Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

适用于 KVM 的 vSRX 虚拟防火墙群集分段和调配

您可以配置 vSRX 虚拟防火墙虚拟机和虚拟网络,以配置机箱群集。

vSRX 虚拟防火墙 机箱群集 的暂存和调配包括以下任务:

vSRX 虚拟防火墙上的机箱群集配置

机箱群集需要在两个 vSRX 虚拟防火墙实例之间使用以下直连:

  • 控制链路或 虚拟网络,在主动/被动模式下为两个 vSRX 虚拟防火墙实例之间的控制平面流量

  • 交换矩阵链路或虚拟网络,在主动/主动模式下为两个 vSRX 虚拟防火墙实例之间的数据流量

    注意:

    您可以选择创建两个交换矩阵链路来增加冗余。

vSRX 虚拟防火墙群集使用以下接口:

  • 带外管理接口 (fxp0)

  • 群集控制接口 (em0)

  • 群集交换矩阵接口(节点 0 上的 fab0,节点 1 上的 fab1)

注意:

控制接口必须是第二个 vNIC。您可以选择配置第二个交换矩阵链路来增加冗余。

图 1:vSRX 虚拟机箱群集 vSRX Virtual Firewall Chassis Cluster

vSRX 虚拟防火墙支持使用 virtio 驱动程序和接口的机箱群集,但需要考虑以下事项:

  • 启用机箱群集时,还必须启用巨型帧(MTU 大小 = 9000),以支持 virtio 网络接口上的交换矩阵链路。

  • 如果跨两个物理主机配置机箱群集,请在 vSRX 虚拟防火墙控制链路使用的每个主机物理接口上禁用 igmp 侦听,以确保机箱群集中的两个节点都接收控制链路心跳。

  • 启用机箱群集后,vSRX 虚拟防火墙实例会将第二个 vNIC 映射到控制链路 em0。您可以将任何其他 vNIC 映射到交换矩阵链路。

注意:

对于 virtio 接口,不支持链路状态更新。virtio 接口的链路状态始终报告为 Up。因此,使用 virtio 和机箱群集的 vSRX 虚拟防火墙实例无法接收来自 virtio 接口的链路连接和链接消息。

虚拟网络 MAC 老化时间决定了条目在 MAC 表中保留的时间量。我们建议您减少虚拟网络上的 MAC 老化时间,以最大程度地减少故障切换期间的停机时间。

例如,您可以使用 brctl setageing bridge 1 命令将 Linux 桥接的老化设置为 1 秒。

您可以为控制链路和交换矩阵链路配置虚拟网络,然后创建控制接口并将其连接到控制虚拟网络,并将交换矩阵接口连接到交换矩阵虚拟网络。

使用 virt-manager 创建机箱群集虚拟网络

在 KVM 中,您可以创建两个虚拟网络(控制和交换矩阵),您可以将每个 vSRX 虚拟防火墙实例连接在一起,用于机箱群集。

要创建虚拟网络,请:virt-manager

  1. 启动 virt-manager 并选择 编辑>连接详细信息。将显示“连接详细信息”对话框。
  2. 选择 虚拟网络。将显示现有虚拟网络列表。
  3. 单击 + 为控制链路创建新的虚拟网络。将显示创建新的虚拟网络向导。
  4. 为此虚拟网络设置子网,然后单击“ 向前”。
  5. 选择 启用 DHCP ,然后单击 “向前”。
  6. 选择 “隔离的虚拟网络 ”,然后单击“ 向前”。
  7. 验证设置,然后单击 Finish 创建虚拟网络。

使用 virsh 创建机箱群集虚拟网络

在 KVM 中,您可以创建两个虚拟网络(控制和交换矩阵),您可以将每个 vSRX 虚拟防火墙连接在一起,以实现机箱群集。

要创建控制网络,请:virsh

  1. virsh net-define使用主机操作系统上的命令创建定义新虚拟网络的 XML 文件。包括表 1 中描述的 XML 字段以定义此网络。
    注意:

    有关可用选项的完整说明,请参阅官方 virsh 文档。

    表 1:虚拟网络定义 XML 字段

    领域

    描述

    <网络>...</网络>

    使用此 XML 包装元素定义虚拟网络。

    <名>net-name</名>

    指定虚拟网络名称。

    <桥名称=“bridge-name” />

    指定用于此虚拟网络的主机桥接的名称。

    <前向模式=“forward-option” />

    指定路由或 nat。请勿将<向前>元素用于隔离模式。

    <ip 地址=“ip-address”netmask=“net-mask

    <dhcp 范围 start=“start” end=“end” </dhcp> </ip>

    指定此虚拟网络使用的 IP 地址和子网掩码,以及 DHCP 地址范围。

    以下示例显示了定义控制虚拟网络的示例 XML 文件。

  2. virsh net-start使用命令启动新的虚拟网络。

    hostOS# virsh net-start control

  3. virsh net-autostart 主机操作系统启动时,使用命令自动启动新虚拟网络。

    hostOS# virsh net-autostart control

  4. 或者,使用 virsh net-list –all 主机操作系统中的命令验证新虚拟网络。
  5. 重复此过程以创建交换矩阵虚拟网络。

使用 virt 管理器配置控制和交换矩阵接口

要为机箱群集配置控制和交换矩阵接口,请:virt-manager

  1. virt-manager中,双击 vSRX 虚拟防火墙虚拟机,并选择 查看>详细信息。将显示 vSRX 虚拟防火墙虚拟机详细信息对话框。
  2. 从源设备列表中选择第二个 vNIC 并选择控制 虚拟网络
  3. 从设备型号列表中选择 virtio ,然后单击 应用
  4. 选择后续 vNIC,然后从源设备列表中选择交换矩阵虚拟网络。
  5. 从设备型号列表中选择 virtio ,然后单击 应用
  6. 对于交换矩阵接口,使用 ifconfig 主机操作系统上的命令将 MTU 设置为 9000。

    hostOS# ifconfig vnet1 mtu 9000

使用 virsh 配置控制和交换矩阵接口

要配置 vSRX 虚拟防火墙虚拟机的控制和交换矩阵接口,请使用 virsh

  1. 在主机操作系统上键入 virsh attach-interface --domain vsrx-vm-name --type network --source control-vnetwork --target control --model virtio

    此命令会创建一个称为 control 的虚拟接口,并将其连接到控制虚拟网络。

  2. 在主机操作系统上键入 virsh attach-interface --domain vsrx-vm-name --type network --source fabric-vnetwork --target fabric --model virtio

    此命令会创建一个称为交换矩阵的虚拟接口,并将其连接到交换矩阵虚拟网络。

  3. 对于交换矩阵接口,使用 ifconfig 主机操作系统上的命令将 MTU 设置为 9000。

    hostOS# ifconfig vnet1 mtu 9000

配置机箱群集交换矩阵端口

形成机箱群集后,必须配置构成交换矩阵(数据)端口的接口。

确保您配置了以下各项:

  • 在两个 vSRX 虚拟防火墙实例上设置机箱群集 ID,并重新启动 vSRX 虚拟防火墙实例。

  • 配置了控制和交换矩阵链路。

  1. 在配置模式下的 vSRX 虚拟防火墙节点 0 控制台上,配置群集用于传递实时对象 (RTO) 的交换矩阵(数据)端口。配置将通过控制端口直接同步到 vSRX 虚拟防火墙节点 1。
    注意:

    交换矩阵端口可以是任何未使用的收入接口。

  2. 重新启动 vSRX 虚拟防火墙节点 0。