Überwachen von IP-Adressen in einem Chassis-Cluster

Die IP-Überwachung prüft die End-to-End-Konnektivität der konfigurierten IP-Adressen und ermöglicht einer Redundanzgruppe das automatische Failover, wenn die überwachte IP-Adresse nicht über die redundante Ethernet-Schnittstelle (reth) erreichbar ist. Sowohl der primäre als auch der sekundäre Knoten im Chassis-Cluster überwachen bestimmte IP-Adressen, um zu bestimmen, ob ein vorgeschaltetes Gerät im Netzwerk erreichbar ist.

Die IP-Überwachung ermöglicht ein Failover basierend auf der End-to-End-Erreichbarkeit einer konfigurierten überwachten IP-Adresse. Bei Firewalls der SRX-Serie wird der Erreichbarkeitstest durchgeführt, indem sowohl vom primären als auch vom sekundären Knoten über die Reth-Schnittstelle ein Ping an die überwachte IP-Adresse gesendet wird und geprüft wird, ob eine Antwort zurückgegeben wird. Die überwachte IP-Adresse kann sich auf einem direkt verbundenen Host im selben Subnetz wie die Reth-Schnittstelle oder auf einem Remote-Gerät befinden, das über einen Next-Hop-Router erreichbar ist.

Die Erreichbarkeitsstatus der überwachten IP-Adresse sind erreichbar, nicht erreichbar und unbekannt. Der Status ist "unbekannt", wenn die Packet Forwarding Engines noch nicht in Betrieb sind. Der Status ändert sich entweder in "erreichbar" oder "nicht erreichbar", abhängig von der entsprechenden Meldung von der Packet Forwarding Engine.

Es wird nicht empfohlen, die IP-Überwachung des Chassis-Clusters für Firewalls der SRX-Serie auf Redundanzgruppe 0 (RG0) zu konfigurieren.

Tabelle 1 enthält Details zu den verschiedenen Kombinationen der überwachten Ergebnisse des primären und sekundären Knotens sowie zu den entsprechenden Aktionen des Juniper Services Redundancy Protocol (jsrpd)-Prozesses.

Tabelle 1: IP-Überwachungsergebnisse und Failover-Aktion

Überwachter Status des primären Knotens	Überwachter Status des sekundären Knotens	Failover-Aktion
Erreichbar	Erreichbar	Keine Aktion
Unerreichbar	Erreichbar	Failover
Erreichbar	Unerreichbar	Keine Aktion
Unerreichbar	Unerreichbar	Keine Aktion

• Sie können bis zu 64 IP-Adressen für die IP-Überwachung auf Geräten SRX5000 Leitung konfigurieren.

• Wenn auf Geräten der SRX Branch-Serie mehr als eine physische Schnittstelle konfiguriert ist, wird die IP-Überwachung für redundante Gruppen nicht unterstützt. Die SRX verwendet die unterste Schnittstelle im Bundle für das Tracking auf dem sekundären Knoten. Wenn der Peer die Antwort an einen anderen Port weiterleitet als den, an dem er sie empfangen hat, verwirft die SRX sie.

• Das minimale Intervall der IP-Überwachung beträgt 1 Sekunde und das maximale 30 Sekunden. Das Standardintervall beträgt 1 Sekunde.

• Der Mindestschwellenwert für die IP-Überwachung beträgt 5 Anfragen und der Höchstwert 15 Anfragen. Wenn die IP-Überwachungsanforderung für aufeinanderfolgende Anfragen (Überschreitung des Schwellenwerts) keine Antwort erhält, meldet die IP-Überwachung, dass die überwachte IP-Adresse nicht erreichbar ist. Der Standardwert für den Schwellenwert ist 5.

• Die Reth-Schnittstelle, die in der CLI-Konfiguration der IP-Überwachung nicht der Redundanzgruppe (RG) zugeordnet ist, wird unterstützt.

Tabelle 2 enthält Details zu mehreren Schnittstellenkombinationen von IOC2 und IOC3 mit maximalen MAC-Zahlen.

