA durum bilgilerini görüntüleyebilir. Ancak CLI erişimi için kullanılan SSH istemcilerinin bağlantı ayarlarının doğru yapılandırıldığından emin olunmalıdır.

En İyi Uygulamalar

Her iki cihazda aynı SFOS sürümünü kullanın.
Güncelleme öncesinde HA sağlık durumunu doğrulayın.
Heartbeat için mümkünse doğrudan bağlantı kullanın.
HA bağlantısını kullanıcı trafiğinden ayırın.
Düzenli yapılandırma yedeği alın.
Firmware yükseltmelerini Sophos’un önerdiği HA yükseltme sırasına göre gerçekleştirin.
Switch üzerinde HA portlarında gereksiz filtreleme ve güvenlik politikalarından kaçının.

Sophos Firewall HA senkronizasyon hataları çoğu zaman firmware uyumsuzluğu, heartbeat bağlantısı, donanım farklılığı veya ağ yapılandırmasından kaynaklanır. Sorun giderme sürecinde firmware eşitliği, fiziksel bağlantılar, HA durumu ve sistem günlükleri sistematik şekilde incelendiğinde problemlerin büyük bölümü fabrika ayarına dönmeden çözülebilir. Özellikle üretim ortamlarında HA kümesini yeniden oluşturmadan önce güncel yapılandırma yedeği alınması ve işlemlerin planlı bakım penceresinde yapılması önerilir.

Sık Sorulan Sorular

Sophos Firewall HA “Not Synchronized” hatası ne anlama gelir?

Primary ve Secondary firewall cihazları arasında yapılandırma veya durum bilgilerinin başarıyla eşitlenemediğini gösterir. En yaygın nedenler firmware uyumsuzluğu, heartbeat bağlantısı veya ağ sorunlarıdır.

HA senkronizasyonu için iki cihazın aynı firmware sürümünde olması zorunlu mudur?

Evet. Sophos, HA kümesindeki cihazların aynı SFOS sürümü ve aynı Maintenance Release (MR) seviyesinde olmasını önerir. Farklı sürümler senkronizasyon hatalarına neden olabilir.

HA senkronizasyon hatası internet erişimini etkiler mi?

Normal çalışma sırasında her zaman etkilemeyebilir. Ancak failover gerçekleştiğinde Secondary cihaz güncel yapılandırmayı almadıysa VPN, NAT, güvenlik kuralları ve diğer servisler beklenildiği gibi çalışmayabilir.

HA kümesini silmeden sorun çözülebilir mi?

Çoğu durumda evet. Firmware eşitleme, heartbeat bağlantısının düzeltilmesi, log incelemesi ve yeniden senkronizasyon işlemleri sorunu giderir. HA kümesini yeniden oluşturma son seçenek olmalıdır.

HA yeniden kurulmadan önce nelere dikkat edilmelidir?

İşlem öncesinde mutlaka tam yapılandırma yedeği alınmalı, üretim ortamında bakım penceresi planlanmalı ve sertifika veya yönetim IP’si gibi kritik ayarlar değiştirilecekse etkileri önceden değerlendirilmelidir.