Multinode-Hochverfügbarkeit
Erfahren Sie mehr über die Multinode-Hochverfügbarkeitslösung und wie Sie sie in einfachen und zuverlässigen Bereitstellungsmodellen einsetzen können.
Geschäftskontinuität ist eine wichtige Anforderung an moderne Netzwerke. Eine Ausfallzeit von nur wenigen Sekunden kann zu Störungen und Unannehmlichkeiten führen, abgesehen davon, dass sie sich auf die Betriebskosten und CapEx auswirken. Moderne Netzwerke verfügen auch über Datencenter, die über mehrere geografische Gebiete verteilt sind. In solchen Szenarien kann das Erreichen einer hohen Verfügbarkeit eine große Herausforderung darstellen.
Die Firewalls® der SRX-Serie von Juniper Networks unterstützen eine neue Lösung, Multinode High Availability (MNHA), um die hohen Verfügbarkeitsanforderungen moderner Datencenter zu erfüllen. Bei dieser Lösung sind sowohl die Steuerungsebene als auch die Datenebene der beteiligten Geräte (Knoten) gleichzeitig aktiv. Somit bietet die Lösung Ausfallsicherheit zwischen den Chassis.
Die teilnehmenden Geräte können sich über geografische Gebiete oder andere Standorte, wie z. B. verschiedene Räume oder Gebäude, befinden oder physisch getrennt sein. Knoten mit hoher Verfügbarkeit an geografischen Standorten gewährleisten einen ausfallsicheren Service. Wenn ein physischer Standort von einer Katastrophe betroffen ist, kann Multinode-Hochverfügbarkeit ein Failover zu einem Knoten an einem anderen physischen Standort ausführen und so die Kontinuität gewährleisten.
- Vorteile der Multinode-Hochverfügbarkeit
- Unterstützte Funktionen
- Wie unterscheidet sich Multinode-Hochverfügbarkeit von Chassis-Clustern?
- Glossar für Multinode-Hochverfügbarkeit
Vorteile der Multinode-Hochverfügbarkeit
-
Reduzierte Investitions- und Betriebskosten: Ein Switch-Netzwerk um den Firewall-Komplex und eine direkte Layer-2-Konnektivität (L2) zwischen den Knoten entfällt.
-
Netzwerkflexibilität: Bietet mehr Netzwerkflexibilität durch Unterstützung einer hohen Verfügbarkeit in Layer 3- (L3) und Switched-Netzwerksegmenten.
-
Zustandsbehaftete, ausfallsichere Lösung: Unterstützt gleichzeitig aktive Steuerungs- und Datenebene auf beiden Knoten.
-
Business Continuity und Disaster Recovery – Maximiert die Verfügbarkeit und erhöht die Redundanz innerhalb und über Datencenter und geografische Grenzen hinweg.
-
Reibungslose Upgrades: Unterstützt verschiedene Versionen von Junos OS auf zwei Knoten, um reibungslose Upgrades zwischen den Junos OS-Versionen zu gewährleisten. Außerdem können zwei verschiedene Versionen von Junos ausgeführt werden.
Wir unterstützen Multinode-Hochverfügbarkeit im Aktiv-/Backup-Modus und im Aktiv-Aktiv-Modus (mit Unterstützung mehrerer Services Redundanz-Gruppen (SRGs). Eine vollständige Liste der unterstützten Features und Plattformen finden Sie unter Multinode-Hochverfügbarkeit im Feature-Explorer.
Unterstützte Funktionen
Die MNHA-Infrastruktur bietet Redundanz durch zwei Bereitstellung Modelle:
- MNHA mit zwei Knoten: Ein Paar Firewalls, die für hohe Verfügbarkeit zusammenarbeiten.
- MNHA mit vier Knoten: Zwei über Domänen verteilte Firewall-Paare für eine höhere Ausfallsicherheit.
SRX-Serie Firewalls mit Multinode-Hochverfügbarkeit unterstützen die Firewall und erweiterte Sicherheitsservices wie Anwendungssicherheit, Content Sicherheit, Intrusion Prevention System (IPS), Firewall-Benutzer-Authentifizierung, NAT, ALG.
Eine vollständige Liste der Geräte und Funktionen, die von Multinode-Hochverfügbarkeit unterstützt werden, finden Sie unter Feature-Explorer .
