Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
NESTA PÁGINA
 

Alta disponibilidade de vários nós na nuvem do Azure

Leia este documento para entender como configurar a alta disponibilidade de vários nós em instâncias do vSRX implantadas na nuvem do Azure.

Visão geral

Você pode configurar a alta disponibilidade de vários nós em firewalls virtuais vSRX implantados na nuvem do Microsoft Azure. O Microsoft Azure é a plataforma de aplicativos da Microsoft para a nuvem pública. É uma plataforma de computação em nuvem aberta, flexível e de nível empresarial para criar, implantar e gerenciar aplicativos e serviços por meio de uma rede global de data centers gerenciados pela Microsoft.

Você pode configurar um par de firewalls virtuais vSRX no Azure para operar como em uma configuração de alta disponibilidade de vários nós ativa/backup. Os nós participantes executam o controle ativo e os planos de dados ao mesmo tempo. Os nós fazem backup uns dos outros para garantir um failover sincronizado rápido em caso de falha do sistema ou hardware. A conexão de link de interchassis (ICL) entre os dois dispositivos sincroniza e mantém as informações de estado e lida com cenários de failover de dispositivo.

Você pode configurar a alta disponibilidade de vários nós em VMs de Firewall virtual vSRX personalizando as configurações de implantação de firewall na nuvem do Microsoft Azure.

Suporte a VPN IPsec

A partir do Junos OS versão 24.4R1, oferecemos suporte à VPN IPsec para alta disponibilidade de vários nós ativa/backup em implantações de nuvem do Azure.

Limitação

A alta disponibilidade de vários nós não dá suporte a várias configurações SRG (ativas/ativas) em implantações de nuvem pública. O modo ativo/backup é compatível com SRG0 ou SRG1. O túnel VPN IPsec ancora no SRG1, que funciona em um modo ativo/backup stateful. Todos os túneis VPN terminam no dispositivo em que o SRG1 está ativo.

Arquitetura

A Figura 1 mostra duas instâncias de Firewall virtual vSRX que formam um par de alta disponibilidade de vários nós na nuvem do Azure. Uma instância do Firewall virtual vSRX atua como o nó ativo e a outra instância atua como o nó de backup. Ambos os nós se conectam usando uma ICL para sincronizar e manter informações de estado e lidar com cenários de failover de dispositivo.

Figura 1: vSRX em implantações de alta disponibilidade de vários nós na nuvem Network architecture diagram showing security setup in Microsoft Azure with users, internet gateway, untrust zone, vSRX nodes, trust zone, and protected resources. do Azure

O Firewall virtual vSRX requer dois endereços IP públicos e um ou mais endereços IP privados para cada grupo de instâncias individuais. As sub-redes públicas consistem em uma para a interface de gerenciamento (fxp0) e outra para uma interface de receita (dados). Você pode usar quaisquer quatro interfaces de receita para a configuração da sub-rede. A interface privada está conectada aos recursos protegidos. Ele garante que todo o tráfego entre aplicativos na sub-rede privada e na Internet passe pela instância do Firewall virtual vSRX.

Para Alta Disponibilidade de Vários Nós no Azure, você deve implantar os dois firewalls no mesmo Grupo de Recursos do Azure. Um Grupo de Recursos do Azure é um contêiner lógico que contém recursos relacionados para uma solução do Azure. Ele pode incluir todos os recursos da solução ou apenas os recursos que você deseja gerenciar como um grupo.

Você deve alocar um endereço primário específico do nó para cada nó e um endereço IP secundário ou flutuante comum para ambos os nós. O endereço IP secundário, que atua como um endereço IP flutuante, está sempre conectado ao nó ativo. Em caso de falha no nó ativo atual, o endereço IP secundário faz a transição do nó ativo com falha para o nó ativo atual. O novo nó ativo garante a continuidade do fluxo de tráfego.

Inicialmente, ambos os nós são iniciados com tags predefinidas informando qual é o proprietário do endereço IP secundário durante a inicialização. Esse nó específico começa a operar como o nó ativo e outro começa como um nó de backup.

Proteção Split-Brain

O cenário split-brain refere-se a uma situação em que ambos os nós do sistema Multinode High Availability ficam presos no mesmo estado, ativo ou backup, quando o enlace entre chassis (ICL) entre os nós está inativo. Para evitar esse estado, ambos os nós tentam investigar o endereço IP primário da relação de confiança ou não confiável, com base na configuração.

Quando um Interchassis Link (ICL) apresenta uma falha junto com uma falha de sondagem, o nó que não recebe uma resposta de seu peer assumirá a função ativa. No entanto, se a sondagem for bem-sucedida e confirmar que o nó peer ainda está operacional, o nó manterá seu estado atual. Esse processo de sondagem persiste até que a LCI seja restaurada.

Exemplo: configurar a alta disponibilidade de vários nós na implantação de nuvem do Azure

Leia este tópico para entender como configurar a solução de alta disponibilidade de múltiplos nós em firewalls da Série SRX.

Você pode configurar um par de firewalls virtuais vSRX no Azure para operar como em uma configuração de alta disponibilidade de vários nós ativa/backup. Os nós participantes executam o controle ativo e os planos de dados ao mesmo tempo. Os nós fazem backup uns dos outros para garantir um failover sincronizado rápido em caso de falha do sistema ou hardware. A conexão de link de interchassis (ICL) entre os dois dispositivos sincroniza e mantém as informações de estado e lida com cenários de failover de dispositivo.

