Multinode-Services mit hoher Verfügbarkeit

Wie geht SRG0 mit Firewall- und NAT-Services um?

SRG0 ist die Standard-SRG für Firewall- und NAT-Services. Das benachbarte Netzwerk bestimmt, welcher Knoten den Datenverkehr verarbeitet; Dies kann je nach Routing-Konfiguration aktiv/passiv oder aktiv/aktiv sein.

Die Firewall kann über Routing-Attribute (Routing-Präferenz, Routenkosten, BGP-as-prepand usw.) beeinflussen, welche(s) Datenverkehr verarbeiten.

SRG0 verwaltet Services, die einen Status aufweisen müssen, wie TCP-Handshake, Anwendungs-Sicherheit, IDP, Content Sicherheit, Firewall, NAT, ALG usw. Die Wartung der Mitarbeiter auf dem aktiven Knoten ist erforderlich, um den Paketinhalt zu verstehen, und einige dieser Services werden durch Pass Through ausgeführt (sie werden nicht auf dem Gerät beendet, außer NAT, Firewall-Authentifizierung). SRG0 bleibt auf beiden Knoten aktiv und leitet den Datenverkehr von beiden Knoten an den aktiven Knoten weiter, der die Sitzungsanalyse eingeleitet hat (wenn eine ICD-Verbindung eingerichtet ist).

So konfigurieren Sie diese Dienste:

• Konfigurieren Sie die Funktionen so, wie Sie sie auf einem eigenständigen Firewall-Gerät konfigurieren.
• Installieren Sie dieselbe Junos OS-Version auf den beteiligten Sicherheitsgeräten (Junos OS Version 22.3R1 oder höher)
• Installieren Sie identische Lizenzen auf beiden Knoten
• Laden Sie dieselben Versionen des Anwendungssignaturpakets oder des IPS-Pakets herunter und installieren Sie es auf beiden Knoten (wenn Sie Anwendungssicherheit und IDP verwenden).
• Konfigurieren Sie bedingte Routenankündigung, Routing-Richtlinien und statische Routen gemäß Ihren Anforderungen.
• In Multinode-Hochverfügbarkeit erfolgt die Konfigurationssynchronisierung standardmäßig nicht. Sie müssen Anwendungen als Teil von Gruppen konfigurieren und dann die Konfiguration mithilfe der peer synchronization Option synchronisieren oder die Konfiguration unabhängig auf jedem Knoten verwalten.

Network Address Translation

Services wie Firewall, ALG, NAT haben keinen Control-Plane-Status. Für solche Services muss nur der Zustand der Datenebene über die Knoten hinweg synchronisiert werden.

In einem Multinode-Setup mit hoher Verfügbarkeit verarbeitet jeweils ein Gerät eine NAT-Sitzung, und das andere Gerät übernimmt die aktive Rolle, wenn ein Failover stattfindet. Eine Sitzung bleibt also auf einem Gerät aktiv, und auf dem anderen Gerät befindet sich die Sitzung im Warmzustand (Standby), bis ein Failover erfolgt.

NAT-Sitzungen und ALG-Statusobjekte werden zwischen den Knoten synchronisiert. Wenn ein Knoten ausfällt, verarbeitet der zweite Knoten weiterhin Datenverkehr für die synchronisierten Sitzungen vom ausgefallenen Gerät, einschließlich NAT-Übersetzungen.

Sie müssen auf beiden Geräten NAT-Regeln und -Pools mit denselben Parametern erstellen. Um den Antwortpfad für den NAT-Datenverkehr (für die IP-Adresse des NAT-Pools) zum richtigen Firewall-Gerät (aktives Gerät) zu steuern, müssen Sie über die erforderliche Routing-Konfiguration auf beiden aktiven/Backup-Geräten verfügen. Das heißt, in der Konfiguration muss angegeben werden, welche Routen über die Routing-Protokolle an die angrenzenden Routing-Geräte kommuniziert werden. Dementsprechend müssen Sie auch die Richtlinienoption und die Routenkonfiguration konfigurieren.

Wenn Sie NAT-spezifische Betriebsbefehle auf beiden Geräten ausführen, wird dieselbe Ausgabe angezeigt. Es kann jedoch Fälle geben, in denen die internen numerischen IDs der NAT-Regel / des Pools zwischen den Knoten unterschiedlich sein können. Unterschiedliche numerische IDs haben keinen Einfluss auf die Sitzungssynchronisierung/NAT-Übersetzungen beim Failover.

