Configure um cluster de chassi de firewall virtual vSRX no Junos OS

Provisionamento de cluster de chassi no firewall virtual vSRX

Configurar a conectividade para cluster de chassi em instâncias de firewall virtual vSRX é semelhante aos firewalls físicos da Série SRX. O vSRX Virtual Firewall VM usa rede virtual (ou vswitch) para NIC virtual (como VMXNET3 ou virtio).

O cluster do chassi requer as seguintes conexões diretas entre as duas instâncias de firewall virtual vSRX:

• Link de controle, ou rede virtual, que atua no modo ativo/passivo para o tráfego de plano de controle entre as duas instâncias de firewall virtual vSRX

• Link de malha, ou rede virtual, que é usado para sincronização de sessão em tempo real entre os nós. No modo ativo/ativo, este link também é usado para transportar tráfego de dados entre as duas instâncias de firewall virtual vSRX.

Nota:

Nota: Você pode criar opcionalmente dois links de malha para obter mais redundância.

O cluster de firewall virtual vSRX usa as seguintes interfaces:

• Interface de gerenciamento fora de banda (fxp0)

• Interface de controle de cluster (em0)

• Interface de malha de cluster (fab0 no nó0, fab1 no nó1)

Nota:

A interface de controle deve ser o segundo vNIC. Para o link de malha, você pode usar qualquer porta de receita (ge-ports). Você pode configurar opcionalmente um segundo link de malha para aumentar a redundância.

A Figura 1 mostra a formação de clusters de chassi com instâncias de firewall virtual vSRX.

O firewall virtual vSRX oferece suporte a clusters de chassi usando o driver virtio e as interfaces SR-IOV, com as seguintes considerações:

• Quando você habilita o cluster do chassi, você também deve habilitar estruturas jumbo (tamanho MTU = 9000) para oferecer suporte ao link de malha na interface de rede virtio.

• Se você configurar um cluster de chassi em dois hosts físicos, desabiira a espionagem de igmp em cada interface física do host que o link de controle do firewall virtual vSRX usa para garantir que o link de controle seja recebido por ambos os nós no cluster do chassi.

  hostOS# echo 0 > /sys/devices/virtual/net/<bridge-name>/bridge/multicast_snooping

• Após a ativação do cluster do chassi, a instância de firewall virtual vSRX mapeia o segundo vNIC para o link de controle automaticamente, e seu nome será alterado de ge-0/0/0 para em0.

• Você pode usar quaisquer outros vNICs para o link/links de malha. (Veja nomenclatura e mapeamento de interface)

Para interfaces virtio, a atualização do status do link não é suportada. O status do link das interfaces virtio é sempre relatado como Up. Por essa razão, uma instância de firewall virtual vSRX que usa o cluster virtio e chassi não pode receber mensagens de link para cima e link para baixo de interfaces virtio.

O tempo de envelhecimento MAC da rede virtual determina a quantidade de tempo que uma entrada permanece na tabela MAC. Recomendamos que você reduza o tempo de envelhecimento do MAC nas redes virtuais para minimizar o tempo de inatividade durante o failover.

Por exemplo, você pode usar o comando para definir o brctl setageing bridge 1 envelhecimento em 1 segundo para a ponte linux.

Você configura as redes virtuais para os links de controle e malha, depois cria e conecta a interface de controle à rede virtual de controle e à interface de malha para a rede virtual da malha.

Nomenclatura e mapeamento de interfaces

Cada adaptador de rede definido para um firewall virtual vSRX é mapeado em uma interface específica, dependendo se a instância do firewall virtual vSRX é uma VM independente ou um de um par de clusters para alta disponibilidade. Os nomes e mapeamentos de interface no firewall virtual vSRX são mostrados na Tabela 1 e na Tabela 2.

Observe o seguinte:

• No modo autônomo:
  • o switchp0 é a interface de gerenciamento fora da banda.
  • ge-0/0/0 é a primeira interface de tráfego (receita).
• No modo cluster:
  • o switchp0 é a interface de gerenciamento fora da banda.
  • em0 é o link de controle de cluster para ambos os nós.
  • Qualquer uma das interfaces de tráfego pode ser especificada como links de malha, como ge-0/0/0 para fab0 no nó 0 e ge-7/0/0 para fab1 no nó 1.

