デュアルMXシリーズルーター(ECMPベースのコンシステントハッシュ)とスケールアウトされたSRXシリーズファイアウォール(MNHA)のステートフルファイアウォールとNATトラフィックフロー

図1 は、ECMPベースのコンシステントハッシュとMNHAを使用したスケールアウトSRXシリーズファイアウォールを備えたデュアルMXシリーズルーターのトポロジーを示しています。

このトポロジーでは:

• アクティブ/スタンバイモードのHAで、MXシリーズルーターのペアを設定します。
• セッション同期付きのアクティブ/バックアップモードで、MNHAペアのSRXシリーズファイアウォールを設定します。SRX1-ACT1 と SRX1-STA1 は MNHA ペアに含まれ、SRX2-ACT2 と SRX2-STA2 はもう一方の MNHA ペアを形成します。SRX1-ACT1 と SRX1-STA1 はステートフル同期で、SRX2-ACT2 と SRX2-STA2 はステートフル同期です。
• MNHAペアにSRXシリーズファイアウォールを展開する場合、セッション同期はトラフィックの受信場所に応じて双方向で行われます。
• MXシリーズHAペアのユーザー管理用に、サービス冗長性デーモン(SRD)冗長性を使用してMXシリーズルーターのペアを設定します。 サービス冗長デーモンを参照してください。
• このペアのMXシリーズルーターは、TRUSTとインターネットゲートウェイルーターへのリンク、およびMXシリーズルーターとSRXシリーズファイアウォール間のリンクを監視します。SRDは、いずれかのリンクに障害が発生した場合、他のMXシリーズルーターへの自動スイッチオーバーをトリガーします。プライマリMXシリーズルーターがダウンしているときでもフェイルオーバーが発生します。
• AEバンドルとしてSRXシリーズファイアウォールに接続された4xSRXシリーズファイアウォールを備えたMXシリーズルーターには、3つのVLAN(信頼、信頼なし、HA管理)が含まれています。
• プライマリMXシリーズはプライマリECMPパスとして残り、セカンダリMXシリーズルーターはスタンバイECMPパスです。
• MXシリーズルーターの冗長性にSRDを使用し、プライマリMXシリーズルーターの状態遷移を制御します。
• SRDプロセスは、ルートアドバタイズメントに使用されるプライマリMXシリーズルーターに信号ルートを優先的にインストールします。
• プライマリMXシリーズルーターはルートをそのままアドバタイズし、スタンバイMXシリーズはas-path-prependでルートをアドバタイズします。ASパスを拡張すると、短いASパスが長く見えるため、BGPにはあまり適していません。 BGP ASパスへのAS番号の追加を理解するを参照してください。
• SRXシリーズファイアウォールに向かうプライマリMXシリーズとSRXシリーズファイアウォールに向かうセカンダリMXシリーズのインターフェイスは、同様のI/Oカード(IOC)を備えた同様のインターフェイス番号を使用してプロビジョニングする必要があります。これにより、両方の MXシリーズ ルーターで同じユニリスト ネクストホップ順序を維持するのに役立ちます。
• ユニリストのネクストホップの順序は、論理インターフェイス(ifl)インデックス番号(論理インターフェイス(ifl)番号の昇順)に基づいて、ルーティングプロトコルデーモン(RPD)によって決定されます。
• ユニリストのネクストホップ順序は両方のMXシリーズルーターで同じであるため、ルーターのスイッチオーバー後にハッシュ(送信元または宛先)に問題はありません。

図2 は、MNHAペアのステートフル同期を示しています。ここでは、SRX1-ACT1 と SRX1-STA1 のペアがステートフル同期になっています。SRX1-ACT2 と SRX1-STA2 のペアは、ステートフル同期状態です。

図3 は、NATトラフィックフローを示しています。

図4 は、ステートフルファイアウォールのトラフィックフローを示しています。