Multinode-Hochverfügbarkeit unterstützt keinen transparenten Modus Hochverfügbarkeit (Hohe Verfügbarkeit)
Wie unterscheidet sich Multinode-Hochverfügbarkeit von Chassis-Clustern?
Ein Chassis-Cluster arbeitet in einer Layer-2-Netzwerkumgebung und erfordert zwei Verbindungen zwischen den Knoten (Control Link und Fabric Link). Diese Verbindungen verbinden beide Knoten über dedizierte VLANs mit Back-to-Back-Verkabelung oder über Dark Fiber. Control Links und Fabric Links verwenden dedizierte physische Ports der Firewall der SRX-Serie.
Multinode-Hochverfügbarkeit verwendet einen verschlüsselten logischen Interchassis-Link (ICL). Das ICL verbindet die Knoten über einen gerouteten Pfad anstelle eines dedizierten Layer-2-Netzwerks. Dieser geroutete Pfad kann einen oder mehrere Umsatzports für eine optimale Ausfallsicherheit verwenden. Es ist sogar möglich, diesen Ports und Pfaden eine eigene Routing-Instanz zu widmen, um eine vollständige Isolierung zu gewährleisten, die die Ausfallsicherheit der Lösung maximiert.
Abbildung 1 und Abbildung 2 und zeigen zwei Architekturen.
Tabelle 1 listet die Unterschiede zwischen den beiden Architekturen auf
| Parameter | Gehäuse-Cluster | Multinode-Hochverfügbarkeit |
|---|---|---|
| Netzwerk-Topologie | Knoten verbinden sich mit einer Broadcast-Domäne | Knoten verbinden sich mit einem Router, einer Broadcast-Domain oder einer Kombination aus beiden.
|
| Netzwerkumgebung | Schicht 2 |
|
| Ansatz der Datenverkehrsumschaltung | Firewall der SRX-Serie sendet GARP an den Switch | Switchover mittels IP-Pfadauswahl durch einen Peer-Layer-3-Router oder Layer-2-GARP von einer Firewall der SRX-Serie zu einem Peer-Layer-2-Switch
|
| Öffentliche Cloud | Nicht unterstützt | Unterstützt |
| Dynamische Routing-Funktion | Routing-Prozess aktiv auf der SRX-Serie, bei der die Control Plane (RG0) aktiv ist | Routing-Prozess, der auf jeder Firewall der SRX-Serie aktiv ist, die an Multinode-Hochverfügbarkeit teilnimmt |
| Verbindung zwischen Firewalls der SRX-Serie |
|
Interchassis-Verbindung (Layer-3-Pfad) |
| Konnektivität / Georedundanz | Erfordert ein dediziertes Layer-2-Stretch zwischen den Knoten der SRX-Serie für die Steuerungsverbindung und die Fabric-Verbindung. | Verwendet einen beliebigen gerouteten Pfad zwischen den Knoten für die Interchassis-Verbindung. |
| IP-Überwachung zur Erkennung von Netzwerkausfällen |
|
|
Glossar für Multinode-Hochverfügbarkeit
Machen wir uns zunächst mit den in dieser Dokumentation verwendeten Begriffen der Multinode-Hochverfügbarkeit vertraut.