Firewall-Benutzerauthentifizierung

Mit der Firewall-Authentifizierung können Sie Benutzer einzeln oder in Gruppen einschränken oder zulassen. Benutzer können mit einer lokalen Kennwortdatenbank oder mit einer externen Kennwortdatenbank authentifiziert werden.

Multinode-Hochverfügbarkeit unterstützt die folgenden Authentifizierungsmethoden:

• Pass-Through-Authentifizierung
• Pass-Through mit Web-Redirect-Authentifizierung
• Web-Authentifizierung

Die Firewall-Benutzer-Authentifizierung wird mit einem aktiven Control-Plane-Status bereitgestellt und erfordert die Synchronisierung von Control- und Data-Plane-Status über die Knoten hinweg. Bei der Arbeit mit Multinode-Hochverfügbarkeit arbeitet die Firewall-Benutzer-Authentifizierung-Funktion unabhängig voneinander auf beiden Firewalls und synchronisiert die Authentifizierung-Tabelle zwischen den Knoten. Wenn sich ein Benutzer erfolgreich authentifiziert, wird der Authentifizierungseintrag mit dem anderen Knoten synchronisiert und ist auf beiden Knoten sichtbar, wenn Sie den Befehl show ausführen (Beispiel: show security firewall-authentication users ).

Hinweis:

Überprüfen Sie bei der Synchronisierung der Konfiguration zwischen Knoten, ob die Details zu Authentifizierung, Richtlinie, Quellzone und Zielzone auf beiden Knoten übereinstimmen. Wenn Sie die gleiche Reihenfolge in Ihrer Konfiguration beibehalten, wird eine erfolgreiche Synchronisierung der Authentifizierungseinträge über beide Knoten hinweg sichergestellt.

Wenn Sie einen Authentifizierungseintrag in einem Knoten mit der Anweisung clear security user-identification local-authentication-table löschen, stellen Sie sicher, dass Sie auch den Authentifizierungseintrag im anderen Knoten löschen.

Gehen Sie auch bei einer Konfiguration des asymmetrischen Datenverkehrs genauso vor.

Multinode-Hochverfügbarkeit unterstützt den Juniper Identity Management Service (JIMS) beim Abrufen von Benutzeridentitätsinformationen. Jeder Knoten ruft die Authentifizierungseinträge vom JIMS-Server ab und verarbeitet sie selbstständig. Aus diesem Grund müssen Sie Firewall-Benutzer-AuthentifizierungsBefehle auf jedem Knoten separat ausführen. Wenn Sie beispielsweise die Authentifizierungseinträge mit den show-Befehlen anzeigen, zeigt jeder Knoten nur die Authentifizierungseinträge an, die er derzeit verarbeitet (als ob er unabhängig im Standalone-Modus arbeiten würde:

• show services user-identification authentication-table
• show service user-identification identity-management

Express Path-Support

Express Path (früher bekannt als Services Offloading) in MNHA (sowohl SRG0 als auch SRG1+) reduziert die Latenz, indem es eine nahtlose Paketweiterleitung nach dem Failover gewährleistet. Diese Funktion installiert zustandsbehaftete und statische SOF-Sitzungen auf dem anderen Knoten, während der aktive Knoten betriebsbereit ist. Dadurch wird eine sofortige Failover-Bereitschaft anhand von Control Plane-Meldungen sichergestellt.

Das System verhindert, dass SOF-Sitzungen im anderen Knoten vorzeitig altern, behält die Sitzungsintegrität bei und verarbeitet die erste Paketverarbeitung nahtlos während des primären Rollenwechsels. Darüber hinaus wird die Sitzungsbehandlung in einem neuen ausgefallenen Knoten durch das Löschen und Neuinstallieren von SOF-Sitzungen geregelt, um eine aktuelle Verwaltung zu gewährleisten.

Unterstützung für diese Funktion ist für Multinode-Hochverfügbarkeitssysteme verfügbar, die im Layer-3-Modus (Routing) betrieben werden. Weitere Informationen zu Express Path finden Sie unter Express Path Overview.

Konfigurationssynchronisierung zwischen Multinode-Knoten mit hoher Verfügbarkeit

Bei der Multinode-Hochverfügbarkeit fungieren zwei Firewalls als unabhängige Geräte. Diese Geräte haben einen eindeutigen Hostnamen und die IP-Adresse auf der fxp0-Schnittstelle. Sie können Dienste wie ALG, Firewall, NAT unabhängig voneinander auf diesen Geräten konfigurieren. Knotenspezifische Pakete werden immer auf den jeweiligen Knoten verarbeitet.

