在 Junos OS 中配置 vSRX 虚拟防火墙机箱群集

vSRX 虚拟防火墙上的机箱群集调配

在 vSRX 虚拟防火墙实例上为机箱群集设置连接类似于物理 SRX 系列防火墙。vSRX 虚拟防火墙虚拟机将虚拟网络（或 vswitch）用于虚拟网卡（例如 VMXNET3 或 virtio）。

机箱群集需要在两个 vSRX 虚拟防火墙实例之间建立以下直接连接：

• 控制链路或虚拟网络，在主动/被动模式下对两个 vSRX 虚拟防火墙实例之间的控制平面流量运行

• 结构链路或虚拟网络，用于节点之间的实时会话同步。在主动/主动模式下，此链路还用于在两个 vSRX 虚拟防火墙实例之间传输数据流量。

注意：

注： 您可以选择创建两个交换矩阵链路以实现更多冗余。

vSRX 虚拟防火墙群集使用以下接口：

• 带外管理接口 （fxp0）

• 群集控制接口 （em0）

• 群集结构接口（节点 0 上的 fab0，节点 1 上的 fab1）

注意：

控制接口必须是第二个 vNIC。对于结构链路，您可以使用任何收入端口（ge- ports）。您可以选择配置第二个结构链路以增加冗余。

图 1 显示了使用 vSRX 虚拟防火墙实例形成的机箱群集。

vSRX 虚拟防火墙支持 使用 virtio 驱动程序和 SR-IOV 接口的机箱群集，但须注意以下事项：

• 启用机箱群集时，还必须启用巨型帧（MTU 大小 = 9000）以支持 virtio 网络接口上的结构链路。

• 如果跨两个物理主机配置机箱群集，请在 vSRX 虚拟防火墙控制链路使用的每个主机物理接口上禁用 igmp 侦听，以确保机箱群集中的两个节点都能接收控制链路检测信号。

  hostOS# echo 0 > /sys/devices/virtual/net/<bridge-name>/bridge/multicast_snooping

• 启用机箱群集后，vSRX 虚拟防火墙实例会自动将第二个 vNIC 映射到控制链路，其名称将从 ge-0/0/0 更改为 em0。

• 您可以将任何其他 vNIC 用于结构链路。（请参阅 接口命名和映射）

对于 virtio 接口，不支持链路状态更新。virtio 接口的链路状态始终报告为“已启动”。因此，使用 virtio 和机箱群集的 vSRX 虚拟防火墙实例无法接收来自 virtio 接口的链路打开和链路关闭消息。

虚拟网络 MAC 老化时间确定条目在 MAC 表中保留的时间量。建议减少虚拟网络上的 MAC 老化时间，以最大程度地减少故障转移期间的停机时间。

例如，您可以使用命令将 brctl setageing bridge 1 Linux 网桥的老化设置为 1 秒。

为控制和结构链路配置虚拟网络，然后创建控制接口并将其连接到控制虚拟网络，将结构接口连接到结构虚拟网络。

接口命名和映射

为 vSRX 虚拟防火墙定义的每个网络适配器都映射到特定接口，具体取决于 vSRX 虚拟防火墙实例是独立虚拟机还是群集对之一，以实现高可用性。vSRX 虚拟防火墙中的接口名称和映射如表 1 和表 2 所示。

请注意以下几点：

• 在独立模式下：
  • FXP0 是带外管理接口。
  • ge-0/0/0 是第一个流量（收入）接口。
• 在群集模式下：
  • FXP0 是带外管理接口。
  • em0 是两个节点的群集控制链路。
  • 可以将任何流量接口指定为结构链路，例如节点 0 上的 fab0 为 ge-0/0/0，节点 1 上的 fab1 为 ge-7/0/0。

表 1 中显示了独立 vSRX 虚拟防火墙虚拟机的接口名称和映射，对于集群模式下的 vSRX 虚拟防火墙虚拟机，表 2 中显示了相同的接口名称和映射。您可以看到，在集群模式下，em0 端口插入到 fxp0 和 ge-0/0/0 位置之间，这使得收入端口号上移一个 vNIC 位置。

表 1： 独立 vSRX 虚拟防火墙虚拟机的接口名称

网络适配器	接口名称
1	FXP0
2	ge-0/0/0
3	ge-0/0/1
4	ge-0/0/2
5	ge-0/0/3
6	ge-0/0/4
7	ge-0/0/5
8	ge-0/0/6

表 2： vSRX 虚拟防火墙群集对的接口名称

网络适配器	接口名称
1	FXP0（节点 0 和 1）
2	em0（节点 0 和 1）
3	ge-0/0/0（节点 0） ge-7/0/0（节点 1）
4	ge-0/0/1（节点 0） ge-7/0/1（节点 1）
5	ge-0/0/2（节点 0） ge-7/0/2（节点 1）
6	ge-0/0/3（节点 0） ge-7/0/3（节点 1）
7	ge-0/0/4（节点 0） ge-7/0/4（节点 1）
8	ge-0/0/5（节点 0） ge-7/0/5（节点 1）

启用机箱群集形成

创建两个 vSRX 虚拟防火墙实例以形成机箱群集，然后在每个实例上设置群集 ID 和节点 ID 以加入群集。当 vSRX 虚拟防火墙虚拟机加入群集时，它将成为该群集的节点。除了唯一的节点设置和管理 IP 地址外，群集中的节点共享相同的配置。

您最多可以在 第 2 层 域中部署 255 个机箱群集。群集和节点通过以下方式标识：

• 群集 ID（从 1 到 255 的数字）标识群集。

• 节点 ID（从 0 到 1 的数字）标识群集节点。

在 SRX 系列防火墙上，群集 ID 和节点 ID 将写入 EEPROM。在 vSRX 虚拟防火墙虚拟机上，vSRX 虚拟防火墙存储并从 boot/loader.conf 读取 ID，并在启动期间使用这些 ID 初始化机箱群集。

在启用机箱群集之前，请确保您的 vSRX 虚拟防火墙实例符合以下先决条件：

• 您已向构成机箱群集的两个 vSRX 虚拟防火墙实例提交了基本配置。请参见 使用 CLI 配置 vSRX。

• show version在 Junos OS 中使用，以确保两个 vSRX 虚拟防火墙实例具有相同的软件版本。
• show system license在 Junos OS 中使用，以确保两个 vSRX 虚拟防火墙实例安装了相同的许可证。
• 您必须在每个 vSRX 虚拟防火墙节点上设置相同的机箱群集 ID，然后重新启动 vSRX 虚拟防火墙虚拟机以启用机箱群集形成。

节点 0 和节点 1 的机箱群集形成命令如下所示：

• 在 vSRX 虚拟防火墙节点 0 上：

• 在 vSRX 虚拟防火墙节点 1 上：

  启用机箱群集时，vSRX 虚拟防火墙接口命名和到 vNIC 的映射会发生变化。对群集中的每个节点使用相同的群集 ID 号。

注意：

使用连接到同一 L2 域的多个集群时，需要为每个集群使用唯一的集群 ID。否则，您可能会在网络上获得重复的 mac 地址，因为集群 ID 用于形成虚拟接口 mac 地址。

重新启动后，在节点 0 上，配置群集中用于传递实时对象 （RTO） 的结构（数据）端口：