| Begriff | Beschreibung |
|---|---|
| Aktiv/Aktiv-Status (SRG0) | Alle Sicherheitsservices/-ströme werden an jedem Knoten überprüft und auf dem anderen Knoten gesichert. Sicherheitsflüsse müssen symmetrisch sein. |
| Aktiv/Backup-Status (SRG1+) | SRG1+ bleibt auf einem Knoten zu einem bestimmten Zeitpunkt aktiv und bleibt auf dem anderen Knoten im gesicherten Zustand. SRG1+ im Backup-Zustand ist bereit, im Falle eines Ausfalls den Datenverkehr des aktiven SRG1 zu übernehmen. |
| Priorität der Geräte | Die Gerätepriorität (Activeness-Priority) bestimmt, welcher Knoten als aktiver Knoten für eine Service Redundanzgruppe (SRG) in einer MNHA-Konfiguration fungieren kann. Ein Knoten mit einem höheren numerischen Wert für die Aktivitätspriorität wird als aktiver Knoten für diese SRG ausgewählt. Wenn die Aktivpriorität nicht explizit für eine SRG konfiguriert ist, wird der Knoten mit der höheren Knoten-ID als aktiver Knoten bevorzugt. |
| Geräte-Vorwegnahme | Durch die Gerätetrennung kann ein bevorzugter Knoten nach einem Ausfall als aktiver Knoten fortgesetzt werden. Der bevorzugte Knoten wird entweder durch einen höheren Wert für die Aktivitätspriorität (falls konfiguriert) oder durch eine höhere Knoten-ID (wenn die Aktivpriorität nicht konfiguriert ist) bestimmt. Wenn Sie ein bestimmtes Gerät als aktiven Knoten verwenden müssen, müssen Sie die Trennung auf allen beteiligten Geräten aktivieren und die Werte für die Aktivitätspriorität auf jedem Gerät konfigurieren. |
| Failover | Ein Failover erfolgt, wenn ein Knoten einen Fehler erkennt (Hardware/Software usw.) und der Datenverkehr zustandsbehaftet zum anderen Knoten übergeht. Dadurch übernimmt der Backup-Knoten in einem Hochverfügbarkeitssystem die Aufgabe des aktiven Knotens, wenn der aktive Knoten ausfällt. |
| Floating-IP-Adresse oder IP-Adresse mit Aktivitätsmessung | Eine IP-Adresse, die während des Failovers in einem Multinode-Hochverfügbarkeits-Setup von einem aktiven Knoten zum Sicherungsknoten verschoben wird. Dieser Mechanismus ermöglicht es Clients, mit den Knoten über eine einzige IP-Adresse zu kommunizieren. |
| Hohe Verfügbarkeit/Ausfallsicherheit |
Fähigkeit eines Systems, Single Points of Failure zu eliminieren, um einen kontinuierlichen Betrieb über einen längeren Zeitraum zu gewährleisten. |
| Interchassis-Verbindung | IP-basierte Verbindung (logische Verbindung), die Knoten über ein geroutetes Netzwerk in einer Multinode-Bereitstellung mit hoher Verfügbarkeit verbindet. Die ICL-Verbindung ist normalerweise an die Loopback-Schnittstellen gebunden, um möglichst flexible Bereitstellungen zu ermöglichen. Die Konnektivität kann ein beliebiger gerouteter oder geswitchter Pfad sein, solange die Konnektivität zwischen den beiden IP-Adressen erreichbar ist. Das Sicherheitsgerät verwendet die ICL zum Synchronisieren und Verwalten von Statusinformationen und zum Verarbeiten von Geräte-Failover-Szenarien. |
| Interchassis-Link-Verschlüsselung | Die Linkverschlüsselung bietet Datenschutz für Nachrichten, die über das Netzwerk übertragen werden. Da der ICL-Link private Daten überträgt, ist es wichtig, den Link zu verschlüsseln. Sie müssen die ICL mit IPsec-VPN verschlüsseln. |
| Überwachung (BFD) | Überwachung einer oder mehrerer Verbindungen mithilfe von Bidirectional Forwarding Detection (BFD). Die BFD-Überwachung löst je nach Systemkonfiguration eine Änderung des Routing-Pfads oder ein System-Failover aus. |
| Überwachung (IP) | Überwachung einer zuverlässigen IP-Adresse und des Systemzustands im Falle eines Kommunikationsverlusts mit dem Peer-Knoten. |
| Monitoring (Pfad) | Methode, die ICMP verwendet, um die Erreichbarkeit der IP-Adresse zu überprüfen. Das Standardintervall für ICMP-Ping-Sonden beträgt 1 Sekunde. |
| Überwachung (System) | Überwachung wichtiger Hardware- und Softwareressourcen und -infrastrukturen durch Auslösen eines Failovers, wenn ein Fehler auf einem Knoten erkannt wird. |
