一、基础认知：HA 集群需保护的 3 类核心网络与关键端口
配置防火墙前，需先明确 HA 集群的网络架构与通信需求 —— 不同网络承担的功能不同，对应需开放的端口也不同，这是规则配置的核心依据：
1. HA 集群的 3 类核心网络（表 1）
HA 集群的正常运行依赖 “心跳网络”“业务网络”“仲裁网络” 三类通信，防火墙需为每类网络配置专属规则：
2. HA 集群必须开放的关键端口（表 2）
不同网络对应的端口是防火墙规则的 “核心配置项”，遗漏或误拦截会直接导致集群功能失效，官方指定端口如下：
二、HA 集群防火墙规则配置的 5 项前提条件
操作前需确认集群状态、权限、网络环境满足要求，避免配置过程中出现 “规则无法保存”“端口测试失败” 等问题：
三、HA 集群防火墙规则配置分步操作（分角色配置）
HA 集群的防火墙规则需在Active 服务器、Passive 服务器、外部仲裁服务器（若使用）分别配置，每类节点的规则侧重点不同，需按角色逐步操作（以 DSM 7.2 为例）：
步骤 1：Active 服务器防火墙规则配置（核心：业务 + 心跳 + 仲裁）
Active 服务器需同时处理 “客户端业务访问”“与 Passive 同步”“与仲裁服务器交互”，规则配置最复杂，需分 3 类场景创建规则：
场景 1：允许客户端业务访问（业务网络规则）
目的：仅允许授权客户端访问 Active 服务器的业务端口（如 SMB、iSCSI），拒绝非法 IP：
- 登录 Active 服务器→“控制面板→安全性→防火墙→规则→新增”；
- 配置规则基本信息：
- 规则名称：自定义（如 “允许授权客户端访问 SMB”，便于后续管理）；
- 方向：入站（客户端→Active，业务请求从外部进入 Active）；
- 动作：允许（明确允许该类通信）；
- 配置通信协议与端口：
- 协议：TCP（SMB 用 TCP 445，iSCSI 用 TCP 3260，按需选择）；
- 端口：若为 SMB，输入 “445”；若为 iSCSI，输入 “3260”（可创建多条规则分别配置不同服务）；
- 配置来源限制（关键！限制授权客户端）：
- 来源：选择 “子网”，输入授权客户端 IP 段（如 “192.168.1.10/24”，表示 192.168.1.10-192.168.1.254）；
- （可选）若需精准限制单 IP，选择 “IP 地址” 并输入具体 IP（如 “192.168.1.50”）；
- 目标：默认 “所有地址”（Active 服务器的业务网口 IP），无需修改；
- 点击 “确定”，重复上述步骤，为 iSCSI（3260）、Web 管理（5001）等业务创建对应规则。
场景 2：允许与 Passive 服务器同步（心跳 + 同步网络规则）
目的：确保 Active 与 Passive 的心跳通信、数据同步不被拦截，需双向允许：
- 点击 “新增”，配置心跳端口规则：
- 规则名称：“允许与 Passive 心跳通信（5390）”；
- 方向：双向（Active↔Passive，心跳与同步需双向传输）；
- 动作：允许；
- 协议：TCP；
- 端口：5390（HA 集群核心同步端口）；
- 来源：选择 “IP 地址”，输入 Passive 服务器的心跳网口 IP（如 “192.168.0.101”）；
- 目标：选择 “IP 地址”，输入 Active 服务器的心跳网口 IP（如 “192.168.0.100”）；
- 点击 “确定”，再新增 “配置同步端口规则”（5001）：
- 规则名称：“允许与 Passive 配置同步（5001）”；
- 方向：双向；
- 协议：TCP；
- 端口：5001；
- 来源 / 目标：同上，仅允许 Active 与 Passive 的 IP；
- 点击 “确定”，完成同步相关规则配置。
场景 3：允许与外部仲裁服务器交互（仲裁网络规则）
目的：若使用外部仲裁服务器，需允许 Active 与仲裁服务器的投票通信：
- 点击 “新增”，配置仲裁端口规则：
- 规则名称：“允许与外部仲裁服务器通信（5390）”；
- 方向：双向；
- 动作：允许；
- 协议：TCP；
- 端口：5390；
- 来源：输入外部仲裁服务器 IP（如 “192.168.2.100”）；
- 目标：输入 Active 服务器的仲裁网口 IP（如 “192.168.2.100”）；
- 点击 “确定”，完成 Active 服务器所有规则配置。