Tabelle 2: Maximal unterstützte MACs für die IP-Überwachung auf IOC2 und IOC3

Karten	Schnittstellen	Maximal unterstützte MACs für die IP-Überwachung
IOC2 (SRX5K-MPC)	10XGE	10
	20GE	20
	2X40GE	2
	1X100GE	1
IOC3 (SRX5K-MPC3-40G10G oder SRX5K-MPC3-100G10G)	24x10GE	24
	6x40GE	6
	2x100GE + 4x10GE	6

Beachten Sie die folgenden Einschränkungen für die Unterstützung der IP-Überwachung auf SRX5000 Leitungen IOC2 und IOC3:

• Die IP-Überwachung wird über die reth- oder die RLAG-Schnittstelle unterstützt. Wenn in Ihrer Konfiguration keine dieser Schnittstellen angegeben ist, gibt die Routensuche eine Nicht-RETH/RLAG-Schnittstelle zurück, was zu einem Fehlerbericht führt.

• ECMP-Routing (Equal-Cost Multipath) wird bei der IP-Überwachung nicht unterstützt.

Die Überwachung der IP-Adresse von Redundanzgruppen prüft die End-to-End-Konnektivität und ermöglicht einer Redundanzgruppe das Failover, da eine redundante Ethernet-Schnittstelle (so genannte Reth) eine konfigurierte IP-Adresse nicht erreichen kann. Redundanzgruppen auf beiden Geräten in einem Cluster können so konfiguriert werden, dass bestimmte IP-Adressen überwacht werden, um festzustellen, ob ein Upstream-Gerät im Netzwerk erreichbar ist. Die Redundanzgruppe kann so konfiguriert werden, dass die Redundanzgruppe ein Failover auf ihre Sicherung durchführt, um den Dienst aufrechtzuerhalten, wenn die überwachte IP-Adresse nicht mehr erreichbar ist. Der Hauptunterschied zwischen dieser Überwachungsfunktion und der Schnittstellenüberwachung besteht darin, dass die IP-Adressüberwachung ein Failover ermöglicht, wenn die Schnittstelle noch aktiv ist, das Netzwerkgerät, mit dem sie verbunden ist, aus irgendeinem Grund nicht erreichbar ist. Unter diesen Umständen kann der andere Knoten im Cluster den Datenverkehr um das Problem herumleiten.

Wenn Sie die Failovers dämpfen möchten, die aufgrund von Fehlern bei der Überwachung von IP-Adressen auftreten, verwenden Sie die hold-down-interval Anweisung.

Mit der Konfiguration der IP-Adressüberwachung können Sie nicht nur die zu überwachende Adresse und ihre Failover-Gewichtung festlegen, sondern auch einen globalen Schwellenwert und eine Gewichtung für die Überwachung von IP-Adressen. Erst wenn der globale Schwellenwert für die IP-Adressüberwachung aufgrund eines kumulativen Fehlers bei der Erreichbarkeit überwachter Adressen erreicht ist, wird der globale Gewichtungswert für die IP-Adressüberwachung vom Failover-Schwellenwert der redundanten Gruppe abgezogen. Auf diese Weise können mehrere Adressen gleichzeitig überwacht und überwacht werden, um ihre Bedeutung für die Aufrechterhaltung des Datenverkehrsflusses widerzuspiegeln. Außerdem wird der Schwellenwert einer IP-Adresse, die nicht erreichbar ist und dann wieder erreichbar wird, auf den Überwachungsschwellenwert zurückgesetzt. Dies führt jedoch nicht zu einem Failback, es sei denn, die Option preempt wurde aktiviert.

Bei der Konfiguration wird der Failover-Wert für die IP-Adressüberwachung (globale Gewichtung) zusammen mit der Schnittstellenüberwachung (falls festgelegt) und der integrierten Failover-Überwachung, einschließlich SPU-Überwachung, Cold-Sync-Überwachung und NPC-Überwachung (auf unterstützten Plattformen), berücksichtigt. Die wichtigsten IP-Adressen, die überwacht werden sollten, sind Router-Gateway-Adressen, um sicherzustellen, dass gültiger Datenverkehr, der in das Services Gateway eingeht, an den entsprechenden Netzwerkrouter weitergeleitet werden kann.