Neste exemplo, mostraremos como configurar a Alta Disponibilidade de Vários Nós em duas instâncias de Firewall virtual vSRX implantadas na Nuvem do Azure.

Dica:
Tabela 1: Pontuação de legibilidade e estimativas de tempo

Tempo de leitura

45 minutos

Tempo de configuração

1,5 hora

Pré-requisitos de exemplo

Requisitos de VMs

Dois firewalls virtuais vSRX implantados na nuvem do Azure

Requisitos de software

Junos OS versão 23.4R1 ou versões posteriores

Requisitos de licenciamento

Use a licença de Firewall virtual vSRX ou solicite uma licença de avaliação. As licenças podem ser obtidas no Sistema de gerenciamento de licenças (LMS) da Juniper Networks.

Verifique os links a seguir para obter detalhes:

Antes de começar

Benefícios

Aumenta a disponibilidade de firewalls da Série vSRX implantados no Azure, o que resulta em maior confiabilidade e redução do tempo de inatividade.

Saiba mais

Firewall virtual vSRX com nuvem do Microsoft Azure

Saiba Mais

Implantação da Segurança da Juniper na AWS e no Azure

Visão geral funcional

Tecnologias utilizadas
  • Interfaces e zonas
  • Alta disponibilidade de vários nós
  • Opções de monitoramento
  • Política de roteamento, protocolos e opções de roteamento

Tarefas de verificação primária
  • Informações de alta disponibilidade sobre ambos os nós
  • Status de alta disponibilidade de vários nós na nuvem do Azure

Visão geral da topologia

A Figura 2 mostra a topologia usada neste exemplo.

Figura 2: Configuração de alta disponibilidade de vários nós em VMs vSRX implantadas no Azure Multinode High Availability Configuration on vSRX VMs Deployed in Azure

A topologia ilustra uma configuração de MNHA (Multinode High Availability) usando duas instâncias de Firewall virtual vSRX — Nó 1 e Nó 2 — implantadas no Microsoft Azure. Essa configuração garante redundância e failover contínuo para tratamento seguro do tráfego.

A Tabela 2 e a Tabela 3 fornecem detalhes de interface e endereço IP usados neste exemplo.

Tabela 2: Interfaces e endereços IP no nó ativo
Interface Sub-rede IP privado IP público Função/Notas
fxp0 10.10.0.0/24

10.10.0.4

 203.0.113.33 Interface de gerenciamento
ge-0/0/0 10.10.1.0/24

10.10.1.4

 - Conecta ICL (link entre clusters)
ge-0/0/1 (Primário) 10.10.2.0/24

10.10.2.4

 - Conecta zona não confiável à Internet
ge-0/0/1 (Secundário) 10.10.2.0/24

10.10.2.5

198.51.100.253

 Atua como IP secundário
ge-0/0/2 (Primário) 10.10.3.0/24

10.10.3.4

 - Conecta a zona de confiança à sub-rede protegida
ge-0/0/2 (Secundário) 10.10.3.0/24

10.10.3.5

 - IP secundário
Tabela 3: Interfaces e endereços IP no nó de backup
Interface Sub-rede IP privado IP público Função/Notas
fxp0 10.10.0.0/24

10.10.0.5

 203.0.113.35 Interface de gerenciamento
ge-0/0/0 10.10.1.0/24

10.10.1.5

 - Conecta-se à ICL
ge-0/0/1 (Primário) 10.10.2.0/24

10.10.2.6

 - Conecta zona não confiável à Internet
ge-0/0/2 (Primário) 10.10.3.0/24

10.10.3.6

 - Conecta a zona de confiança à sub-rede protegida

Componentes-chave

  • Nós vSRX

    • O nó 1 e o nó 2 atuam como pares de firewall em um cluster MNHA.
    • Cada nó tem:
      • Interface não confiável (Ge-0/0/1): Conecta-se à sub-rede pública, que tem acesso à Internet
      • Interface de confiança (Ge-0/0/2): conecta-se a recursos protegidos na sub-rede privada.
      • Interface de gerenciamento (FXP0): usada para gerenciamento fora de banda.

  • Sub-redes públicas e privadas

    • Ambos os nós vSRX são colocados na sub-rede pública para fornecer conectividade ao gateway da Internet.
    • O lado não confiável lida com o tráfego externo.
    • Os recursos protegidos estão localizados na sub-rede privada, conectados às interfaces de confiança de ambos os nós.

  • Link de interchassis (ICL)

    • As interfaces Ge-0/0/0 em ambos os nós formam a ICL.
    • Usa endereços IP roteáveis (10.10.1.4 e 10.10.1.5).

Para implantar instâncias de Firewall virtual vSRX no Microsoft Azure, você deve selecionar a imagem vSRX no Azure Marketplace e personalizar as configurações da máquina virtual e as dependências associadas de acordo com seus requisitos de rede. Essa abordagem de implantação manual geralmente é necessária ao configurar uma configuração de MNHA para VMs vSRX. Embora esse caso de uso também possa ser automatizado usando um modelo do CloudFormation, esse modelo não está disponível no momento.

