Prepare seu ambiente para a implantação de alta disponibilidade de vários nós

Modelo do dispositivo

Na alta disponibilidade de múltiplos nós, você deve usar o mesmo modelo de firewall da Série SRX que seus nós. Por exemplo, se você usar o SRX5600 como um nó, deverá usar outro SRX5600 como o outro nó

No caso da Linha SRX5000 de dispositivos, certifique-se de que SPCs, NPCs e IOCs tenham o mesmo posicionamento e tipo de slot.

Para obter a lista completa de recursos e plataformas com suporte, consulte Alta disponibilidade de vários nós no Explorador de Recursos.

Versão do software

Instale a versão compatível do Junos OS nos dispositivos de segurança participantes.

Pacote mais recente do Junos IKE

Você deve instalar o pacote IKE para habilitar a criptografia ICL na solução Multinode High Availability.

Por padrão, quando o firewall da Série SRX é inicializado, a arquitetura IKE legada é executada. Para habilitar a nova arquitetura IKE, você deve instalar o novo pacote Junos IKE. Este é um pacote opcional incluído na imagem de download do software do Junos OS.

Use o seguinte comando para instalar o pacote IKE:

Depois de instalar o pacote Junos IKE, para atualizações de software subsequentes da instância, o pacote Junos IKE é atualizado automaticamente a partir das novas versões do Junos OS instaladas em seu dispositivo.

Licenças de software

Você não precisa de nenhuma licença específica para o recurso de alta disponibilidade de vários nós. No entanto, as licenças são exclusivas para cada Série SRX e não podem ser compartilhadas entre os nós em uma configuração de alta disponibilidade de múltiplos nós. Portanto, você deve usar licenças idênticas em ambos os nós. Se ambos os firewalls da Série SRX não tiverem um conjunto idêntico de licenças, o sistema não estará pronto para a implantação.

Acessibilidade de rede

Ambos os nós na configuração de alta disponibilidade de vários nós devem ser capazes de alcançar um ao outro usando o caminho ICL. Esse caminho usa (independentemente de a ICL ser criptografada ou não) endereço IP, protocolo e detalhes da porta. Você deve garantir que essa comunicação seja permitida entre os nós se algum firewall ou outra inspeção estiver em vigor.

O endereço IP flutuante usado para cada nó deve ser um IP roteável (caminho roteado lógico) em toda a rede.

Recomendamos vincular a ICL à interface de loopback (lo0) ou a uma interface Ethernet agregada (ae0) e ter mais de um link físico (LAG/LACP) que garante a diversidade de caminhos para maior resiliência. Você também pode usar uma porta Ethernet de receita nos firewalls da Série SRX para configurar uma conexão ICL. Certifique-se de separar o tráfego de trânsito nas interfaces de receita do tráfego de alta disponibilidade (HA).

Consideração de endereço IP

A Tabela 1 fornece detalhes sobre o suporte a endereços IPv4 e IPv6 para implantações de alta disponibilidade de vários nós.