NESTA PÁGINA
Sincronização stateful entre chassis para NAT de longa duração e fluxos de firewall stateful (MS-MPC, MS-MIC) (versão 16.1 e posterior)
Configuração da redundância MS-MPC e MS-MIC entre chassis para nat e visão geral do firewall stateful (versão 16.1 e posterior)
Este tópico se aplica à versão 16.1 e superior do Junos OS. (Para o junos OS versão 15.1 e anterior, veja a alta disponibilidade entre chassis para MS-MIC e MS-MPC (versão 15.1 e anterior)).
O NAT de nível de operadora (CGN) e implantações de firewall stateful podem usar uma implementação de chassi duplo para fornecer um caminho de dados redundante e redundância para componentes-chave no roteador. Embora a alta disponibilidade do intra-chassi possa ser usada em um dispositivo da Série MX empregando as interfaces AMS, este método só lida localmente com pic de serviço e falhas completas de placa MS-MPC ou MS-MIC. Se por algum motivo o tráfego for trocado para um roteador de backup devido a alguma outra falha no roteador, o estado de sessão dos PICs de serviços será perdido. A alta disponibilidade entre chassis oferece uma solução mais robusta, preservando o estado de sessão de NAT e firewalls stateful dos PICs de serviços. Essa tecnologia é um modelo primário secundário, não um cluster ativo. O tráfego a ser atendido pelos PICs de serviços que estão configurados para a alta disponibilidade entre chassis só flui pelo dispositivo da Série MX que atualmente é o principal da dupla.
Para configurar a redundância de interchassis para NAT e firewall stateful, você configura:
Sincronização stateful, que replica o estado de sessão dos PICs de serviços no chassi principal para o chassi de backup. Para obter mais informações, veja a sincronização stateful entre chassis para NAT de longa duração e visão geral dos fluxos de firewall stateful (MS-MPC, MS-MIC) (versão 16.1 e posterior).
O daemon de redundância de serviços, que permite que o switchover de funções primárias ocorra com base em um evento monitorado. A maioria dos operadores não gostaria de empregar sincronização stateful sem também implementar o daemon de redundância de serviços. Para obter mais informações, veja a visão geral do Daemon de redundância de serviços
Sincronização stateful entre chassis para NAT de longa duração e fluxos de firewall stateful (MS-MPC, MS-MIC) visão geral (versão 16.1 e posterior)
Este tópico se aplica à versão 16.1 e superior do Junos OS. (Para o junos OS versão 15.1 e anterior, veja a alta disponibilidade entre chassis para MS-MIC e MS-MPC (versão 15.1 e anterior)).
A sincronização stateful sincroniza sessões de longa duração entre o chassi primário e o backup da Série MX no par de alta disponibilidade. Por padrão, sessões longas são sessões de firewall stateful, NAT e IDS que estão ativas no PIC de serviços há 180 segundos, embora você possa configurar isso como um valor mais alto ou menor. Sessões de firewall stateful, sessões de NAT e sessões de IDS são os tipos de sessão que podem ser sincronizados.
A alta disponibilidade entre chassis funciona com interfaces ms-service configuradas em placas de interface MS-MIC ou MS-MPC. Uma unidade de interface ms que não seja a unidade 0 deve ser configurada com a opção ip-address-owner service-plane .
Os seguintes tipos e sessões de tradução de NAT oferecem suporte a sincronização stateful:
nat44 básico
dynamic-nat44
napt-44
napt-44 com mapeamento independente de endpoint (EIM) ou filtros independentes de endpoint (EIF)
dnat-44
duas vezes por nat
stateful-nat64
As seguintes restrições se aplicam:
A replicação de informações de estado para a alocação de blocos de porta (PBA), mapeamento independente de endpoint (EIM) ou recursos de filtros independentes de endpoint (EIF) não é suportada.
Ao configurar um conjunto de serviços para NAT ou firewall stateful que pertence a uma configuração de sincronização stateful, o NAT e as configurações de firewall stateful para o conjunto de serviços devem ser idênticos em ambos os dispositivos da Série MX.
As sessões de gateway de camada de aplicativo (ALG) não oferecem suporte à sincronização stateful.