步骤 2：Passive 服务器防火墙规则配置（核心：同步 + 仲裁）
Passive 服务器不直接处理客户端业务，仅需与 Active 同步、与仲裁服务器交互，规则更简洁：
- 登录 Passive 服务器→“控制面板→安全性→防火墙→新增”；
- 配置 “与 Active 同步规则”（同 Active 场景 2，端口 5390、5001）：
- 规则名称：“允许与 Active 同步（5390+5001）”；
- 方向：双向；
- 协议：TCP；
- 端口：5390,5001（多个端口用英文逗号分隔）；
- 来源：Active 服务器的心跳网口 IP（如 “192.168.0.100”）；
- 目标：Passive 服务器的心跳网口 IP（如 “192.168.0.101”）；
- 点击 “确定”，再新增 “与外部仲裁服务器规则”（同 Active 场景 3，端口 5390）：
- 规则名称：“允许与外部仲裁服务器通信（5390）”；
- 方向：双向；
- 协议：TCP；
- 端口：5390；
- 来源：外部仲裁服务器 IP（如 “192.168.2.100”）；
- 目标：Passive 服务器的仲裁网口 IP（如 “192.168.2.101”）；
- 点击 “确定”，注意：Passive 服务器无需配置业务端口规则（如 445、3260），因其不对外提供业务访问。
步骤 3：外部仲裁服务器防火墙规则配置（若使用）
外部仲裁服务器仅需与 Active/Passive 交互，规则聚焦 “允许集群节点访问”：
- 登录外部仲裁服务器（以 Synology NAS 为例）→“控制面板→安全性→防火墙→新增”；
- 配置仲裁通信规则：
- 规则名称：“允许 HA 集群节点访问（5390）”；
- 方向：双向；
- 动作：允许；
- 协议：TCP；
- 端口：5390；
- 来源：输入 Active 与 Passive 服务器的仲裁网口 IP（如 “192.168.2.100,192.168.2.101”）；
- 目标：外部仲裁服务器的 IP（如 “192.168.2.200”）；
- 点击 “确定”，完成配置（无需其他规则，避免暴露多余端口）。
步骤 4：调整规则优先级（关键！避免规则冲突）
防火墙规则按 “从上到下” 顺序生效，若 “拒绝规则” 在 “允许规则” 之前，会导致允许规则失效，需调整优先级：
- 在各服务器的防火墙 “规则” 页面，按以下顺序排列规则（优先级从高到低）：
- 允许心跳 / 同步通信规则（5390、5001，集群核心，优先生效）；
- 允许仲裁通信规则（5390，关键场景，次优先）；
- 允许业务访问规则（445、3260 等，按需生效）；
- 默认拒绝规则（系统自带，所有未匹配的通信均拒绝，放在最后）；
- 调整方法：选中规则，点击 “上移”“下移” 按钮，调整后点击 “应用” 保存。
四、防火墙规则配置后的 3 项核心验证（确保功能正常）
配置完成后，需通过 “端口连通性”“集群功能”“业务访问” 3 类验证，确认规则无拦截，集群与业务均正常：
1. 端口连通性测试（验证端口是否开放）
使用 “Telnet” 或 “PortQry” 工具，测试关键端口是否能正常访问：
- 测试心跳端口（5390）：
- 在 Active 服务器打开命令提示符（需开启 SSH 或本地终端）；
- 输入telnet 192.168.0.101 5390（Passive 的心跳 IP 与端口）；
- 若显示 “Connected to 192.168.0.101”，说明端口开放；若显示 “Connection failed”，需检查规则中的 IP 与端口是否正确。
- 测试业务端口（445）：
- 在授权客户端（如 192.168.1.50）打开命令提示符；
- 输入telnet 192.168.1.100 445（Active 的业务 IP 与 SMB 端口）；
- 显示 “Connected” 即正常，若拒绝，检查规则中的 “来源 IP 段” 是否包含客户端 IP。
2. HA 集群功能验证（确保同步与切换正常）
- 同步验证：
- 登录 Active 服务器→“高可用集群→同步状态”；
- 确认 “数据同步”“配置同步” 均显示 “正常”，无 “同步失败” 日志；
- 在 Active 服务器创建一个测试文件（如 “test_ha.txt”），1 分钟后登录 Passive 服务器，确认该文件已同步（在对应共享文件夹中可见）。
- 故障切换验证（建议低峰期操作）：
