Bereiten Sie Ihre Umgebung auf die Bereitstellung mit hoher Verfügbarkeit mit mehreren Knoten vor

Gerätemodell

Bei Multinode-Hochverfügbarkeit müssen Sie dasselbe Firewall-Modell der SRX-Serie wie Ihre Knoten verwenden. Wenn Sie beispielsweise den SRX5600 als einen Knoten verwenden, müssen Sie einen anderen SRX5600 als anderen Knoten verwenden

Stellen Sie bei Geräten der SRX5000-Reihe sicher, dass SPCs, NPCs und IOCs dieselbe Steckplatzplatzierung und denselben Typ haben.

Software-Version

Installieren Sie die kompatible Version von Junos OS auf den teilnehmenden Sicherheitsgeräten.

Software-Lizenzen

Für die Multinode-Hochverfügbarkeitsfunktion benötigen Sie keine spezielle Lizenz. Lizenzen sind jedoch für jede SRX-Serie einzigartig und können nicht zwischen den Knoten in einer Multinode-Hochverfügbarkeitskonfiguration gemeinsam genutzt werden. Daher müssen Sie auf beiden Knoten identische Lizenzen verwenden. Wenn nicht beide Firewalls der SRX-Serie über einen identischen Lizenzsatz verfügen, ist das System nicht für die Bereitstellung bereit.

Barrierefreiheit des Netzwerks

Beide Knoten im Multinode-Hochverfügbarkeits-Setup müssen in der Lage sein, sich über den ICL-Pfad zu erreichen. Dieser Pfad verwendet (unabhängig davon, ob die ICL verschlüsselt ist oder nicht) IP-Adresse, Protokoll und Portdetails. Sie müssen sicherstellen, dass diese Kommunikation zwischen den Knoten zulässig ist, wenn eine Firewall oder eine andere Überprüfung vorhanden ist.

Die Floating-IP-Adresse, die Sie für jeden Knoten verwenden, muss eine routingfähige IP (logischer gerouteter Pfad) über das Netzwerk sein.

Wir empfehlen, die ICL an die Loopback-Schnittstelle (lo0) oder eine aggregierte Ethernet-Schnittstelle (ae0) zu binden und über mehr als eine physische Verbindung (LAG/LACP) zu verfügen, die Pfadvielfalt für höchste Ausfallsicherheit gewährleistet. Sie können auch einen Revenue Ethernet-Port der Firewalls der SRX-Serie verwenden, um eine ICL-Verbindung einzurichten. Stellen Sie sicher, dass Sie den Transitdatenverkehr in Umsatzschnittstellen vom Datenverkehr mit hoher Verfügbarkeit (Hohe Verfügbarkeit) trennen.

Verwenden von IP-Adresspools in einer Multinode-Hochverfügbarkeitskonfiguration

Wenn Sie mehrere SRGs (Aktiv/Aktiv-Modus) in Multinode-Hochverfügbarkeit konfigurieren, stellen Sie sicher, dass sich die von SRGs in einem Zugriffsprofil verwendeten Adresspools nicht überschneiden dürfen. Stellen Sie außerdem sicher, dass die Adresse und der Adresspool, die auf dem RADIUS-Server für die mit verschiedenen SRGs verbundenen Hosts konfiguriert sind, eindeutig sein müssen.

Beispiel: Das folgende Beispiel zeigt Adresspool-Konfigurationen mit Zugriffsprofil localpool bzw localpool2 . für SRG1 und SRG2:

In diesem Beispiel befinden sich die Redundanzgruppen für Services – SRG1 und SRG2 – im selben Netzwerk (192.0.2.0/24). IP-Adressen in Adresspools werden jedoch verteilt, um Überschneidungen zu vermeiden (192.0.2.1/24—192.0.2.127 für SRG1 und 192.0.2.128—192.0.2.255 für SRG2).

Ebenso müssen Sie eindeutige IP-Adressen und Adresspools für Benutzerkonfigurationen auf dem RADIUS-Server verwenden.

Falls Sie in zwei SRGs dieselbe Adresse für Hosts zuweisen, löscht Multinode High Availability den neuen Host und stoppt die IKE-Verhandlungen mit der folgenden Meldung:

Das Systemprotokoll zeigt die folgende Meldung an:

Überlegungen zu IPv4- und IPv6-Adressen

Tabelle 1 enthält Details zur Unterstützung von IPv4- und IPv6-Adressen für Multinode-Bereitstellungen mit hoher Verfügbarkeit.

Unterstützung für die Konfiguration von IPv6-Adressen für die Optionen Active Signal Route, Backup Signal Route und Install on Failure Route unter Services-Redundanz-Group configurations in Ihrem MNHA-Setup.

Virtuelle Dual-Stack-IP-Adressen in Multinode-Hochverfügbarkeit

MNHA unterstützt virtuelle Dual-Stack-IP-Unterstützung (IPv4 und IPv6) für den Standard-Gateway-Modus und Bereitstellungen im Hybrid-Modus. In diesen Bereitstellungen können Sie derselben virtuellen IP-Adresse unter Hierarchie sowohl eine IPv4-Adresse als auch eine IPv6-Adresse zuweisen [edit chassis high-availability services-redundancy-group] . Mit der Dual-Stack-Unterstützung können Sie eine IPv4-Adresse und eine IPv6-Adresse für dieselbe virtuelle IP konfigurieren, indem Sie mehrere ip Anweisungen hinzufügen. Wenn Sie nur eine Adressfamilie konfigurieren, bleibt das Verhalten der Service-Redundanz-Gruppe (SRG) gleich wie bei Single-Stack-Bereitstellungen.