| Sondierung | Mechanismus für den Austausch von Nachrichten zwischen aktiven und Backup-Knoten in der Hochverfügbarkeitskonfiguration. Die Nachrichten bestimmen den Status und die Integrität der Anwendung auf jedem einzelnen Knoten. |
| Echtzeitobjekt (RTO) | Spezielles Nutzlastpaket, das die notwendigen Informationen enthält, um die Daten von einem Knoten zum anderen Knoten zu synchronisieren. |
| Split-Brain-Erkennung (auch bekannt als Control Plane Detection oder Activeness Conflict Detection) | Ereignis, bei dem die ICL zwischen zwei Multinode-Knoten mit hoher Verfügbarkeit ausgefallen ist und beide Knoten eine Sondierung zur Bestimmung der Aktivität (Split-Brain-Sonde) initiieren. Basierend auf der Antwort auf die Probe wird ein nachfolgendes Failover auf eine neue Rolle ausgelöst |
| Services Redundanz Group (SRG) | Failovereinheit, die eine Sammlung von Objekten auf den teilnehmenden Knoten enthält und verwaltet. Das SRG auf einem Knoten wechselt zum anderen Knoten, wenn ein Failover erkannt wird. |
| SRG0 | Standard-SRG für Firewall- und NAT-Services. Das benachbarte Netzwerk bestimmt, welcher Knoten den Datenverkehr verarbeitet; Dies kann je nach Routing-Konfiguration aktiv/passiv oder aktiv/aktiv sein. Die Firewall kann über Routing-Attribute (Routing-Präferenz, Routenkosten, BGP usw.) beeinflussen, welche(s) Datenverkehr verarbeiten. SRG0 verwaltet Services, die einen Status aufweisen müssen, wie TCP-Handshake, Anwendungs-Sicherheit, IDP, Content Sicherheit, Firewall, NAT, ALG usw. Die Wartung der Mitarbeiter auf dem aktiven Knoten ist erforderlich, um den Paketinhalt zu verstehen, und einige dieser Services werden durch Pass Through ausgeführt (sie werden nicht auf dem Gerät beendet, außer NAT, Firewall-Authentifizierung). SRG0 bleibt auf beiden Knoten aktiv und leitet den Datenverkehr von beiden Knoten an den aktiven Knoten weiter, der die Sitzungsanalyse eingeleitet hat (wenn eine ICD-Verbindung eingerichtet ist). |
| SRG1+ | Inhärent aktives/passives SRG für Firewall-, NAT- und VPN-Services; Diese Gruppe ermöglicht die Zuordnung einer oder mehrerer spezifischer IP-Adressen zum Status dieser Gruppe. Im Switching- oder Hybridmodus (auf der Layer2-Seite) werden die VIPs dieser Gruppe zugeordnet und senden dann kostenloses ARP an das lokale Netzwerk. Im Hybrid- (Layer3-seitig) und Routing-Modus wird die Präfixliste mit dieser Gruppe verknüpft und für das System routingfähig gemacht (passend dazu in der jeweiligen Routing-Instanz). Die Firewall der SRX-Serie kann dann Signalrouten verwenden, um Datenverkehr zum aktiven Knoten zu leiten, indem sie Routing-Richtlinien manipuliert (bedingtes Routing ist die vorgeschlagene Methode, die auf Signalrouten basiert, die den Zustand der SRG darstellen). In der Regel kann eine IPsec-Abschluss-IP (dies kann z. B. ein Loopback sein) auf SRG1+ angekündigt werden, um auf dem aktiven Knoten zu enden. Wenn SRG1+ einen Failover einführt, ist diese IPsec-IP jetzt auf dem anderen Knoten aktiv und wird über Routing-Attribute angekündigt. Vom Administrator eingegebene Laufzeitbefehle beeinflussen, welcher Knoten den Datenverkehr im Normalbetrieb verarbeitet. |
| Synchronisation | Prozess, bei dem Steuerungen und Datenebenenzustände über die Knoten hinweg synchronisiert werden. |
| Virtuelle IP-Adresse (VIP) | Virtuelle IP-Adressen im Hybrid- oder Standard-Gateway-Modus werden für die Aktivitätsbestimmung und -durchsetzung auf der Switching-Seite in einem Multinode-Setup mit hoher Verfügbarkeit verwendet. Die virtuelle IP wird vom SRG1+ gesteuert. |
| virtuelle MAC-Adresse (VMAC) | (Für Hybrid- und Standard-Gateway-Bereitstellungen). Virtuelle MAC-Adresse, die der Schnittstelle auf dem aktiven Knoten, der der Switching-Seite zugewandt ist, dynamisch zugewiesen wird. |
Nachdem wir nun mit den Funktionen und der Terminologie von Multinode-Hochverfügbarkeit so vertraut sind, wollen wir verstehen, wie Multinode-Hochverfügbarkeit funktioniert.