Vamos nos aprofundar nos detalhes de cada etapa para implantar o Firewall virtual vSRX no Microsoft Azure.

Instalação do portal do Azure

Neste exemplo, você implanta duas máquinas virtuais (VMs) para instâncias de firewall vSRX. A lista a seguir descreve uma ordem recomendada para configurar recursos no Azure para alta disponibilidade de vários nós. No entanto, essa sequência não é uma regra estrita ou obrigatória — muitas tarefas podem ser concluídas antes ou depois umas das outras, dependendo do seu fluxo de trabalho. Você pode ajustar a ordem para atender às suas necessidades
  • Criar grupo de recursos
  • Configuração de acesso administrativo
  • Criar uma rede virtual (VNet) e sub-redes
  • Criar endereços IP públicos
  • Criar um Grupo de Segurança de Rede (NSG)
  • Criar uma conta de armazenamento
  • Implantar VMs vSRX
  • Criar e atribuir permissões I AM para uma identidade gerenciada
  • Criar tags de interface
  • Criar interfaces de rede
  • Atribuir endereços IP para interfaces
  1. Criar um grupo de recursos
    Um grupo de recursos é um contêiner lógico para recursos implantados no Azure. Ele ajuda você a gerenciar e organizar os recursos relacionados. A VM vSRX é um recurso dentro de um grupo de recursos do Azure. Todos os componentes relacionados ao vSRX (como rede virtual, conta de armazenamento, IP público e assim por diante.) fazem parte do mesmo grupo de recursos.
    1. Entre no portal do Azure.
    2. Pesquise Grupo de recursos e crie um novo.
    3. Escolha um nome, insira a assinatura e selecione a região para o grupo de recursos. Neste exemplo, crie um grupo azure-vsrx3.0de recursos.
    4. Clique em Examinar + criar e, em seguida, em Criar. Para obter detalhes,

      Consulte Criar um grupo de recursos para obter detalhes.

  2. Configuração de acesso administrativo para o grupo de recursos

    Este procedimento concede a um usuário ou grupo de usuários as permissões necessárias para gerenciar (implantar, configurar, monitorar e excluir) as máquinas virtuais vSRX e os recursos de rede associados dentro do grupo de recursos dedicado.

    Ao implantar firewalls virtuais vSRX no Azure, as funções do IAM também são atribuídas à entidade gerenciada (a VM vSRX ou seus recursos associados). Este procedimento é abordado posteriormente neste procedimento.

    Observação:

    Para executar esta tarefa, você deve ter o privilégio de "Proprietário".

    1. Selecione o grupo de recursos específico (azure-vsrx3.0 neste exemplo).
    2. Na blade Grupo de Recursos, clique em Controle de acesso (IAM) no painel de navegação do lado esquerdo.
    3. Clique no botão + Adicionar e selecione Adicionar atribuição de função.
    4. Selecione Usuário, grupo ou entidade de serviço na guia Membros e selecione uma função como Proprietário, Colaborador ou Leitor.
    5. Clique em + Selecionar membros , pesquise e selecione usuário ou grupo de usuários ao qual atribuir a função.
    6. Configure condições (opcional).
    7. Clique em Examinar + atribuir para finalizar a atribuição de função.
    8. Clique em Salvar.
  3. Criar uma rede virtual

    Uma VNet (rede virtual) é a base da sua infraestrutura do Azure. Ele permite que você conecte recursos do Azure com segurança. No mínimo, defina:

    • Uma sub-rede de gerenciamento (fxp0),
    • Uma ou mais sub-redes públicas para tráfego voltado para a Internet
    • Uma sub-rede privada para cargas de trabalho internas
    • Uma sub-rede ICL para comunicação entre nós em uma configuração MNHA

    1. No portal do Azure, vá para a seção Criar um recurso . Localize e selecione Redes Virtuais.

    2. Clique em + Criar.
    3. Na guia Noções básicas, insira os seguintes detalhes:
      • Assinatura: escolha sua assinatura.
      • Grupo de recursos: selecione um grupo existente (exemplo: azure-vsrx3.0) ou crie um novo.
      • Nome: insira um nome para sua VNet (exemplo: mnha-vnet-zone).
      • Região: escolha a região em que você deseja implantar recursos.
    4. Clique em Examinar + criar e, em seguida, em Criar.
    5. Na página Rede Virtual, clique em Configurações > Sub-redes. As sub-redes são usadas para conectar os dois nós do Firewall virtual vSRX usando uma conexão lógica (como as portas de conexão do cabo físico).