A Figura 1 mostra a topologia de alta disponibilidade entre chassis.
de sincronização stateful
Configuração da sincronização stateful entre chassis para NAT de longa duração e fluxos de firewall stateful (MS-MPC, MS-MIC) (versão 16.1 e posterior)
Este tópico se aplica à versão 16.1 e superior do Junos OS. (Para o junos OS versão 15.1 e anterior, veja a alta disponibilidade entre chassis para MS-MIC e MS-MPC (versão 15.1 e anterior)).
Para configurar a sincronização stateful entre chassis de alta disponibilidade para firewall stateful e NAPT44 nos PICs de serviço MS-MIC ou MS-MPC, execute as seguintes etapas de configuração em cada chassi do par de alta disponibilidade.
Exemplo: Sincronização stateful entre chassis para NAT de longa duração e fluxos de firewall stateful (MS-MIC, MS-MPC) (Versão 16.1 e posterior)
Este exemplo mostra como configurar a alta disponibilidade entre chassis para serviços NAT.
Requisitos
Este exemplo usa os seguintes componentes de hardware e software:
Dois roteadores MX480 com placas de linha MS-MPC
Versão do Junos OS 16.1 ou posterior
Visão geral
Dois roteadores da Série MX são configurados de forma idêntica para facilitar o failover stateful para serviços NAT em caso de falha no chassi.
Configuração
Para configurar a alta disponibilidade entre chassis para este exemplo, execute essas tarefas:
- Configuração rápida da CLI
- Configuração de interfaces para chassi 1
- Configure informações de roteamento para tráfego de sincronização de HA entre roteadores da Série MX para Chassis 1
- Configuração de NAT para Chassis 1
- Configuração do conjunto de serviços
- Configuração de interfaces para Chassis 2
- Configure informações de roteamento para tráfego de sincronização de HA entre roteadores da Série MX para Chassis 2
Configuração rápida da CLI
Para configurar rapidamente este exemplo nos roteadores, copie os seguintes comandos e cole-os na janela de terminal do roteador depois de remover quebras de linha e substituir informações de interface específicas para o seu site.
A configuração a seguir é para chassi 1.
[edit] set interfaces ms-4/0/0 redundancy-options redundancy-peer ipaddress 5.5.5.2 set interfaces ms-4/0/0 redundancy-options redundancy-local data-address 5.5.5.1 set interfaces ms-4/0/0 redundancy-options routing-instance HA set interfaces ms-4/0/0 redundancy-options replication-threshold 180 set interfaces ms-4/0/0 unit 10 ip-address-owner service-plane set interfaces ms-4/0/0 unit 10 family inet address 5.5.5.1/32 set interfaces ms-4/0/0 unit 20 family inet set interfaces ms-4/0/0 unit 20 service-domain inside set interfaces ms-4/0/0 unit 30 family inet set interfaces ms-4/0/0 unit 30 service-domain outside set interfaces ge-2/0/0 vlan-tagging set interfaces ge-2/0/0 unit 0 vlan-id 100 family inet address 20.1.1.1/24 set policy-options policy-statement dummy term 1 then reject set routing-instances HA instance-type vrf set routing-instances HA interface ge-2/0/0.0 set routing-instances HA interface ms-4/0/0.10 set routing-instances HA route-distinguisher 1:1 set routing-instances HA vrf-import dummy set routing-instances HA vrf-export dummy set routing-instances HA routing-options static route route 5.5.5.1/32 next-hop ms-4/0/0.10 set routing-instances HA routing-options static route route 5.5.5.2/32 next-hop 20.1.1.2 set routing-options static-route 100.100.100.0/24 next-hop ms-4/0/0.20 set services nat pool p2 address 32.0.0.0/24 set services nat pool p2 port automatic random-allocation set services nat pool p2 address-allocation round-robin set services nat rule r2 match-direction input set services nat rule r2 term t1 from source-address 129.0.0.0/8 set services nat rule r2 term t1 from source-address 128.0.0.0/8 set services nat rule r2 term t1 then translated source-pool p2 set services nat rule r2 term t1 then translated translation-type napt-44 set services nat rule r2 term t1 then translated address-pooling paired set services nat rule r2 term t1 then syslog set services service-set ss2 nat-rules r2 set services service-set ss2 next-hop-service inside-service-interface ms-4/0/0.20 set services service-set ss2 next-hop-service outside-service-interface ms-4/0/0.30 set services service-set ss2 syslog host local class session-logs set services service-set ss2 syslog host local class nat-logs
A configuração a seguir é para o chassi 2. As informações de NAT e conjunto de serviços devem ser idênticas para o chassi 1 e 2.
