多节点高可用性中的非对称流量支持

多节点高可用性如何支持非对称流量

• 不支持非对称流量
• 支持非对称流量
• 机箱间数据路径 （ICD） 的工作原理是什么？

同一流的双向数据包通过相邻路由器或交换机在多节点高可用性设置中传送到不同的 SRX 系列设备，如图 1 所示

从网络 B 到网络 A 的出站流量通过节点 1 （SRX-01），返回流量（入站流量）通过节点 2 （SRX-02） 从网络 A 流向网络 B。

在这种非对称流量的情况下，由于缺少有关同一流量的双向流量的完整状态信息，SRX 系列防火墙（在本例中为 SRX-02）会丢弃数据包。

为了支持非对称流量，多节点高可用性使用机箱间数据路径 （ICD）。ICD 在高可用性设置中在两台 SRX 系列设备之间转发非对称流量数据包。

在这种情况下，多节点高可用性系统会在节点之间创建新的可路由链路。此可路由链路使节点能够将非对称流转发到可对流执行安全检查的原始节点。也就是说，节点 2 （SRX-02） 将入站流量转发到节点 1 （SRX-01），而不是下一跃点路由器。SRX 系列防火墙对双向流的数据包执行安全检查。

ICL 和 ICD 的规划接口

在多节点高可用性配置中，ICL 和 ICD 物理接口必须处于活动状态且可操作，才能适应非对称流量。ICL 和 ICD 接口有助于高可用性设置中节点之间的通信，其状态将影响数据包处理。如果任一接口无法正常工作，则会影响对非对称流量的支持。因此，确保这些接口正常运行以获得最佳网络性能至关重要。

当您有多个物理接口连接到 ICL，并且其中一个主动用于处理数据包的接口出现故障时，数据流将切换为使用与 ICL 关联的另一个可用物理接口。如果与 ICL 关联的所有物理接口都关闭，SRX 系列防火墙将失去 ICL 连接。在这种情况下，SRX 系列节点无法交换 RTO 消息，也无法支持非对称流量。

在多节点高可用性设置中，对 ICL 和 ICD 使用不同的环路接口。

节点通过静态或动态路由协议（例如：BGP）学习到达对等节点 ICD IP 地址的路由。多节点高可用性设置利用每个 SRX 系列防火墙上的现有路由功能来路由数据包。

影响非对称流量的 ICL 和 ICD 状态

表 1 显示了节点之间的 BFD 状态如何取决于为 ICL 和 ICD 分配的物理接口。

表 1：影响非对称流量支持的 ICL 和 ICD 状态

ICL		Icd		非对称流量服务
物理接口	BFD 状态	物理接口	BFD 状态
向上	向上	向上	向上	向上
向上	向上	向下	向下	向下
向下	向下	向上	向上	向下
向上	向下	向上	向下	向下
向下	向下	向下	向下	向下