Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
本页内容
 

示例：在第 3 层网络中配置多节点高可用性

阅读本主题可了解如何在 SRX 系列防火墙上配置多节点高可用性解决方案。此示例介绍了在 SRX 系列防火墙连接到两端路由器时在主动/备份模式下的配置。

概述

在多节点高可用性方面，参与的 SRX 系列防火墙作为第 3 层网络中的独立节点运行。这些节点连接到属于不同网络的相邻基础架构。加密的逻辑机箱之间链路 （ICL） 通过路由网络连接节点。参与节点相互备份，以确保在发生系统或硬件故障时快速同步故障切换。

在多节点高可用性中，活动性在服务冗余组 （SRG） 级别确定。SRG1 处于活动状态的 SRX 系列防火墙托管浮动 IP 地址，并使用浮动 IP 地址引导流量流向浮动 IP 地址。在故障切换期间，浮动 IP 地址从旧活动节点移动到新的活动节点，并继续通信客户端设备。

注意：

我们在多节点高可用性解决方案中支持双节点配置。

要求

此示例使用以下硬件和软件组件：

  • 两个 SRX 系列防火墙或 vSRX 虚拟防火墙实例

  • 两个瞻博网络 （R） MX960 通用路由平台

  • Junos OS 22.3R1 版

拓扑结构

图 1 显示了此示例中使用的拓扑。

图 1：第 3 层网络 Network topology diagram showing connectivity between external networks (clouds), SRX firewalls in Untrust and Trust Zones, vMX routers in ASN 65000, and IP addresses.中的多节点高可用性

如拓扑图所示，两个 SRX 系列防火墙在信任端和非信任端连接到相邻路由器，形成 BGP 邻居关系。加密的逻辑机箱之间链路 （ICL） 通过路由网络连接节点。节点通过网络使用可路由的 IP 地址（浮动 IP 地址）相互通信。环路接口用于托管 SRX 系列和路由器上的 IP 地址。

通常，您可以使用聚合以太网 （AE） 或 SRX 系列防火墙上的收入以太网端口来建立 ICL 连接。在本例中，我们为 ICL 使用了 GE 端口。我们还为 ICL 路径配置了一个路由实例，以确保实现最大分段。

在典型的高可用性部署中，网络的北向和南向两侧有多个路由器和交换机。在本例中，我们在 SRX 系列防火墙的两侧使用了两台路由器。

在此示例中，您将在 SRX 系列防火墙之间建立高可用性，并通过启用高可用性链路加密来保护隧道流量。

您将执行以下任务来构建多节点高可用性设置：

  • 通过分配 ID，将一对 SRX 系列防火墙配置为本地节点和对等节点。
  • 配置服务冗余组。
  • 配置一个环路接口 （lo0.0） 来托管浮动 IP 地址。
  • 配置 IP 探针以确定和实施主动性
  • 配置主动性实施所需的信号路由，并将其与路由存在策略一起使用。
  • 使用 IKEv2 为高可用性 （ICL） 流量配置 VPN 配置文件。
  • 配置 BFD 监控选项
  • 配置路由策略和路由选项
  • 配置适当的安全策略来管理网络中的流量

  • 根据您的网络要求配置无状态防火墙过滤和服务质量 （QoS）。

  • 根据您的网络要求配置接口和区域。您必须允许用于链路加密的 IKE 和用于配置同步的 SSH 等服务作为与 ICL 关联的安全区域上的主机入站系统服务。

在此示例中，您在 SRX-1 和 SRX-2 上使用静态路由，并将这些路由播发到 BGP 中，以添加指标以确定首选路径中的 SRX 系列防火墙。或者，您可以使用 SRX 系列防火墙上的路由反射器来通告通过 BGP 获知的路由，并相应地配置路由策略以在 BGP 上匹配。

您可以在 SRG0 和 SRG1 上配置以下选项：

  • SRG1：主动/备份信号路由、部署类型、主动性优先级、抢占、虚拟 IP 地址（用于默认网关部署）、主动性探测和备份处理数据包。

  • SRG1：SRG1 上的 BFD 监控、IP 监控和接口监控选项。

  • SRG0：故障时关机和故障时安装路由选项。

    在 SRG1 下配置监控（BFD 或 IP 或接口）选项时，建议不要在 SRG0 下配置故障时关闭选项。

对于机箱之间链路 （ICL），建议采用以下配置设置：

  • 使用环路 （lo0） 接口和聚合以太网接口 （ae0） 或任何收入以太网接口来建立 ICL。请勿使用专用高可用性端口（控制端口和交换矩阵端口）（如果 SRX 系列防火墙上可用）。
  • 将 MTU 设置为 1514
  • 在与用于 ICL 的接口相关联的安全区域上允许以下服务

    • IKE、高可用性、SSH

    • 协议取决于您需要的路由协议。

    • BFD 来监视相邻路由。

从 st0.16000 到 st0.16385 的安全隧道接口 （st0） 保留用于多节点高可用性。这些接口不是用户可配置的接口。您只能使用 st0.0 到 st0.15999 之间的接口。