      A Tabela 4 mostra uma configuração de exemplo usada neste exemplo.

      de função
      Tabela 4: Configuração de sub-rede no Portal do Azure
      Função CIDR
      sub-rede de gerenciamento 10.10.0.0/24 Gerenciamento de tráfego
      sub-rede ICL 10.10.1.0/24 RTO, sincronização e tráfego relacionado a sondas
      sub-rede não confiável 10.10.2.0/24 Tráfego externo
      sub-rede de confiança 10.10.3.0/24 Tráfego interno
      Consulte Criar uma rede virtual para obter detalhes.
  4. Criar um endereço IP público
    1. No portal do Azure, vá para a seção Criar um recurso . Localize e selecione Network foundation e vá para Endereço IP público.
    2. Clique em Criar para começar a configurar um novo endereço IP público.
    3. Na guia Noções básicas, insira os seguintes detalhes:
      • Assinatura: escolha sua assinatura.
      • Grupo de recursos: selecione um grupo existente (azure-vsrx3.0 neste exemplo).
      • Região: escolha a região em que você deseja implantar recursos.
      • Nome: insira um nome exclusivo para o recurso de IP público.
      • Versão do IP: Selecione IPv4 ou IPv6 com base em seus requisitos.
      • SKU: Escolha entre as ofertas Basic e Standard.
      • Atribuição de endereço IP, camada, preferência de roteamento: mantenha as opções padrão para este exemplo.
    4. Depois de configuradas, revise as configurações e clique em Criar para alocar o endereço IP público.

    Repita as mesmas etapas para criar outros IPs públicos. Neste exemplo, crie vsrx-r0-ip, vsrx-secondary-public-ipe vsrx-r0b-ip.

  5. Criar um Grupo de Segurança de Rede (NSG)
    1. Navegue até Network foundation > Redes virtuais e selecione Grupos de segurança de rede.
    2. Selecione Criar grupo de segurança de rede.
    3. Configure seu NSG com os seguintes detalhes:
      • Assinatura: escolha sua assinatura.
      • Grupo de recursos: selecione um grupo existente (azure-vsrx3.0 neste exemplo).
      • Nome: insira um nome exclusivo para o grupo de segurança de rede (exemplo: vsrx-r0-nsg).
      • Região: escolha a região em que você deseja implantar recursos.

      O grupo de Segurança de rede é criado. Repita o mesmo procedimento para criar outro grupo de segurança de rede (vsrx-r0b-nsg).

    4. Vá para Configurações e defina regras de segurança de entrada e saída para controlar o tráfego de e para sua NIC e VMs em Regras de segurança de entrada e Regras de segurança de saída.
      Dica:

      Recomendamos as seguintes configurações de segurança para a configuração do NSG:

      • Defina as regras de segurança apropriadas do NSG para controlar o fluxo de tráfego de acordo com suas necessidades.
      • Permita apenas SSH de entrada e, opcionalmente, HTTPS, dependendo de como você gerencia a instância do vSRX.
      • Restrinja o acesso de entrada ao seu próprio IP de origem para evitar possíveis tentativas de força bruta de SSH.
      • Se estiver usando o SD Cloud, certifique-se de que o vSRX possa iniciar conexões de saída para o seguinte:
        • DNS
        • NTP
        • SSH na porta 7804
        • SYSLOG sobre TLS na porta 6514 (o IP de destino depende da sua instância do SD Cloud)
  6. Criar uma conta de armazenamento
    Uma conta de armazenamento fornece um espaço exclusivo para armazenar e acessar objetos de dados no Azure.
    1. No grupo de recursos, clique em Criar (+).
    2. Pesquise "Conta de armazenamento" e crie uma nova.
    3. Especifique o nome, o modelo de implantação, o desempenho e outras configurações.
    4. Clique em Examinar + criar e, em seguida, em Criar. Consulte Criar uma conta de armazenamento para obter detalhes.
  7. Implantar VMs vSRX

    Use as etapas a seguir para implantar duas instâncias de VM vSRX. Você usará essas duas instâncias para configurar a alta disponibilidade de vários nós. Para obter detalhes, consulte Implantar a imagem do Firewall virtual vSRX do Azure Marketplace.

    ATENÇÃO:

    Para este exemplo, os valores mostrados são escolhidos especificamente para esse caso de uso. Todas as outras configurações permanecem em seus padrões. Selecione os valores de configuração que melhor correspondem aos seus requisitos de rede.
    1. Pesquise vSRX no Azure Marketplace clicando em Criar um recurso e pesquise por Firewall virtual vSRX.
    2. Selecione a imagem da VM vSRX no Azure Marketplace.
    3. Defina as configurações de implantação fornecendo os seguintes detalhes:

      Básico Guia

      1. Assinatura: escolha sua assinatura.
      2. Grupo de recursos: selecione o grupo de recursos Neste exemplo, use o azure-vsrx3.0 que você criou anteriormente.
        Observação:

        Implante ambas as instâncias do Firewall virtual vSRX no mesmo grupo de recursos. O grupo de recursos conterá todos os recursos associados aos firewalls virtuais vSRX para essa implantação.
      3. Nome da Máquina Virtual: Insira um nome exclusivo para sua VM vSRX (exemplo: vsrx-r0).
      4. Região: escolha a região em que você deseja implantar recursos.
      5. Imagem: Selecione a imagem do firewall de próxima geração do vSRX.
      6. Tamanho: selecione DS3_v2 Padrão como o Firewall virtual vSRX tamanho da VM para este exemplo.
      7. Tipo de autenticação: selecione o método de autenticação necessário para acessar o Firewall virtual vSRX VM: senha ou chave pública SSH.
      8. Portas de entrada públicas: opção Manter Permitir portas selecionadas.
      9. Selecionar portas de entrada: Selecione SSH 22 para este exemplo.