Ab Junos OS Version 12.1X46-D35 und Junos OS Version 17.3R1 unterstützt die reth-Schnittstelle für alle Firewalls der SRX-Serie Proxy-ARP.

Eine Services Processing Unit (SPU) oder Packet Forwarding Engine (PFE) pro Knoten ist für das Senden von ICMP-Ping-Paketen (Internet Control Message Protocol) für die überwachten IP-Adressen im Cluster vorgesehen. Die primäre PFE sendet Ping-Pakete mithilfe von ARP-Anforderungen (Address Resolution Protocol), die von der Routing-Engine (RE) aufgelöst werden. Die Quelle für diese Pings sind die redundanten MAC- und IP-Adressen der Ethernet-Schnittstelle. Die sekundäre PFE löst ARP-Anforderungen für die überwachte IP-Adresse selbst auf. Die Quelle für diese Pings ist die physische untergeordnete MAC-Adresse und eine sekundäre IP-Adresse, die auf der redundanten Ethernet-Schnittstelle konfiguriert ist. Damit die Ping-Antwort auf der sekundären Schnittstelle empfangen werden kann, fügt die E/A-Karte (IOC), der zentrale PFE-Prozessor oder Flex IOC sowohl die physische untergeordnete MAC-Adresse als auch die redundante MAC-Adresse der Ethernet-Schnittstelle zu ihrer MAC-Tabelle hinzu. Die sekundäre PFE antwortet mit der physischen untergeordneten MAC-Adresse auf ARP-Anforderungen, die an die sekundäre IP-Adresse gesendet werden, die auf der redundanten Ethernet-Schnittstelle konfiguriert ist.

Hinweis:

Die Überwachung von IP-Adressen wird auf Geräten der SRX5000-Leitung nicht unterstützt, wenn die redundante Ethernet-Schnittstelle für eine VPN-Routing- und Weiterleitungsinstanz (VRF) konfiguriert ist.

Das Standardintervall für die Überprüfung der Erreichbarkeit einer überwachten IP-Adresse beträgt einmal pro Sekunde. Das Intervall kann mit dem retry-interval Befehl angepasst werden. Die Standardanzahl der zulässigen aufeinanderfolgenden fehlgeschlagenen Ping-Versuche beträgt 5. Die Anzahl der zulässigen aufeinanderfolgenden fehlgeschlagenen Ping-Versuche kann mit dem retry-count Befehl angepasst werden. Wenn eine überwachte IP-Adresse für die konfigurierte Anzahl aufeinanderfolgender Versuche nicht erreicht wurde, wird die IP-Adresse als nicht erreichbar eingestuft und ihr Failoverwert wird vom globalen Schwellenwert der Redundanzgruppe abgezogen.

Auf SRX5600- und SRX5800-Geräten können nur zwei der 10 Ports auf jedem PIC von 1-Gigabit-Ethernet-E/A-Karten (IOCs) mit 40 Ports gleichzeitig die IP-Adressüberwachung aktivieren. Da es vier PICs pro IOC gibt, können insgesamt acht Ports pro IOC überwacht werden. Wenn mehr als zwei Ports pro PIC an 40-Port-1-Gigabit-Ethernet-IOCs für die IP-Adressüberwachung konfiguriert sind, ist der Commit erfolgreich, aber es wird ein Protokolleintrag generiert, und die Genauigkeit und Stabilität der IP-Adressüberwachung kann nicht gewährleistet werden. Diese Einschränkung gilt nicht für andere IOCs oder Geräte.

Sobald festgestellt wird, dass die IP-Adresse nicht erreichbar ist, wird ihre Gewichtung vom globalen Schwellenwert abgezogen. Wenn der neu berechnete globale Schwellenwert nicht 0 ist, wird die IP-Adresse als nicht erreichbar markiert, aber die globale Gewichtung wird nicht vom Schwellenwert der Redundanzgruppe abgezogen. Wenn der globale Schwellenwert für die IP-Überwachung der Redundanzgruppe 0 erreicht und nicht erreichbare IP-Adressen vorhanden sind, führt die Redundanzgruppe kontinuierlich ein Failover und ein Failback zwischen den Knoten durch, bis entweder eine nicht erreichbare IP-Adresse erreichbar wird oder durch eine Konfigurationsänderung nicht erreichbare IP-Adressen aus der Überwachung entfernt werden. Beachten Sie, dass sowohl die standardmäßige als auch die konfigurierte Failover-Dämpfung mit Halteintervall weiterhin wirksam ist.

