マルチノードの高可用性導入に向けた環境の準備

デバイスモデル

マルチノード高可用性では、ノードと同じSRXシリーズファイアウォールモデルを使用する必要があります。例えば、SRX5600を1つのノードとして使用する場合、もう一方のノードとして別のSRX5600を使用する必要があります

SRX5000シリーズのデバイスの場合、SPC、NPC、IOCのスロット配置とタイプが同じであることを確認します。

ソフトウェアバージョン

対象セキュリティデバイスに互換性のあるバージョンのJunos OSをインストールします。

ソフトウェアライセンス

マルチノード高可用性機能に特定のライセンスは必要ありません。ただし、ライセンスはSRXシリーズごとに固有であり、マルチノード高可用性セットアップのノード間で共有することはできません。そのため、両方のノードで同一のライセンスを使用する必要があります。両方のSRXシリーズファイアウォールに同一のライセンスセットがない場合、システムは導入の準備ができていません。

ネットワークアクセシビリティ

マルチノード高可用性設定の両方のノードが、ICLパスを使用して相互に到達できる必要があります。このパスは、(ICLが暗号化されているかどうかにかかわらず)IPアドレス、プロトコル、ポートの詳細を使用します。ファイアウォールやその他の検査が実施されている場合は、ノード間でこの通信が許可されていることを確認する必要があります。

各ノードに使用するフローティングIPアドレスは、ネットワーク全体でルーティング可能なIP(論理ルーティングパス)である必要があります。

ICLをループバックインターフェイス(lo0)または集約イーサネットインターフェイス(ae0)にバインドし、複数の物理リンク(LAG/LACP)を設けて、パスの多様性を確保して最高の耐障害性を確保することを推奨します。SRXシリーズファイアウォールの収益イーサネットポートを使用して、ICL接続を設定することもできます。収益インターフェイスのトランジットトラフィックを、高可用性(HA)トラフィックから分離してください。

マルチノード高可用性設定でのIPアドレスプールの使用

マルチノード高可用性で複数のSRG(アクティブ/アクティブモード)を設定する場合は、アクセスプロファイル内のSRGが使用するアドレスプールが重複しないようにしてください。また、異なるSRGに接続されているホストのRADIUSサーバーに設定されているアドレスとアドレスプールが一意であることを確認してください。

例:以下のサンプルは、SRG1とSRG2のそれぞれアクセスプロファイル localpool と localpool2 を使用したアドレスプール設定を示しています。

この例では、サービス冗長性グループ(SRG1 と SRG2)は同じネットワーク(192.0.2.0/24)内にあります。ただし、アドレスプール内のIPアドレスは重複を避けるために分散されています(SRG1の場合は192.0.2.1/24—192.0.2.127、SRG2の場合は192.0.2.128—192.0.2.255)。

同様に、RADIUSサーバーのユーザー設定には一意のIPアドレスとアドレスプールを使用する必要があります。

2つのSRGのホストに同じアドレスを割り当てた場合、マルチノード高可用性は新しいホストを削除し、次のメッセージでIKEネゴシエーションを停止します。

システムログには、次のメッセージが表示されます。

IPv4およびIPv6アドレスの考慮事項

表1は 、マルチノード高可用性導入におけるIPv4およびIPv6アドレスサポートの詳細を示しています。

表1:マルチノード高可用性に関するIPアドレスに関する考慮事項

MNHAの導入タイプ	レイヤー 3 ネットワーク(両端にルーター)	ハイブリッドネットワーク(一方の終端がルーター、もう一方の終端がスイッチ)	デフォルトゲートウェイ(両端にスイッチ)
IP 監視用の IPv4 および IPv6 アドレス	はい	はい	はい
アクティビティプローブ用のIPv4およびIPv6アドレス	はい	はい	はい
仮想IPv4およびIPv6アドレス	適用外	はい	はい

MNHA設定のservices-冗長性グループ設定にあるアクティブ信号ルート、バックアップ信号ルート、および障害ルートオプションのインストールのIPv6アドレスの設定でサポートできます。

注:

マルチノード高可用性セットアップでは、論理インターフェイス(IFL)ごとに1つのVIPのみを設定します。複数のVIPまたはデュアルスタックの使用はサポートできません。

マルチノード高可用性におけるデュアルスタック仮想IPアドレス

MNHAは、デフォルトゲートウェイモードとハイブリッドモードの導入において、デュアルスタック(IPv4およびIPv6)仮想IPサポートをサポートします。これらの導入では、IPv4アドレスとIPv6アドレスの両方を、 [edit chassis high-availability services-redundancy-group] 階層の下の同じ仮想IPに割り当てることができます。デュアルスタックサポートにより、複数の ip ステートメントを追加することで、同じ仮想IP上に1つのIPv4アドレスと1つのIPv6アドレスを設定できます。アドレスファミリーを1つだけ設定した場合、サービス冗長性グループの動作(SRG)はシングルスタック導入の場合と同じままです。