配置

开始之前

用于多节点高可用性的 SRX 系列防火墙配置需要 Junos IKE 软件包。此软件包可作为 SRX 系列防火墙的默认软件包或可选软件包提供。有关详细信息，请参阅 对 Junos IKE 包的支持 。

如果 SRX 系列防火墙默认未安装该软件包，请使用以下命令进行安装。您需要执行此步骤进行 ICL 加密。

CLI 快速配置

要快速配置此示例，请复制以下命令，将其粘贴到文本文件中，删除所有换行符，更改详细信息，以便与网络配置匹配，将命令复制并粘贴到层次结构级别的 [edit] CLI 中，然后从配置模式进入。commit

这些配置是从实验室环境中捕获的，仅供参考。实际配置可能因您的环境的具体要求而异。

在 SRX-1 设备上

在 SRX-2 设备上

以下章节显示了在网络中设置多节点高可用性设置所需的路由器上的配置片段。

路由器 （VMX-1）

路由器 （VMX-2）

配置

分步程序

我们将在分步过程中展示 SRX-1 的配置。

下面的示例要求您在各个配置层级中进行导航。有关如何执行此作的说明，请参阅《CLI 用户指南》中的在配置模式下使用 CLI 编辑器。

  1. 配置接口。

    我们使用 ge-0/0/3 和 ge-0/0/4 接口连接到上游和下游路由器，并使用 ge-0/0/2 接口设置 ICL。

  2. 配置环路接口。

    分配给环路接口的 IP 地址 （10.11.0.1） 将用作浮动 IP 地址。

    使用环路接口可确保在任何给定点上，来自相邻路由器的流量都将被引导至浮动 IP 地址（即指向活动节点）。

  3. 配置安全区域，为区域分配接口，并为安全区域指定允许的系统服务。

    将接口 ge-0/0/3 和 ge-0/0/4 分别分配信任和非信任区域。将 lo0.0 接口分配给 untrust 区域以通过公共 IP 网络进行连接。将接口 ge-0/0/2 分配给 halink 区域。使用此区域来设置 ICL。

  4. 配置路由选项。

  5. 配置本地节点和对等节点详细信息，例如节点 ID、本地节点和对等节点的 lP 地址以及对等节点的接口。

    您将使用 ge-0/0/2 接口与使用 ICL 的对等节点进行通信。

  6. 将 IPsec VPN 配置文件IPSEC_VPN_ICL连接到对等节点。

    您需要此配置在节点之间建立安全的 ICL 链路。

  7. 为对等节点配置双向转发检测 （BFD） 协议选项。

  8. 将对等节点 ID 2 与服务冗余组 0 （SRG0） 相关联。

  9. 配置服务冗余组 1 （SRG1）。

    在此步骤中，您将部署类型指定为路由，因为您要在第 3 层网络中设置多节点高可用性。

    .

  10. 设置 SRG1 的活性确定参数。

    使用浮动 IP 地址作为源 IP 地址 （10.11.0.1），将上游路由器的 IP 地址用作目标 IP 地址 （10.111.0.1），用于主动性确定探测。

    您最多可以配置 64 个 IP 地址，用于 IP 监控和主动性探测。总共 64 个 IP 地址是 IPv4 和 IPv6 地址数量的总和）

  11. 为 SRG1 配置 BFD 监控参数，以检测网络故障。

  12. 配置主动性实施所需的活动信号路由。

    在此步骤中，活动 SRX 系列防火墙将创建 IP 地址为 10.39.1.1 的路由，而备用 SRX 系列防火墙将根据配置创建 IP 地址为 10.39.1.2 的路由。在此示例中，SRX-1 上的策略与 10.39.1.1（自其活动状态）匹配，并通告具有度量 10 的静态/直接路由，使其成为首选。SRX-2 上的策略与 10.39.1.2 匹配（自备份以来）并通告具有度量 20 的静态/直接路由，因此不太受欢迎。

    您分配的活动信号路由 IP 地址将用于路由首选项通告。

    注意：您必须在 policy-options 语句中指定活动信号路由以及 route-exists 策略。配置 active-signal-route with if-route-exists 条件时，高可用性模块会将此路由添加到路由表中。