Folgende Pakete/Services sind in Multinode High Availability knotenspezifisch (lokal):

• Routing-Protokollpakete an die Routing-Engine

• Management-Services wie SNMP und Betriebsbefehle (show, request)

• Prozesse, wie z. B. der Authentifizierung Service Prozess (authd), integriert in RADIUS- und LDAP-Server

• ICL-Verschlüsselung, spezifische Tunnel-Steuerung und Datenpakete

Die Konfigurationssynchronisierung in Multinode High Availability ist standardmäßig nicht aktiviert. Wenn bestimmte Konfigurationen mit dem anderen Knoten synchronisiert werden sollen, müssen Sie Folgendes tun:

• Konfigurieren Sie das Feature/die Funktion als Teil von groups
• Synchronisieren Sie die Konfiguration mit der [edit system commit peers-synchronize] Option

Wenn Sie die Konfigurationssynchronisierung (mithilfe der peers-synchronize Option) auf beiden Geräten in einer Multinode-Hochverfügbarkeit aktivieren, werden Konfigurationseinstellungen, die Sie auf einem Peer unter [groups] konfigurieren, bei der Commit-Aktion automatisch mit dem anderen Peer synchronisiert.

Der lokale Peer, auf dem Sie die peers-synchronize Anweisung aktivieren, kopiert und lädt seine Konfiguration auf den Remote-Peer. Jeder Peer führt dann eine Syntaxprüfung für die Konfigurationsdatei durch, für die ein Commit ausgeführt wird. Wenn keine Fehler gefunden werden, wird die Konfiguration aktiviert und wird zur aktuellen Betriebskonfiguration auf beiden Peers.

Ein Konfigurationsbeispiel finden Sie unter Beispiel: Konfigurieren von Multinode-Hochverfügbarkeit mit Junos OS-Konfigurationsgruppen.

Der folgende Konfigurationsausschnitt zeigt die VPN-Konfiguration unter avpn_config_group auf host-mnha-01. Wir synchronisieren die Konfiguration mit dem anderen Peer-Gerät host-mnha-02.

1. Konfigurieren Sie den Hostnamen und die IP-Adresse des teilnehmenden Peer-Geräts (host-mnha-02), Details zur Authentifizierung und fügen Sie die peers-synchronization Anweisung ein.

2. Konfigurieren der Gruppe (avpn_config_group) und Angeben von Anwendungsbedingungen (wenn Peers host-mnha-01 und host-mnha-02)

3. Verwenden Sie den apply-groups Befehl im Stammverzeichnis der Konfiguration.

   Wenn Sie die Konfiguration bestätigen, überprüft Junos den Befehl und führt die richtige Gruppe zusammen, damit sie mit dem Knotennamen übereinstimmt.

4. Überprüfen Sie den Synchronisierungsstatus mit dem show configuration system Befehl aus dem Betriebsmodus.

   Die Befehlsausgabe zeigt die Details des Peer Geräts unter der Option Peers an.

Hinweis:

Die Konfigurationssynchronisierung erfolgt dynamisch, und wenn eine Konfigurationsänderung vorgenommen wird, wenn nur ein Knoten verfügbar ist oder wenn die Konnektivität zwischen den Knoten unterbrochen wird, müssen Sie einen weiteren Commit ausführen, um die Konfiguration mit dem anderen Knoten zu synchronisieren. Andernfalls führt dies zu inkonsistenten Konfigurationen zwischen den Knoten für die Anwendungen.

Hinweis:

• Die Konfigurationssynchronisierung ist nicht zwingend erforderlich, damit Multinode-Hochverfügbarkeit funktioniert. Für eine einfache Konfigurationssynchronisierung empfehlen wir jedoch, die set system commit peers-synchronize Anweisung mit junos groups der Konfiguration in eine Richtung zu verwenden (z. B. Knoten 0 zu Knoten 1).
• Wir empfehlen die Verwendung einer Out-of-Band-Management-Verbindung (fxp0) zur Formularkonfigurationssynchronisierung zwischen Multinode-Knoten mit hoher Verfügbarkeit, um allgemeine Konfigurationen zu verwalten.
• Wenn die Konfigurationssynchronisierung im IPsec-Anwendungsfall nicht aktiviert ist, müssen Sie die Konfiguration zuerst auf dem Sicherungsknoten und dann auf dem aktiven Knoten bestätigen.