Die SRG verwaltet den Installationsstatus und das Failover für beide Adressfamilien als einen einzigen virtuellen IP-Eintrag. Dieser Ansatz sorgt dafür, dass das Standardverhalten des Gateways auf Dual-Stack-Schnittstellen konsistent bleibt, ohne dass separate virtuelle IP-Indizes für IPv4 und IPv6 erforderlich sind.

Wenn die Sondierung der Split-Brain-Prävention für eine SRG mit virtuellen Dual-Stack-IP-Adressen konfiguriert ist, testet das System jede konfigurierte Adresse und wertet die Ergebnisse gemeinsam aus. Wenn entweder die virtuelle IPv4- oder IPv6-IP-Adresse antwortet, gilt der Test als erfolgreich. Dieses Verhalten hilft, falsche Rollenentscheidungen zu vermeiden, wenn nur eine Adressfamilie betroffen ist.

Diese Unterstützung verbessert die MNHA-Akzeptanz in Dual-Stack-Umgebungen und ermöglicht es dem System, virtuelle IPv4- und IPv6-IP-Adressen zu verwalten und ein Failover durchzuführen, um die Datenverkehrskontinuität und hohe Verfügbarkeit aufrechtzuerhalten.

Um virtuelle Dual-Stack-IP-Adressen zu konfigurieren, fügen Sie ein IPv4-Präfix und ein IPv6-Präfix unter derselben SRG-ID und demselben virtuellen IP-Index hinzu, wie im folgenden Beispiel gezeigt:

Um zu überprüfen, ob die SRG beide Adressen auf demselben Index verfolgt, verwenden Sie:

show chassis high-availability services-redundancy-group 1

show chassis high-availability information detail

• Überprüfen Sie die Installation der virtuellen IPv4- und IPv6-IP (VIP)
• Überprüfen Sie die Installation virtueller IPs auf Schnittstellen

Im obigen Beispiel zeigt die Schnittstelle, dass auf dem aktiven Knoten die beiden virtuellen Dual-Stack-IPs 10.1.0.200/16 und 2001:db8:6700::3/64 auf der Schnittstelle ge-0/0/3.0 für VIP-Index 1 und 10.2.0.200/16 und 2001:db8:6701::7/64 auf der Schnittstelle ge-0/0/4.0 für VIP-Index 2 installiert sind.

Auf dem Backup-Knoten sind nur die IP-Adressen der lokalen Schnittstelle vorhanden und die VIP ist nicht installiert. Dadurch wird sichergestellt, dass nur der aktive Knoten den Datenverkehr verarbeitet. Während eines Failovers wird die VIP vom aktiven Knoten zum Sicherungsknoten verschoben, wodurch die Servicekontinuität sowohl für IPv4- als auch für IPv6-Datenverkehr aufrechterhalten wird.

Eine vollständige Konfiguration finden Sie unter Beispiel: Konfigurieren der Multinode-Hochverfügbarkeit in einer Standardgatewaybereitstellung.

Skalierung des Supports für virtuelle IP-Adressen in MNHA

Sie können die Anzahl der virtuellen IP-Adressen (VIP) pro Services Redundancy Group (SRG) im MNHA-Switching-Modus (Multinode High Availability) (Standard-Gateway) und auf der L2-Seite des Hybridmodus auf bis zu 2000 erhöhen.

In früheren Implementierungen wurde die virtuelle MAC-Adresse (VMAC) mithilfe der SRG-Kennung und des VIP-Index abgeleitet. Infolgedessen benötigte jeder VIP einen eindeutigen VMAC, wodurch die Anzahl der VIPs auf etwa 32 pro SRG begrenzt wurde.

Mit dieser Erweiterung wird VMAC mit einer Kombination der folgenden Parameter generiert:

• Grid-Kennung (grid-id)
• Services Redundanz Group Identifier (SRG-ID)
• Virtuelle MAC-Kennung (virtual-mac-id)

Dadurch wird die VMAC-Zuweisung vom VIP-Index entkoppelt, sodass mehrere VIPs denselben VMAC gemeinsam nutzen können und die unterstützte Skalierung erheblich erhöht wird

Grid-ID (auf Chassis-Ebene konfiguriert)

Virtuelle MAC-ID (konfiguriert pro Schnittstelle innerhalb einer SRG)

Diese Konfiguration muss für dieselbe Schnittstelle über SRGs hinweg konsistent sein.

Diese Erweiterung ermöglicht Folgendes:

• Bis zu ~2000 VIPs pro SRG
• Bis zu 16 Schnittstellen pro SRG. Diese Begrenzung auf 16 Schnittstellen gilt auf der Ebene der physischen Schnittstellen (IFD). Eine einzige physische Schnittstelle (oder ein AE-Bundle) kann mehrere logische Subschnittstellen und VIPs hosten. Die Verwendung aller 16 Schnittstellen ist nicht erforderlich. Es können weniger, einschließlich einer einzigen Schnittstelle mit mehreren Subschnittstellen, verwendet werden.
• Eine physische oder aggregierte Ethernet-Schnittstelle kann in mehreren SRGs konfiguriert werden
• Bis zu 15 MNHA-Paare können innerhalb einer einzigen Layer 2 Broadcast-Domäne koexistieren. Das heißt, bis zu 15 MNHA-Paare mit eindeutiger Grid-ID für jedes Paar können mit demselben L2-Switch verbunden werden, und die Grid-ID unterscheidet sich anhand eindeutiger vMAC, obwohl dieselbe SRG-ID und Schnittstellen-ID verwendet wird.

Abwärtskompatibilität - Wenn die Grid-ID nicht konfiguriert ist, verwendet das System weiterhin die Legacy-VMAC-Generierungsmethode basierend auf SRG-ID und VIP-Index. In diesem Fall bleibt die VIP-Skala auf ca. 32 pro SRG beschränkt.