set interfaces ms-4/0/0 redundancy-options redundancy-peer ipaddress 5.5.5.1 set interfaces ms-4/0/0 redundancy-options redundancy-local data-address 5.5.5.2 set interfaces ms-4/0/0 redundancy-options routing-instance HA set interfaces ms-4/0/0 redundancy-options replication-threshold 180 set interfaces ms-4/0/0 unit 10 ip-address-owner service-plane set interfaces ms-4/0/0 unit 10 family inet address 5.5.5.2/32 set interfaces ms-4/0/0 unit 20 family inet set interfaces ms-4/0/0 unit 20 service-domain inside set interfaces ms-4/0/0 unit 30 family inet set interfaces ms-4/0/0 unit 30 service-domain outside set interfaces ge-2/0/0 vlan-tagging set interfaces ge-2/0/0 unit 0 vlan-id 100 family inet address 20.1.1.2/24 set policy-options policy-statement dummy term 1 then reject set routing-instances HA instance-type vrf set routing-instances HA interface ge-2/0/0.0 set routing-instances HA interface ms-4/0/0.10 set routing-instances HA route-distinguisher 1:1 set routing-instances HA vrf-import dummy set routing-instances HA vrf-export dummy set routing-instances HA routing-options static route 5.5.5.2/32 next-hop ms-4/0/0.10 set routing-instances HA routing-options static route 5.5.5.1/32 next-hop 20.1.1.1 set routing-options static-route 100.100.100.0/24 next-hop ms-4/0/0.20 set services nat pool p2 address 32.0.0.0/24 set services nat pool p2 port automatic random-allocation set services nat pool p2 address-allocation round-robin set services nat rule r2 match-direction input set services nat rule r2 term t1 from source-address 129.0.0.0/8 set services nat rule r2 term t1 from source-address 128.0.0.0/8 set services nat rule r2 term t1 then translated source-pool p2 set services nat rule r2 term t1 then translated translation-type napt-44 set services nat rule r2 term t1 then translated address-pooling paired set services nat rule r2 term t1 then syslog set services service-set ss2 nat-rules r2 set services service-set ss2 next-hop-service inside-service-interface ms-4/0/0.20 set services service-set ss2 next-hop-service outside-service-interface ms-4/0/0.30 set services service-set ss2 syslog host local class session-logs set services service-set ss2 syslog host local class nat-logs
Configuração de interfaces para chassi 1
Procedimento passo a passo
As interfaces para cada um dos roteadores ha são configuradas de forma idêntica, com exceção das seguintes opções pic de serviço:
Deve
redundancy-options redundancy-peer ipaddress addressser diferente em cada chassi e deve apontar para oredundancy-options redundancy-local data-address data-addresschassi do peer.A
unit unit-number family inet address addressde uma unidade, diferente de 0, que contém a opçãoip-address-owner service-planedeve ser diferente em cada chassi.
Para configurar interfaces:
Configure o PIC de serviço redundante no chassi 1.
[edit interfaces} user@host# set interfaces ms-4/0/0 redundancy-options redundancy-peer ipaddress 5.5.5.2 user@host# set interfaces ms-4/0/0 redundancy-options redundancy-local data-address 5.5.5.1 user@host# set interfaces ms-4/0/0 redundancy-options routing-instance HA user@host# set interfaces ms-4/0/0 redundancy-options replication-threshold 180 user@host# set interfaces ms-4/0/0 unit 10 ip-address-owner service-plane user@host# set interfaces ms-4/0/0 unit 10 family inet address 5.5.5.1/32 user@host# set interfaces ms-4/0/0 unit 20 family inet user@host# set interfaces ms-4/0/0 unit 20 service-domain inside user@host# set interfaces ms-4/0/0 unit 30 family inet user@host# set interfaces ms-4/0/0 unit 30 service-domain outside
Configure as interfaces para o chassi 1 que são usadas como links de interchassis para sincronizar o tráfego.
user@host# set interfaces ge-2/0/0 vlan-tagging user@host# set interfaces ge-2/0/0 unit 0 vlan-id 100 family inet address 20.1.1.1/24
Configure interfaces remanescentes conforme necessário.