    4. Guia Discos

      1. Tipo de disco do sistema operacional: especifique o tipo de disco a ser usado para a VM do Firewall virtual vSRX: SSD ou HDD.

    5. Guia Rede

      1. Rede Virtual: selecione a rede virtual (mnha-vnet-zone para este exemplo).
      2. Sub-rede: selecione a rede virtual (management-subnet para este exemplo).
      3. IP público: selecione o IP público (vsrx-r0-ip para este exemplo).
      4. Portas de entrada públicas: opção Manter Permitir portas selecionadas.
      5. Selecionar portas de entrada: Selecione SSH 22 para este exemplo.

    6. Revise suas configurações e clique em Criar.

    O Azure começará a provisionar a VM vSRX com base em sua configuração. Depois que as VMs do Firewall virtual vSRX são criadas, o painel do portal do Azure lista as novas VMs do Firewall virtual vSRX em Grupos de Recursos.

    Observação:

    Lembre-se de personalizar essas etapas com base em seus requisitos específicos e design de rede.

    Implante e configure outra VM de instância do vSRX (vsrx-r0b) usando as mesmas etapas mencionadas neste procedimento.

  8. Criar e atribuir permissões I AM para uma identidade gerenciada
    As identidades gerenciadas são criadas e vinculadas ao grupo de recursos. Essas identidades permitem que as VMs interajam com segurança com os serviços do Azure sem gerenciar credenciais.
    A pessoa que implanta a VM vSRX3.0 no Azure deve ter permissões do IAM (Gerenciamento de Identidade e Acesso) para criar uma identidade gerenciada atribuída pelo usuário e anexá-la à VM. Essa identidade gerenciada atua como uma entidade de serviço, permitindo que a VM autentique e chame os serviços do Azure sem armazenar credenciais.
    1. Criar uma identidade gerenciada
      1. No portal do Azure, vá para a seção Criar um recurso . Localize e selecione Identidade Gerenciada.
      2. Clique em + Criar .
      3. Na guia Noções básicas de Criar identidade gerenciada atribuída pelo usuário, insira os seguintes detalhes:
        • Assinatura: escolha sua assinatura.
        • Grupo de recursos: selecione um grupo existente (azure-vsrx3.0) neste exemplo.
        • Nome: insira um nome exclusivo para a identidade gerenciada (exemplo: mnha-role).
        • Região: escolha a região em que você deseja implantar recursos.
      4. Depois de configuradas, revise as configurações e clique em Criar.

      O sistema exibe o status e informa assim que a identidade é criada.

    2. Associar a identidade gerenciada à VM vSRX3.0

      1. Selecione a primeira Máquina Virtual vSRX no portal do Azure.

      2. Navegue até Segurança > Identidade.

      3. Selecione a guia Atribuído pelo usuário e clique em + Criar.

      4. Assinatura: escolha sua assinatura.
      5. Identidades gerenciadas atribuídas pelo usuário: selecione a identidade gerenciada que você criou (mnha-role neste exemplo).
      6. Clique em Adicionar.
    3. Atribuir função do IAM para instância de VM

      Atribuir a função personalizada (no escopo do grupo de recursos)

      1. Navegue até o grupo de recursos que contém VMs vSRX e todos os componentes de rede associados (NICs, IPs).

      2. Clique em Controle de acesso (IAM) no menu do lado esquerdo.

      3. Clique em Adicionar > Adicionar atribuição de função.

      4. Função: selecione uma função personalizada que contenha as permissões necessárias específicas (listadas abaixo) ou, para implantações mais simples, a função Colaborador de Rede .

        • Permissões recomendadas para função personalizada:

          • Microsoft.Authorization/*/read
          • Microsoft.Compute/virtualMachines/read
          • Microsoft.Network/networkSecurityGroups/join/action
          • Microsoft.Network/networkInterfaces/*
          • Microsoft.Network/virtualNetworks/join/action
          • Microsoft.Network/publicIPAddresses/read
          • Microsoft.Network/publicIPAddresses/write
          • Microsoft.Network/publicIPAddresses/join/action
          • Microsoft.Authorization/*/read
          • Microsoft.Compute/virtualMachines/read
          • Microsoft.Network/routeTables/*
          • Microsoft.Network/networkInterfaces/*

      5. Membros: Selecione Identidade gerenciada.

      6. Clique em + Selecionar membros e escolha a identidade gerenciada que você criou mnha-role.

      7. Clique em Revisar + atribuir.

  9. Criar uma interface de rede

    Planeje a configuração do adaptador de rede nos firewalls da Série vSRX no Azure. Você pode criar interfaces antes ou depois da implantação da VM:

    • Antes da implantação da VM: pré-crie interfaces e atribua-as durante a configuração da VM.
    • Após a implantação da VM: anexe interfaces adicionais às VMs existentes, conforme necessário. Essa operação é suportada somente quando a VM está desligada; não é possível adicionar interfaces enquanto a VM está em execução.

    No procedimento a seguir, criamos novas interfaces e, posteriormente, as anexamos a VMs e atribuímos endereços IP.

