No me funciona la alta disponibilidad con Paloalto. ¿Guardo el segundo en la caja?

Lo gracioso del título es que, os juro que esto lo he oído y además lo hice hace cinco años con un appliance antispam porque en modo transparente no soportaba HA. 
Pero con los PAN no desesperes. Simplemente el concepto es diferente(Como los Cisco PIX), la documentación de configuración de HA no es clara y el artículo con la resolución, está en el centro de soporte y un poco escondido.

http://www.centrodedatos.com/mision-critica/

Claves:
No está basado en redundancia IP tipo VRRP o HSRP. Estos disponen de una dirección virtual compartida (VIP) entre los dos nodos, y una ip asociada a cada nodo, haciendo un total de tres ips por zona o red.
Con Paloalto networks, se configura el primer nodo y el segundo nodo es una copia exacta de toda la configuración, excepto que tiene de diferente es la dirección de HA y la dirección de la interfaz de Gestión(Se pueden gestionar por todas).
Dicho en otras palabras, el segundo nodo tiene las misma ips que el nodo principal, de forma que sino te aseguras que uno está en standby, los dos anuncian las mismas ips y tiras la red.


Bien, pues existe un problema con la HA que hace que no se vean los nodos siguiendo el manual de PAN 3.0 o 4.0. 


Solución: El enlace de heartbeat, keepalive o de comprobación de estado, lo configuras y lo conectas. PERO el segundo enlace de HA no tiene que tener IP!!! y te recomiendo que no actives la sincronización de la configuración hasta que se vean(y este segundo enlace).


SÍ, ya se que en el manual parece que no pase nada y que el transporte supuestamente funciona sobre IP o udp. (Es nuevo en la versión 4)


HTH
RobClav


Por cierto, de la definición  de Wikipedia sobre Ha como "Grado Absoluto de Continuidad Operacional" me recuerda a otra definición de ping como "test de conectividad IP".