Resultados
user@host# show interfaces
ge-2/0/0 {
vlan-tagging;
unit 0 {
vlan-id 100;
family inet {
address 20.1.1.1/24;
}
}
}
ms-4/0/0 {
redundancy-options {
redundancy-peer {
address 5.5.5.2;
}
redundancy-local {
data-address 5.5.5.1;
}
routing-instance HA;
}
unit 10 {
ip-address-owner service-plane;
family inet {
address 5.5.5.1/32;
}
}
unit 20 {
family inet;
family inet6;
service-domain inside;
}
unit 30 {
family inet;
family inet6;
service-domain outside;
}
}
Configure informações de roteamento para tráfego de sincronização de HA entre roteadores da Série MX para Chassis 1
Procedimento passo a passo
A configuração de roteamento detalhado não está incluída neste exemplo. Uma instância de roteamento é necessária para o tráfego de sincronização de HA entre o chassi da seguinte forma:
Para configurar as instâncias de roteamento para o chassi 1:
Especifique uma declaração de política falsa. Esta declaração é mencionada na configuração da instância de roteamento.
user@host# set policy-options policy-statement dummy term 1 then reject
Especifique as opções para a instância de roteamento.
user@host# set routing-instances HA instance-type vrf user@host# set routing-instances HA interface ge-2/0/0.0 user@host# set routing-instances HA interface ms-4/0/0.10 user@host# set routing-instances HA route-distinguisher 1:1 user@host# set policy-options policy-statement dummy term 1 then reject user@host# set routing-instances HA vrf-import dummy user@host# set routing-instances HA vrf-export dummy @user@host# set routing-instances HA routing-options static route 5.5.5.1/32 next-hop ms-4/0/0.10 user@host# set routing-instances HA routing-options static route 5.5.5.2/32 next-hop 20.1.1.2
Especifique o tráfego de próximo salto ao qual o conjunto de serviços é aplicado.
user@host# set routing-options static-route 100.100.100.0/24 next-hop ms-4/0/0.20
Resultados
@user@host# show routing-instances
HA {
instance-type vrf;
interface ge-2/0/0.0;
interface ms-4/0/0.10;
route-distinguisher 1:1;
vrf-import dummy;
vrf-export dummy;
routing-options {
static {
route 5.5.5.1/32 next-hop ms-4/0/0.10;
route 5.5.5.2/32 next-hop 20.1.1.2;
}
}
}
Configuração de NAT para Chassis 1
Procedimento passo a passo
Configure o NAT de maneira idêntica em ambos os roteadores.
Para configurar o NAT:
Especifique informações sobre o pool de NAT e as regras..
user@host# set services nat pool p2 address 32.0.0.0/24 user@host# set services nat pool p2 port automatic random-allocation user@host# set services nat pool p2 address-allocation round-robin user@host# set services nat rule r2 match-direction input user@host# set services nat rule r2 term t1 from source-address 129.0.0.0/8 user@host# set services nat rule r2 term t1 from source-address 128.0.0.0/8 user@host# set services nat rule r2 term t1 then translated source-pool p2 user@host# set services nat rule r2 term t1 then translated translation-type napt-44 user@host# set services nat rule r2 term t1 then translated address-pooling paired user@host# set services nat rule r2 term t1 then syslog
Resultados
user@host# show services nat
nat {
pool p2 {
address 32.0.0.0/24;
port {
automatic {
random-allocation;
}
}
address-allocation round-robin;
}
rule r2 {
match-direction input;
term t1 {
from {
source-address {
129.0.0.0/8;
128.0.0.0/8;
}
}
then {
translated {
source-pool p2;
translation-type {
napt-44;
}
address-pooling paired;
}
syslog;
}
}
}
}
Configuração do conjunto de serviços
Procedimento passo a passo
Configure o conjunto de serviços de maneira idêntica em ambos os roteadores. Para configurar o conjunto de serviços:
(Opcional) Os conjuntos de serviços são replicados por padrão. Excluir um conjunto de serviços da replicação usando a seguinte opção.
user@host# set services service-set ss2 replicate-services disable-replication-capability
Configure referências às regras de NAT para o conjunto de serviços.
user@host# set services service-set ss2 nat-rules r2
Configure a interface de serviço de próximo salto no MS-PIC.
user@host# set services service-set ss2 next-hop-service inside-service-interface ms-4/0/0.20 user@host# set services service-set ss2 next-hop-service outside-service-interface ms-4/0/0.30
Configure as opções de registro desejadas.