    1. Navegue até Interfaces de rede no portal do Azure na seção Rede .
    2. Clique em Criar interface de rede.
    3. Insira os seguintes detalhes para o novo adaptador de rede:
      • Nome: forneça um nome exclusivo para sua interface.
      • Região: selecione a mesma região que sua VNet, VMs e endereços IP.
      • Rede virtual: escolha a rede virtual à qual você deseja que sua NIC seja associada (mnha-vnet-zonepara este exemplo).
      • Sub-rede: selecione a sub-rede apropriada. As sub-redes que você criou anteriormente estarão disponíveis na lista suspensa.
      • Versão do IP: selecione IPv4 para este exemplo.
      • Atribuição de endereço IP privado: selecione Estático para este exemplo.
    4. Anexe o endereço IP público que você criou anteriormente, se necessário.
    5. Escolha criar um novo grupo de segurança de rede ou associá-lo a um existente.
    6. Revise as configurações e clique em Criar para provisionar a nova interface.
  10. Associar interfaces à VM
    1. Navegue até a VM vSRX implantada e clique em Rede> Configurações de Rede.
    2. Clique em Anexar interface de rede.
    3. No painel Anexar interface de rede existente, selecione a interface que deseja adicionar na lista suspensa. (Se você não tiver um, selecione Criar interface de rede primeiro).
    4. Clique em OK.
  11. Atribuir endereços IP para interfaces
    1. No menu do lado esquerdo da VM, clique em Rede > Configurações de Rede.
    2. Localize a interface de rede conectada.
    3. Clique no nome do adaptador de rede para abrir seus detalhes na página de configuração de IP . Na seção Configurações de IP, você encontrará o endereço IP atribuído (se houver) e também poderá configurar o endereço IP.
      1. Marque ou desmarque Ativar encaminhamento de IP. Sempre habilite o encaminhamento de IP na interface do link de controle. Certifique-se de que as rotas padrão estejam configuradas nos lados confiável e não confiável. Habilite o encaminhamento de IP em interfaces de receita, se exigido pela topologia de tráfego. Em caso de dúvida, habilite a TI para garantir o fluxo de tráfego adequado.
      2. Clique em +Adicionar para adicionar nova configuração de IP e insira os seguintes detalhes:

        • Nome: Insira um nome para a configuração de IP (Exemplo ipconfig ou ipconfig1.

        • Versão do IP: Selecione IPv4 ou IPv6

        • Tipo: Selecione Primário ou Secundário

        • Endereço IP privado: alocação: selecione Estático ou Dinâmico. O IP estático permanece fixo enquanto a VM existir e o IP dinâmico pode ser alterado após a reinicialização ou o ciclo de energia da VM.

        • Endereço IP privado: Endereço IP: Insira o endereço IP

        • Associar endereço IP público: marque ou desmarque conforme o requisito. Observe que, por padrão, apenas endereços IP privados podem ser atribuídos a interfaces. Os endereços IP públicos devem ser configurados explicitamente nas configurações do adaptador de rede da VM. Neste exemplo, você já criou três endereços IP públicos: vsrx-r0-ip, vsrx-secondary-public-ip, e vsrx-r0b-ip. Os valores de IP público reais (203.0.113.33, 198.51.100.253 e 203.0.113.35) são alocados automaticamente pelo Azure quando o recurso de IP público é criado. Você não pode especificar manualmente esse IP; O Azure o atribui a partir de seus pools de endereços gerenciados.

        Clique em Salvar para salvar suas configurações.

      Use as mesmas etapas para adicionar o endereço IP secundário e os outros endereços IP necessários nas interfaces correspondentes de ambas as VMs. Para este exemplo, use a configuração de endereço IP conforme mencionado nas tabelas: Tabela 5 e Tabela 6.

      Observação: Somente a VM do nó ativo ( vsrx‑r0) requer um endereço IP secundário. Não configure um IP secundário na VM em standby ( vsrx‑r0b).
    , ,
    Tabela 5: Configuração de interfaces e endereços IP no nó 1 da VM vSRX (vsrx-r0) (nó ativo)
    Interfacesendereço IP de sub-redeopção de encaminhamento de IP de IP público mapeada para interface (vSRX e Azure)

    vsrx-r0213_z1

    		 sub-rede de gerenciamento

    10.10.0.4

    203.0.113.33

    		 NA FXP0 (ETH0)
    vsrx-r0-g0 Sub-rede ICL

    10.10.1.4

    		 NA Ativar GE-0/0/0 (ETH1)
    vSRX-R0-G1 sub-rede não confiável

    10.10.2.4

    		 NA Ativar GE-0/0/1 (Eth2)
    vSRX-R0-G1 sub-rede não confiável

    10.10.2.5

    198.51.100.253

    		 Ativar GE-0/0/1 (Eth2)
    vSRX-R0-G2 sub-rede de confiança

    10.10.3.4

    		 NA Ativar GE-0/0/2 (Eth3)
    vSRX-R0-G2 sub-rede de confiança

    10.10.3.5

    		 NA Ativar GE-0/0/2(Eth3)
    , ,
    Tabela 6: Configuração de interfaces e endereços IP no nó 2 da VM do vSRX (vsrx-r0b) (nó de backup)
    Interfacesendereço IP de sub-redeopção de encaminhamento de IP de IP público mapeada para interface (vSRX e Azure)

    vSRX-r0b545_z1

    		 sub-rede de gerenciamento

    10.10.0.5

    203.0.113.35

    		 Ativar FXP0 (ETH0)
    vSRX-R0B-G0 Sub-rede ICL

    10.10.1.5

    		 NA Ativar GE-0/0/0 (ETH1)
    vsrx-r0b-g1 sub-rede não confiável

    10.10.2.6

    		 NA Ativar GE-0/0/1 (Eth2)
    vSRX-R0B-G2 sub-rede de confiança

    10.10.3.6

    		 NA Ativar GE-0/0/2(Eth3)

    Consulte Mapeamento de interface para Firewall virtual vSRX no Microsoft Azure para nomes de interface do Firewall virtual vSRX e do Microsoft Azure.