Os nomes e mapeamentos de interface para uma VM de firewall virtual vSRX independente podem ser vistos na Tabela 1 e para um VM de firewall virtual vSRX no modo de cluster o mesmo é mostrado na Tabela 2. Você pode ver que, no modo cluster, a porta em0 está inserida entre as posições de 0/0/0/0, o que faz com que os números da porta de receita mudem para um local vNIC.

Tabela 1: Nomes de interface para um VM de firewall virtual vSRX autônomo

Adaptador de rede	Nomes de interface
1	fxp0
2	ge-0/0/0
3	ge-0/0/1
4	ge-0/0/2
5	ge-0/0/3
6	ge-0/0/4
7	ge-0/0/5
8	ge-0/0/6

Tabela 2: Nomes de interface para um par de clusters de firewall virtual vSRX

Nomes de interface	de adaptador de rede
1	fxp0 (nó 0 e 1)
2	em0 (nó 0 e 1)
3	ge-0/0/0 (nó 0) ge-7/0/0 (nó 1)
4	ge-0/0/1 (nó 0) ge-7/0/1 (nó 1)
5	ge-0/0/2 (nó 0) ge-7/0/2 (nó 1)
6	ge-0/0/3 (nó 0) ge-7/0/3 (nó 1)
7	ge-0/0/4 (nó 0) ge-7/0/4 (nó 1)
8	ge-0/0/5 (nó 0) ge-7/0/5 (nó 1)

Habilitando a formação de clusters de chassi

Você cria duas instâncias de firewall virtual vSRX para formar um cluster de chassi e, em seguida, você define o ID de cluster e o ID de nós em cada instância para se juntar ao cluster. Quando um VM de firewall virtual vSRX se junta a um cluster, ele se torna um nó desse cluster. Com exceção de configurações de nó exclusivas e endereços IP de gerenciamento, nós em um cluster compartilham a mesma configuração.

Você pode implantar até 255 clusters de chassi em um domínio de Camada 2 . Clusters e nós são identificados das seguintes maneiras:

• A ID do cluster (um número de 1 a 255) identifica o cluster.

• O ID do nó (um número de 0 a 1) identifica o nó de cluster.

Nos firewalls da Série SRX, o ID de cluster e o ID de nós estão escritos no EEPROM. No VM de firewall virtual vSRX, o firewall virtual vSRX armazena e lê os IDs do boot/loader.conf e usa os IDs para inicializar o cluster do chassi durante a inicialização.

Certifique-se de que suas instâncias de firewall virtual vSRX cumpram os seguintes pré-requisitos antes de habilitar o clustering do chassi:

• Você comprometeu uma configuração básica para ambas as instâncias de firewall virtual vSRX que formam o cluster do chassi. Veja a configuração do vSRX usando o CLI.

• Use show version no Junos OS para garantir que ambas as instâncias de firewall virtual vSRX tenham a mesma versão de software.
• Use show system license no Junos OS para garantir que ambas as instâncias de firewall virtual vSRX tenham as mesmas licenças instaladas.
• Você deve definir o mesmo ID de cluster de chassi em cada nó de firewall virtual vSRX e reiniciar o VM de firewall virtual vSRX para permitir a formação de clusters do chassi.

Os comandos de formação de cluster de chassi para nós 0 e nó 1 são os seguintes:

• No nó do firewall virtual vSRX 0:

• No nó de firewall virtual vSRX 1:

  A interface de firewall virtual vSRX nomeando e mapeando as mudanças dos vNICs quando você habilita o clustering do chassi. Use o mesmo número de ID de cluster para cada nó no cluster.

Nota:

Ao usar vários clusters conectados ao mesmo domínio L2, uma id de cluster única precisa ser usada para cada cluster. Caso contrário, você pode obter endereços mac duplicados na rede, porque a id de cluster é usada para formar os endereços mac da interface virtual.

Após a reinicialização, no nó 0, configure as portas de malha (dados) do cluster que são usadas para passar objetos em tempo real (RTOs):