Troubleshooting de HA y ConfigSync

Resumen

Los problemas de alta disponibilidad suelen ser de tres tipos: los equipos no se sincronizan, hay un failover inesperado (o dos activos a la vez), o el failover no es transparente para los usuarios. Esta nota indica dónde mirar en cada caso: estado del device group, logs del SOD, causa del failover y configuración de heartbeat, mirroring y MAC masquerading.

Requisitos previos

• Acceso a ambos equipos (GUI y bash)
• Hora exacta del evento
• NTP sincronizado (si no, los logs no se pueden comparar)

Conceptos clave

Estado de sync	Significado
In Sync	Todo igual
Changes Pending	Hay cambios sin sincronizar
Awaiting Initial Sync	Device group recién creado
Not All Devices Synced	Algún equipo tiene otra configuración
Disconnected	No hay comunicación con el peer

Causa de failover	Ejemplo
Administrativa	Force to Standby/Offline
Sistema	TMM o daemon caído (HA table), reinicio, hardware
Red	Heartbeat perdido, VLAN fail-safe, gateway fail-safe
Puntaje	HA group bajó

Configuración (Ejemplo, Lab CBT Nuggets)

1. Estado del par

tmsh show cm device all
tmsh show cm sync-status
tmsh show cm failover-status
tmsh show cm traffic-group
tmsh show sys ha-status

2. Logs del failover

grep -i "failover\|active\|standby" /var/log/ltm
tail -50 /var/log/sodlog

El curso usa /var/log/sodlog; si en tu versión no existe, los mensajes del SOD están en /var/log/ltm (proceso sod).

3. Forzar la sincronización correcta

Desde el equipo con la configuración buena: Device Management > Overview > el equipo > Sync (push to group). Si hace falta, marca Overwrite Configuration para una sincronización completa.

tmsh run cm config-sync to-group DG-Failover
tmsh run cm config-sync force-full-load-push to-group DG-Failover

4. Revisar las direcciones de HA

tmsh list cm device bigip1.f5lab.int configsync-ip unicast-address mirror-ip
tmsh list net self

Verificación

Comando o lugar	Qué debes ver	Si no lo ves
tmsh show cm sync-status	In Sync	Paso 3
tmsh show cm traffic-group	Cada grupo activo en un solo equipo	Split-brain: revisa heartbeat
ping entre las IPs de ConfigSync	Responde	Red de HA caída
Ping continuo al VIP + failover	0–1 paquetes perdidos	Revisa MAC masquerading

Errores comunes

Disconnected / los equipos no se ven

• Causa: red de HA caída, certificados del device trust cambiados (ej. tras un RMA), versiones distintas.
• Revisa: ping entre self IPs de HA, /var/log/ltm.
• Solución: corrige la red; si cambió un certificado, rehace el device trust.

Not All Devices Synced después de un cambio

• Causa: se hizo el cambio en el standby o en ambos equipos.
• Solución: decide cuál tiene la configuración correcta y sincroniza desde ese hacia el grupo.

Dos equipos activos (split-brain)

• Causa: el heartbeat UDP 1026 no llega (Port Lockdown, VLAN de HA caída) y no hay una segunda failover address.
• Solución: abre UDP 1026 y agrega la IP de gestión como failover address adicional.

Failover inesperado

• Causa: gateway fail-safe o VLAN fail-safe sensibles, HA group, TMM reiniciado.
• Revisa: logs a la hora exacta y tmsh show sys ha-status.
• Solución: corrige la causa raíz; ajusta monitores y pesos.

Las sesiones se cortan en el failover

• Causa: sin connection mirroring en apps de sesión larga, o persistencia sin mirroring.
• Solución: habilita mirroring donde haga falta.

Hubo pérdida de tráfico unos segundos en el failover

• Causa: vecinos con la MAC vieja en ARP (sin MAC masquerading).
• Solución: configura MAC Masquerade en el traffic group.

El sync falla con errores de configuración

• Causa: objetos que dependen de algo inexistente en el peer, o versiones distintas.
• Revisa: el error en /var/log/ltm.
• Solución: iguala las versiones y corrige el objeto.