    Clique em Configurações > Rede para exibir as configurações de interfaces, sub-rede e IP da VM.

  12. Associar interfaces ao Network Segurança Group (NSG)
    Os grupos de segurança de rede podem ser aplicados no nível da sub-rede (afeta todas as NICs nessa sub-rede) ou no nível da interface. Os NSGs controlam o tráfego por IP, porta e protocolo; A associação de NSGs no nível das interfaces aplica regras específicas à interface dessa VM. O NSG deve estar na mesma região e grupo de recursos que o adaptador de rede.
    1. Na barra de pesquisa na parte superior do portal, digite e selecione Interfaces de rede
    2. Selecione o nome da interface de rede que você deseja configurar
    3. No menu do lado esquerdo, em Configurações, selecione Grupo de segurança de rede.
    4. Selecione o NSG desejado no menu suspenso (ou selecione Nenhum para dissociar um existente). Selecione os seguintes NSGs:
      • vSRX-R0 para máquina virtual vSRX-R0b
      • vsrx-r0b-nsg para máquina virtual vsrx-r0b
    5. Selecione Salvar para aplicar as alterações
  13. Criar tags de interface

    As marcas de recurso no Azure são elementos de metadados que consistem em um nome e um par de valores que você aplica aos recursos, grupos de recursos e assinaturas do Azure.

    Para criar tags, na página da VM do vSRX, selecione Tags na barra de navegação à esquerda.

    Neste exemplo, você cria tags para ambas as VMs para identificar as interfaces de confiança e não confiança em duas instâncias de Firewall virtual vSRX. As tabelas a seguir (Tabela 7 e Tabela 8) mostram marcas de exemplo usadas neste exemplo.

    Tabela 7: Tags de interface no vSRXVM-1 (vsrx-r0)

    Nome da tag

    Valor

    local_trust_interface

    vSRX-R0-G2

    local_untrust_interface

    vSRX-R0-G1

    peer_trust_interface

    vSRX-R0B-G2

    peer_untrust_interface

    vsrx-r0b-g1
    Tabela 8: Tags de interface no vSRXVM-2 (vsrx-r0b)

    Nome da tag

    Valor

    local_trust_interface

    vSRX-R0B-G2

    local_untrust_interface

    vsrx-r0b-g1

    peer_trust_interface

    vSRX-R0-G2

    peer_untrust_interface

    vSRX-R0-G1

    Observe que os valores de tag mostrados na tabela representam os nomes dos adaptadores de rede. Você deve usar os mesmos valores de tag em sua configuração. Na configuração do MNHA no Azure, essas marcas são usadas para mapear cada NIC para a interface vSRX correspondente. Esse mapeamento deve corresponder aos nomes de interface reais para que o processo de HA possa deslocar corretamente IPs secundários entre as interfaces de confiança e não confiança apropriadas durante o failover.

Depois de concluir todas as configurações, use o console serial do Portal do Azure ou o SSH remoto para fazer logon nas VMs do Firewall virtual vSRX.

Agora que todas as configurações necessárias no portal do Azure foram concluídas, vamos iniciar a configuração no Firewall virtual vSRX usando a CLI.

Observação:

Certifique-se de usar a versão mais recente da imagem de software vSRX (23.4R1 ou posterior). Você pode atualizar diretamente o software Junos OS para Firewall virtual vSRX usando a CLI. A atualização ou o downgrade do Junos OS pode levar várias horas, dependendo do tamanho e da configuração da rede. Faça o download do arquivo Junos OS Release for Firewall virtual vSRX.tgz desejado no site da Juniper Networks. Consulte as instruções de migração, upgrade e downgrade.

Configurar firewalls virtuais vSRX

O pacote Junos IKE é recomendado em seus firewalls da Série SRX para configuração de alta disponibilidade de múltiplos nós. Esse pacote está disponível como um pacote padrão ou como um pacote opcional nos firewalls da Série SRX. Consulte Suporte para o pacote Junos IKE para obter detalhes.

Se o pacote não estiver instalado por padrão no firewall da Série SRX, use o comando a seguir para instalá-lo. Você precisa desta etapa para criptografia ICL.

  1. Configure interfaces para tráfego ICL, interno e externo.
    • Nó 1
    • Nó 2
    Observação:

    O IP secundário pertence apenas ao nó ativo e se torna ativo no nó de backup somente durante o failover.
    Observação:

    Para a interface fxp0, o endereço IP de gerenciamento é atribuído pelo Azure e o endereço IP de gerenciamento é associado à fxp0.0 (unidade 0).