SRGは、両方のアドレスファミリーのインストール状態とフェイルオーバーを単一の仮想IPエントリとして管理します。このアプローチでは、IPv4 と IPv6 用に個別の仮想 IP インデックスを必要とせずに、デュアルスタックインターフェイスでデフォルトのゲートウェイ動作の一貫性を保つことができます。

デュアルスタック仮想IPアドレスを持つSRGに対してスプリットブレイン防止プローブが設定されている場合、システムは設定された各アドレスをプローブし、結果を一緒に評価します。IPv4またはIPv6の仮想IPアドレスのいずれかが応答すると、プローブは成功したと見なされます。この動作は、影響を受けるアドレスファミリーが 1 つだけの場合に誤ったロール決定を防ぐのに役立ちます。

このサポートにより、デュアルスタック環境でのMNHAの採用が向上し、システムがIPv4およびIPv6仮想IPアドレスを管理およびフェイルオーバーして、トラフィックの継続性と高可用性を維持できるようになります。

デュアルスタック仮想IPアドレスを設定するには、次の例に示すように、同じSRG IDと仮想IPインデックスの下に1つのIPv4プレフィックスと1つのIPv6プレフィックスを追加します。

SRGが同じインデックスで両方のアドレスを追跡していることを確認するには、以下を使用します。

show chassis high-availability services-redundancy-group 1

show chassis high-availability information detail

• IPv4およびIPv6仮想IP(VIP)のインストールを確認
• インターフェイスへの仮想IPのインストールを確認する

上記のサンプルでは、アクティブノードでは、インターフェイスに、デュアルスタック仮想IP 10.1.0.200/16 と 2001の両方が表示されています。db8:6700::3/64 は、VIPインデックス1のインターフェイスge-0/0/3.0にインストールされ、 10.2.0.200/16 と 2001:db8:6701::7/64 は、VIPインデックス2のインターフェイスge-0/0/4.0にインストールされています。

バックアップノードには、ローカルインターフェイスのIPアドレスのみが存在し、VIPはインストールされていません。これにより、アクティブなノードのみがトラフィックを処理するようになります。フェイルオーバー中、VIP はアクティブノードからバックアップノードに移動し、IPv4 と IPv6 の両方のトラフィックのサービス継続性を維持します。

完全な設定については、「 例: デフォルトゲートウェイ導入でのマルチノード高可用性の設定」を参照してください。

MNHAにおける仮想IPサポートの拡張

マルチノード高可用性(MNHA)スイッチング(デフォルトゲートウェイ)モードおよびハイブリッドモードのL2側では、サービス冗長性グループ(SRG)あたりの仮想IP(VIP)アドレス数を最大2000まで増やすことができます。

以前の実装では、仮想MACアドレス(VMAC)はSRG識別子とVIPインデックスを使用して導出されました。その結果、各VIPに固有のVMACが必要となり、VIPの数はSRGあたり約32人に制限されました。

この機能拡張により、VMAC は次のパラメーターの組み合わせを使用して生成されます。

• グリッド識別子(grid-id)
• サービス冗長性グループ識別子(SRG-ID)
• 仮想MAC識別子(virtual-mac-id)

これにより、VMAC の割り当てが VIP インデックスから切り離され、複数の VIP が同じ VMAC を共有できるようになり、サポートされるスケールが大幅に増加します

Grid-ID (シャーシレベルで設定)

仮想MAC ID (SRG内のインターフェイスごとに設定)

この設定は、SRG 間で同じインターフェイスに対して一貫している必要があります。

この機能拡張により、以下が可能になります。

• SRGあたり最大~2,000 VIP
• SRGあたり最大16個のインターフェイス。この16個のインターフェイスの制限は、物理インターフェイス(IFD)レベルで適用されます。単一の物理インターフェイス(またはAEバンドル)で、複数の論理サブインターフェイスとVIPをホストできます。16 個のインターフェイスすべてを使用する必要はありません。使用する数は少なくなります(複数のサブインターフェイスを持つ単一のインターフェイスを含めます)
• 物理または集合型イーサネットインターフェイスは、複数のSRGで設定可能
• 単一のレイヤー2ブブロードキャストドメイン内に最大15のMNHAペアを共存できます。つまり、各ペアに一意のグリッドIDを持つ最大15のMNHAペアを同じL2スイッチに接続でき、グリッドIDは同じSRG IDとインターフェイスIDを使用することで一意のvMACで差別化されます。

下位互換性 - grid-id が設定されていない場合、システムは SRG-ID と VIP インデックスに基づく従来の VMAC 生成方法を引き続き使用します。この場合、VIP スケールは SRG あたり約 32 に制限されたままです。