user@host# set services service-set ss2 syslog host local class session-logs user@host# set services service-set ss2 syslog host local class nat-logs
Resultados
user@host# show services service-set ss2
syslog {
host local {
class {
session-logs;
inactive:
nat-logs;
}
}
replicate-services {
replication-threshold 180;
inactive: disable-replication-capability;
}
nat-rules r2;
next-hop-service {
inside-service-interface ms-3/0/0.20;
outside-service-interface ms-3/0/0.30;
}
}
Configuração de interfaces para Chassis 2
Procedimento passo a passo
As interfaces para cada um dos roteadores ha são configuradas de forma idêntica, com exceção das seguintes opções pic de serviço:
redundancy-options redundancy-peer ipaddress addressunit unit-number family inet address addressde uma unidade, exceto 0, que contém a opçãoip-address-owner service-plane
Configure o PIC de serviço redundante no chassi 2.
Os
redundancy-peer ipaddresspontos para o endereço da unidade (unidade 10) no chassi ms-4/0/0 no chassi 1 que contém aip-address-owner service-planedeclaração.[edit interfaces} set interfaces ms-4/0/0 redundancy-options redundancy-peer ipaddress 5.5.5.1 user@host# set interfaces ms-4/0/0 redundancy-options redundancy-local data-address 5.5.5.2 user@host# set interfaces ms-4/0/0 redundancy-options replication-threshold 180 user@host# set interfaces ms-4/0/0 redundancy-options routing-instance HA user@host# set interfaces ms-4/0/0 unit 10 ip-address-owner service-plane user@host# set interfaces ms-4/0/0 unit 10 family inet address 5.5.5.2/32 user@host# set interfaces ms-4/0/0 unit 20 family inet user@host# set interfaces ms-4/0/0 unit 20 service-domain inside user@host# set interfaces ms-4/0/0 unit 30 family inet user@host# set interfaces ms-4/0/0 unit 30 service-domain outside
Configure as interfaces para o chassi 2 que são usadas como links de interchassis para sincronizar o tráfego
user@host# set interfaces ge-2/0/0 vlan-tagging user@host# set interfaces ge-2/0/0 unit 0 vlan-id 100 family inet address 20.1.1.2/24
Configure interfaces remanescentes para o chassi 2 conforme necessário.
Resultados
user@host# show interfaces
ms-4/0/0 {
redundancy-options {
redundancy-peer {
address 5.5.5.1;
}
redundancy-local {
data-address 5.5.5.2;
}
routing-instance HA;
}
unit 0 {
family inet;
}
unit 10 {
ip-address-owner service-plane;
family inet {
address 5.5.5.2/32;
}
}
}
ge-2/0/0 {
vlan-tagging;
unit 0 {
vlan-id 100;
family inet {
address 20.1.1.2/24;
}
}
unit 10 {
vlan-id 10;
family inet {
address 2.10.1.2/24;
}
}
}
Configure informações de roteamento para tráfego de sincronização de HA entre roteadores da Série MX para Chassis 2
Procedimento passo a passo
A configuração de roteamento detalhado não está incluída neste exemplo. Uma instância de roteamento é necessária para o tráfego de sincronização de HA entre os dois chassis e está incluído aqui.
Configure as instâncias de roteamento para o chassi 2.
user@host# set routing-instances HA instance-type vrf user@host# set routing-instances HA interface ge-2/0/0.0 user@host# set routing-instances HA interface ms-4/0/0.10 user@host# set routing-instances HA route-distinguisher 1:1 user@host# set policy-options policy-statement dummy term 1 then reject user@host# set routing-instances HA vrf-import dummy user@host# set routing-instances HA vrf-export dummy user@host# set routing-instances HA routing-options static route 5.5.5.2/32 next-hop ms-4/0/0.10 user@host# set routing-instances HA routing-options static route 5.5.5.1/32 next-hop 20.1.1.1 user@host# set routing-options static-route 100.100.100.0/24 next-hop ms-4/0/0.20
Nota:As etapas de configuração a seguir são idênticas às etapas mostradas para o chassi 1.
Configuração do NAT
Configuração do conjunto de serviços
Resultados
@user@host# show services routing-instances
HA {
instance-type vrf;
interface xe-2/2/0.0;
interface ms-4/0/0.10;
route-distinguisher 1:1;
vrf-import dummy;
vrf-export dummy;
routing-options {
static {
route 5.5.5.2/32 next-hop ms-4/0/0.10;
route 5.5.5.1/32 next-hop 20.1.1.1;
}
}
}