  13. 配置策略选项。

    使用路由匹配条件 （if-route-exists） 配置活动信号路由 10.39.1.1。

  14. 配置安全策略。

    确保已根据网络要求配置安全策略。

  15. 为多节点高可用性定义互联网密钥交换 （IKE） 配置。IKE 配置定义用于建立安全连接的算法和密钥。

    对于多节点高可用性功能，您必须将 IKE 版本配置为 v2-only

  16. 指定 IPsec 提议协议和加密算法。指定 IPsec 选项以在两个参与设备之间创建 IPsec 隧道，以保护 VPN 通信。

    指定该ha-link-encryption选项会对 ICL 进行加密，以确保节点之间的高可用性流量信息流的安全。

    在机箱高可用性配置中必须提及 vpn_profile IPSEC_VPN_ICL相同的 VPN 名称。

  17. 配置 BFD 对等会话选项并指定活跃度检测计时器。

软件升级的配置选项（可选）

在多节点高可用性中，在软件升级期间，您可以通过更改路由来分流流量。使用以下步骤添加故障配置时的安装路由。在这里，流量仍可通过该节点，且接口保持开启。

查看 多节点高可用性中的软件升级， 了解详细信息。

  1. 为升级期间用于分流流量的路由创建专用的自定义虚拟路由器。

  2. 为 SRG0 配置 install route on failure 语句。

    当节点发生故障时，路由表将安装语句中提到的路由。

  3. 创建匹配的路由策略，该策略将路由称为具有属性的 route-exists 条件。

    示例：以下配置片段显示，您已将 SRG0 的路由配置为 IP 地址为 10.39.1.3 作为故障时安装路由。路由策略语句将路由 10.39.1.3 作为 if-route-exists 条件，策略语句将条件作为匹配术语之一引用。

结果 （SRX-1）

在配置模式下，输入以下命令以确认您的配置。

如果输出未显示预期的配置，请重复此示例中的配置说明进行更正。

如果完成设备配置，请从配置模式进入。commit

结果 （SRX-2）

在配置模式下，输入以下命令以确认您的配置。如果输出未显示预期的配置，请重复此示例中的配置说明进行更正。

如果完成设备配置，请从配置模式进入。commit

在您的安全设备上，您将收到以下消息，要求您重新启动设备：

验证

确认配置工作正常。

检查多节点高可用性详细信息

目的

查看并验证安全设备上配置的多节点高可用性设置的详细信息。

行动

在作模式下，运行以下命令：

在 SRX-1 上

在 SRX-2 上

意义

从命令输出中验证以下详细信息：

  • 本地节点和对等节点详细信息，例如 IP 地址和 ID。

  • 该字段 Encrypted: YES 表示流量已受到保护。

  • 该字段 Deployment Type: ROUTING 表示第 3 层模式配置，即网络两端都有路由器。

  • 该字段 Services Redundancy Group: 1 指示该节点上 SRG1 的状态（ACTIVE 或 BACKUP）。

检查多节点高可用性对等节点状态

目的

查看并验证对等节点详细信息。

行动

在作模式下，运行以下命令：

SRX-1

SRX-2

意义

从命令输出中验证以下详细信息：

  • 对等节点详细信息，例如使用的接口、IP 地址和 ID

  • 加密状态、连接状态和冷同步状态

  • 整个节点的数据包统计信息。

检查多节点高可用性服务冗余组

目的

验证 SRG 是否已配置且工作正常。

行动

在作模式下，运行以下命令：

对于 SRG0：

对于 SRG1：

意义

从命令输出中验证以下详细信息：

  • 对等节点详细信息，例如部署类型、状态以及活动和备份信号路由。

  • 虚拟 IP IP 地址和虚拟 MAC 地址等信息。

  • IP 监控和 BFD 监控状态。

验证故障切换前后的多节点高可用性状态

目的

在多节点高可用性设置中检查故障切换前后节点状态的变化。

行动

要检查备份节点 （SRX-2） 上的多节点高可用性状态，请在作模式下运行以下命令：

在该 Services Redundancy Group: 1 部分下，您可以看到该 Status: BACKUP 字段。此字段值表示 SRG 1 的状态为备份。

在活动节点（SRX-1 设备）上启动故障切换，然后在备份节点（SRX-2 设备）上再次运行命令。

请注意，在该 Services Redundancy Group: 1 部分下，SRG1 的状态已从 BACKUP 更改为 ACTIVE。

您还可以在该Peer Information部分下查看对等节点详细信息。输出显示对等方的状态为 BACKUP。

验证机箱间链路 （ICL） 加密状态

目的

验证机箱间链路 （ICL） 状态。

行动

在作模式下，运行以下命令：

意义

命令输出提供以下信息：

  • 本地网关和远程网关详细信息。

  • PIC 中每个线程的 IPsec SA 对。

  • 高可用性链路加密模式（如下行所示）：

  • 使用的身份验证和加密算法

    注意：

    命令输出中显示的 IP 范围 （180.100.1.x） 用作 ICL IPsec 流量选择器。系统会动态分配此 IP 范围，因此不能更改或修改它。此外，BFD（双向转发检测）将自动启用，以覆盖更广泛的 180.x.x.x IP 范围。

验证链路加密隧道统计信息

目的

验证活动节点和备份节点上的链路加密隧道统计信息。

行动

在作模式下，运行以下命令：

意义

如果看到 VPN 中有数据包丢失的问题，可以多次运行命令 show security ipsec statistics ha-link-encryption 以验证加密和解密数据包计数器是否在递增。还应检查其他错误计数器是否也在递增。

使用此命令清除 clear security ipsec security-associations ha-link-encryption 所有 IPsec 统计信息。

验证机箱间链路活动对等方

目的

仅查看 ICL 活动对等方，不查看常规 IKE 活动对等方。

行动

在作模式下，运行以下命令：

SRX-1

SRX-2

意义

命令输出仅显示 ICL 的活动对等方，以及活动对等方正在使用的对等方地址和端口等详细信息。

也可以看看