Für jede Redundanzgruppe x ist ein Schwellenwerttoleranzwert ursprünglich auf 255 festgelegt. Wenn eine IP-Adresse, die von Redundanzgruppe x überwacht wird, nicht mehr verfügbar ist, wird ihre Gewichtung vom Schwellenwert der Redundanzgruppe x subtrahiert. Wenn der Schwellenwert der Redundanzgruppe x 0 erreicht, wird ein Failover auf den anderen Knoten ausgeführt. Wenn z. B. Redundanzgruppe 1 auf Knoten 0 primär war, wird Redundanzgruppe 1 beim Schwellenwertüberschreiten auf Knoten 1 primär. In diesem Fall beginnen alle untergeordneten Schnittstellen der redundanten Ethernet-Schnittstellen der Redundanzgruppe 1 mit der Verarbeitung des Datenverkehrs.

Ein Failover der Redundanzgruppe x tritt auf, weil die kumulative Gewichtung der überwachten IP-Adressen der Redundanzgruppe x und anderer Überwachungsfunktionen den Schwellenwert auf 0 erhöht hat. Wenn die überwachten IP-Adressen der Redundanzgruppe x auf beiden Knoten gleichzeitig ihre Schwellenwerte erreichen, ist die Redundanzgruppe x primär auf dem Knoten mit der niedrigeren Knoten-ID, bei dem es sich in der Regel um Knoten 0 handelt.

Die Fehlererkennung von vorgeschalteten Geräten für die Chassis-Cluster-Funktion wird von Firewalls der SRX-Serie unterstützt.

Ab Junos OS Version 15.1X49-D60 und Junos OS Version 17.3R1 wird die Konfiguration der ARP-Anforderungsdrosselung (Address Resolution Protocol) auf Geräten SRX5000 Leitung unterstützt. Mit dieser Funktion können Sie die zuvor fest codierte Standardeinstellung für die ARP-Anforderungsdrosselungszeit (10 Sekunden pro SPU für jede IP-Adresse) umgehen und die Zeit auf einen höheren Wert (10 bis 100 Sekunden) festlegen. Wenn Sie die Drosselungszeit auf einen höheren Wert festlegen, wird die hohe Auslastung der Routing-Engine verringert, sodass sie effizienter arbeiten kann. Sie können die ARP-Anforderungsdrosselungszeit mit dem set forwarding-options next-hop arp-throttle <seconds> Befehl konfigurieren.

Die Überwachung kann nur durchgeführt werden, wenn die IP-Adresse über eine redundante Ethernet-Schnittstelle erreichbar ist (in CLI-Befehlen und Schnittstellenlisten als Reth bezeichnet), und IP-Adressen können nicht über einen Tunnel überwacht werden. Damit eine IP-Adresse über eine redundante Ethernet-Schnittstelle auf einem sekundären Clusterknoten überwacht werden kann, muss für die Schnittstelle eine sekundäre IP-Adresse konfiguriert sein. Die IP-Adressüberwachung kann nicht auf einem Chassis-Cluster verwendet werden, der im transparenten Modus ausgeführt wird. Die maximale Anzahl von Überwachungs-IP-Adressen, die pro Cluster konfiguriert werden können, beträgt 64 für die SRX5000 Gerätereihe, SRX1500, SRX1600, SRX2300 und SRX4000 Gerätereihe.

Die Überwachung der IP-Adressen von Redundanzgruppen wird für IPv6-Ziele nicht unterstützt.

Dieses Beispiel zeigt, wie die Überwachung der IP-Adressen von Redundanzgruppen für eine Firewall der SRX-Serie in einem Chassis-Cluster konfiguriert wird.

In diesem Beispiel wird gezeigt, wie die IP-Adresse auf einem SRX5000 Leitungsgerät mit aktiviertem Chassis-Cluster überwacht wird.