适用于 KVM 的 vSRX 虚拟防火墙群集分段和调配
您可以配置 vSRX 虚拟防火墙虚拟机和虚拟网络,以配置机箱群集。
vSRX 虚拟防火墙 机箱群集 的暂存和调配包括以下任务:
vSRX 虚拟防火墙上的机箱群集配置
机箱群集需要在两个 vSRX 虚拟防火墙实例之间使用以下直连:
控制链路或 虚拟网络,在主动/被动模式下为两个 vSRX 虚拟防火墙实例之间的控制平面流量
交换矩阵链路或虚拟网络,在主动/主动模式下为两个 vSRX 虚拟防火墙实例之间的数据流量
注意:您可以选择创建两个交换矩阵链路来增加冗余。
vSRX 虚拟防火墙群集使用以下接口:
带外管理接口 (fxp0)
群集控制接口 (em0)
群集交换矩阵接口(节点 0 上的 fab0,节点 1 上的 fab1)
控制接口必须是第二个 vNIC。您可以选择配置第二个交换矩阵链路来增加冗余。
vSRX 虚拟防火墙支持使用 virtio 驱动程序和接口的机箱群集,但需要考虑以下事项:
启用机箱群集时,还必须启用巨型帧(MTU 大小 = 9000),以支持 virtio 网络接口上的交换矩阵链路。
如果跨两个物理主机配置机箱群集,请在 vSRX 虚拟防火墙控制链路使用的每个主机物理接口上禁用 igmp 侦听,以确保机箱群集中的两个节点都接收控制链路心跳。
hostOS# echo 0 > /sys/devices/virtual/net/<bridge-name>/bridge/multicast_snooping
启用机箱群集后,vSRX 虚拟防火墙实例会将第二个 vNIC 映射到控制链路 em0。您可以将任何其他 vNIC 映射到交换矩阵链路。
对于 virtio 接口,不支持链路状态更新。virtio 接口的链路状态始终报告为 Up。因此,使用 virtio 和机箱群集的 vSRX 虚拟防火墙实例无法接收来自 virtio 接口的链路连接和链接消息。
虚拟网络 MAC 老化时间决定了条目在 MAC 表中保留的时间量。我们建议您减少虚拟网络上的 MAC 老化时间,以最大程度地减少故障切换期间的停机时间。
例如,您可以使用 brctl setageing bridge 1
命令将 Linux 桥接的老化设置为 1 秒。
您可以为控制链路和交换矩阵链路配置虚拟网络,然后创建控制接口并将其连接到控制虚拟网络,并将交换矩阵接口连接到交换矩阵虚拟网络。
使用 virt-manager 创建机箱群集虚拟网络
在 KVM 中,您可以创建两个虚拟网络(控制和交换矩阵),您可以将每个 vSRX 虚拟防火墙实例连接在一起,用于机箱群集。
要创建虚拟网络,请:virt-manager
- 启动
virt-manager
并选择 编辑>连接详细信息。将显示“连接详细信息”对话框。 - 选择 虚拟网络。将显示现有虚拟网络列表。
- 单击 + 为控制链路创建新的虚拟网络。将显示创建新的虚拟网络向导。
- 为此虚拟网络设置子网,然后单击“ 向前”。
- 选择 启用 DHCP ,然后单击 “向前”。
- 选择 “隔离的虚拟网络 ”,然后单击“ 向前”。
- 验证设置,然后单击 Finish 创建虚拟网络。
使用 virsh 创建机箱群集虚拟网络
在 KVM 中,您可以创建两个虚拟网络(控制和交换矩阵),您可以将每个 vSRX 虚拟防火墙连接在一起,以实现机箱群集。
要创建控制网络,请:virsh
使用 virt 管理器配置控制和交换矩阵接口
要为机箱群集配置控制和交换矩阵接口,请:virt-manager
使用 virsh 配置控制和交换矩阵接口
要配置 vSRX 虚拟防火墙虚拟机的控制和交换矩阵接口,请使用 virsh
:
配置机箱群集交换矩阵端口
形成机箱群集后,必须配置构成交换矩阵(数据)端口的接口。
确保您配置了以下各项:
在两个 vSRX 虚拟防火墙实例上设置机箱群集 ID,并重新启动 vSRX 虚拟防火墙实例。
配置了控制和交换矩阵链路。