  2. Configure zonas de segurança, atribua interfaces às zonas e especifique os serviços de sistema permitidos para as zonas de segurança.
    ATENÇÃO:

    Os exemplos de configuração fornecidos neste documento permitem que todos os protocolos e serviços de entrada de host sejam simplificados. Em uma implantação de produção, você deve restringir o acesso de entrada apenas aos protocolos e serviços necessários para seu ambiente. Para uma configuração de MNHA, essa configuração normalmente inclui a permissão de IKE, BGP e BFD. Sempre adapte as regras de segurança para se alinharem aos requisitos de sua rede e segurança.
    • Nó 1
    • Nó 2
  3. Configure os detalhes do nó local e do nó de peer.
    • Nó 1
    • Nó 2
  4. Configure o SRG1 com o tipo de implantação como nuvem, atribua um ID e defina a prioridade de preempção e ativação.
    • Nó 1
    • Nó 2
  5. Configure as opções relacionadas à implantação do Azure.
    • Nó 1
    • Nó 2
  6. Configure a política de segurança.
    ATENÇÃO:

    A política de segurança mostrada neste exemplo é apenas para demonstração e teste. Você deve configurar as políticas de segurança de acordo com as necessidades da sua rede. Certifique-se de que suas políticas de segurança permitam apenas os aplicativos, usuários e dispositivos em que você confia.
    • Nó 1

    • Nó 2

  7. Configure a instância de roteamento.
    • Nó 1
    • Nó 2
  8. Configurar opções de política.
    • Nó 1
    • Nó 2
  9. Criptografar a ICL
    • Nó 1
    • Nó 2

    Veja Exemplo: Configurar a Alta Disponibilidade Multinode em uma Rede de Camada 3 para detalhes.

Verificação

Use os comandos show para confirmar se a configuração está funcionando corretamente.

Tabela 9: Mostrar comandos para verificação
Tarefa de verificação de comando

show chassis high-availability information

Exiba detalhes do status do MNHA em seu dispositivo de segurança, incluindo o status de integridade do nó de mesmo nível.
show security cloud high- availability information

Exibir status sobre a implantação do MNHA na nuvem pública (AWS ou Azure).

Verificar detalhes de alta disponibilidade de vários nós

Finalidade

Visualize e verifique os detalhes da configuração de alta disponibilidade de múltiplos nós configurada em sua instância do Firewall virtual vSRX.

Ação

Do modo operacional, execute o comando a seguir em ambos os dispositivos.

No nó 1 (nó ativo)

No nó 2 (nó de backup)

Significado

Verifique estes detalhes na saída do comando:

  • Detalhes do nó local e do nó de peer, como endereço IP e ID.
  • O campo Tipo de Implantação: CLOUD indica que a configuração é para a implantação da nuvem.
  • O campo Grupo de Redundância de Serviços: 1 indica o status do SRG1 (ATIVO ou BACKUP) nesse nó.

Verificar detalhes das informações de alta disponibilidade de vários nós

Finalidade

Verifique o status da implantação de alta disponibilidade de vários nós na nuvem do Azure.

Ação

Do modo operacional, execute o seguinte comando:

Significado

Verifique estes detalhes na saída do comando:

  • Tipo de nuvem: o Azure indica que a implantação é para o Azure.
  • Tipo de Serviço de Nuvem: IP secundário indica que a implantação do Azure usa o IP secundário para controlar o tráfego.
  • Status do serviço de nuvem: Vincular ao nó par indica a ligação do endereço IP secundário ao nó par, o que significa que o nó atual é o nó de backup.

Lista de verificação de solução básica de problemas

  1. Verifique se o IP secundário para interface não confiável e a interface confiável estão na mesma instância de VM vsrx3.0.
  2. Verifique os quatro valores de tag para corresponder aos nomes das interfaces.
  3. Verifique se a regra de entrada está correta para permitir o tráfego.
  4. Verifique se o encaminhamento de IP está habilitado no portal do Azure.
  5. Verifique se a rota do portal do Azure e a rota da CLI do vSRX estão sincronizadas.
  6. Verifique a interface não confiável do nó ativo para ver se os endereços IP flutuantes estão anexados a ele no portal do Azure.

Definir comandos em todos os dispositivos

Firewall virtual vSRX (nó 1)

Firewall virtual vSRX (nó 2)

mostrar saída de configuração

No modo de configuração, confirme sua configuração inserindo os show high availabilitycomandos , show security zonese show interfaces . Se a saída não exibir a configuração pretendida, repita as instruções de configuração neste exemplo para corrigi-la.

Firewall virtual vSRX (nó 1)

Firewall virtual vSRX (nó 2)

Veja também

Tabela de histórico de alterações

A compatibilidade com recursos é determinada pela plataforma e versão utilizada. Use o Explorador de recursos para determinar se um recurso é compatível com sua plataforma.

Lançamento
Descrição
24.4R1
A partir do Junos OS versão 24.4R1, oferecemos suporte à VPN IPsec para alta disponibilidade de vários nós ativa/backup em implantações de nuvem do Azure.
23.4R1
A partir do Junos OS versão 23.4R1, oferecemos suporte ao MNHA na plataforma de nuvem do Microsoft Azure.