- 在 HA 集群页面→“集群操作→手动切换 Active/Passive”；
- 观察切换过程（约 1-2 分钟），确认切换后新 Active 服务器（原 Passive）状态正常；
- 测试业务访问：客户端仍通过原业务 IP 访问，确认能正常读写数据（无中断）。
3. 安全拦截验证（确保非法访问被拒绝）
测试未授权 IP 是否被防火墙拦截，验证安全防护效果：
- 使用未授权客户端（如 IP 192.168.1.250，不在授权段内）；
- 尝试访问 Active 服务器的 SMB 共享（输入192.168.1.100）；
- 若显示 “无法访问” 或 “权限不足”，说明防火墙拦截生效；
- 查看防火墙日志：“控制面板→安全性→防火墙→日志”，确认有 “拒绝 192.168.1.250 访问 445 端口” 的记录。
五、常见问题 FAQ（解决规则配置中的高频问题）
Q1：配置防火墙后，Active 与 Passive 同步失败，日志显示 “5390 端口连接超时”，怎么办？
A：核心是心跳端口规则配置错误，解决步骤：
- 检查规则中的 “方向”：确认心跳端口（5390）规则为 “双向”，而非 “单向”（同步需 Active→Passive 与 Passive→Active 双向通信）；
- 检查 IP 与端口：确认规则中的 “来源 / 目标 IP” 是心跳网口 IP（如 192.168.0.100/101），而非业务网口 IP；
- 临时关闭防火墙测试：若关闭后同步恢复，说明规则仍有问题，重新核对表 2 中的端口与通信方向。
Q2：客户端能访问 Active 服务器的共享文件夹，但无法访问 iSCSI LUN，怎么排查？
A：大概率是 iSCSI 端口（3260）规则未配置，步骤：
- 登录 Active 服务器→“防火墙→规则”，确认是否有 “允许客户端访问 3260 端口” 的规则；
- 若没有，按步骤 1 场景 1 新增规则：方向 “入站”、协议 “TCP”、端口 “3260”、来源 “授权客户端 IP 段”；
- 测试端口：在客户端用telnet ActiveIP 3260，确认连通后重新连接 iSCSI LUN。
Q3：使用外部仲裁服务器时，集群显示 “仲裁通信失败”，防火墙规则没问题，怎么办？
A：需检查 “仲裁服务器的规则方向” 与 “IP 是否正确”：
- 确认外部仲裁服务器的规则方向为 “双向”（集群节点→仲裁服务器需发送投票请求，仲裁服务器→节点需返回结果）；
- 核对仲裁服务器的 IP：确保集群节点规则中的 “来源 IP” 是仲裁服务器的实际 IP，无拼写错误（如将 192.168.2.200 写成 192.168.1.200）；
- 检查仲裁服务器的防火墙日志：查看是否有 “允许集群节点访问 5390 端口” 的记录，无则说明规则未生效，重新保存规则并应用。
六、HA 集群防火墙配置的 5 项安全建议（长期运维）
- 最小权限原则：业务端口规则仅允许 “授权 IP 段” 访问，避免 “所有 IP” 开放（如 SMB 端口仅允许公司办公网段，不允许公网 IP）；
- 定期审计规则：每季度检查防火墙规则，删除无用规则（如已停用的 NFS 服务对应的 2049 端口规则），避免规则冗余导致冲突；
- 日志监控：开启防火墙日志 “实时监控”（“控制面板→安全性→防火墙→日志→实时查看”），发现频繁非法访问时，及时调整规则（如屏蔽恶意 IP）；
- 备份规则配置：在 Active/Passive 服务器的防火墙页面，点击 “导出”，将规则保存为文件（如 “ha_firewall_rules.cfg”），避免重装系统后重新配置；
- 避免过度防护：无需为 “心跳网络” 配置复杂规则（如限制端口速率），心跳通信为内部专用，过度限制会影响同步效率。
总结
Synology HA 集群防火墙规则配置的核心是 “精准识别关键通信，平衡安全与功能”—— 需明确心跳、业务、仲裁三类网络的端口需求，按 Active、Passive、仲裁服务器的角色差异化配置，同时通过严格的来源限制与规则优先级调整，确保授权通信畅通、非法访问被拦截。配置后务必通过端口测试、集群同步、故障切换验证功能，避免后续业务中断。日常运维中，遵循最小权限原则与定期审计，可长期保障 HA 集群的安全与稳定运行。
Synology HA 集群防火墙规则配置教程：端口开放与安全设置指南
相关文章
地址：北京市海淀区白家疃尚品园 1号楼225
北京群晖时代科技有限公司