AUF DIESER SEITE
Zustandsbehaftete Synchronisierung zwischen den Chassis für langlebige NAT- und Stateful-Firewall-Datenströme (MS-MPC, MS-MIC) (Version 16.1 und höher)
Konfigurieren von MS-MPC- und MS-MIC-Redundanz zwischen Chassis für NAT und Stateful Firewall – Übersicht (Version 16.1 und höher)
Dieses Thema bezieht sich auf Junos OS Version 16.1 und höher. (Informationen zu Junos OS Version 15.1 und früher finden Sie unter Chassisübergreifende Hochverfügbarkeit für MS-MIC und MS-MPC (Version 15.1 und früher).)
NAT (CGN) auf Betreiberniveau und Stateful-Firewall-Bereitstellungen können eine Dual-Chassis-Implementierung verwenden, um einen redundanten Datenpfad und Redundanz für wichtige Komponenten im Router bereitzustellen. Obwohl Intra-Chassis-Hochverfügbarkeit in einem Gerät der MX-Serie durch die Verwendung der AMS-Schnittstellen verwendet werden kann, behandelt diese Methode nur lokal Dienst-PIC und vollständige MS-MPC- oder MS-MIC-Kartenausfälle. Wenn der Datenverkehr aus irgendeinem Grund aufgrund eines anderen Fehlers im Router auf einen Backup-Router umgestellt wird, geht der Sitzungsstatus der Service-PICs verloren. Die chassisübergreifende Hochverfügbarkeit bietet eine robustere Lösung, da der Sitzungsstatus von NAT und zustandsbehafteten Firewalls von den Service-PICs erhalten bleibt. Bei dieser Technologie handelt es sich um ein Primär-Sekundär-Modell, nicht um einen Aktiv-Aktiv-Cluster. Der Datenverkehr, der von den Service-PICs bedient werden soll, die für eine hohe Verfügbarkeit zwischen den Chassis konfiguriert sind, fließt nur über das Gerät der MX-Serie, das derzeit das primäre Gerät des Paars ist.
Um die Interchassis-Redundanz für NAT und Stateful-Firewall zu konfigurieren, konfigurieren Sie Folgendes:
Zustandsbehaftete Synchronisierung, die den Sitzungsstatus von den Service-PICs auf dem primären Chassis in das Backup-Chassis repliziert. Weitere Informationen hierzu finden Sie unter Übersicht über die zustandsbehaftete Synchronisierung zwischen den Chassis für langlebige NAT und zustandsbehaftete Firewall-Datenströme (MS-MPC, MS-MIC) (Version 16.1 und höher).
Der Dienstredundanz-Daemon, der das Umschalten der primären Rolle basierend auf einem überwachten Ereignis ermöglicht. Die meisten Betreiber würden die zustandsbehaftete Synchronisierung nicht einsetzen wollen, ohne auch den Dienstredundanz-Daemon zu implementieren. Weitere Informationen finden Sie unter Service Redundancy Daemon – Übersicht
Zustandsbehaftete Synchronisierung zwischen den Chassis für langlebige NAT und zustandsbehaftete Firewall-Datenströme (MS-MPC, MS-MIC) – Übersicht (Version 16.1 und höher)
Dieses Thema bezieht sich auf Junos OS Version 16.1 und höher. (Informationen zu Junos OS Version 15.1 und früher finden Sie unter Chassisübergreifende Hochverfügbarkeit für MS-MIC und MS-MPC (Version 15.1 und früher).)
Die zustandsbehaftete Synchronisierung synchronisiert langlebige Sitzungen zwischen dem primären und dem Backup-Gehäuse der MX-Serie im Hochverfügbarkeitspaar. Standardmäßig handelt es sich bei langlebigen Sitzungen um zustandsbehaftete Firewall-, NAT- und IDS-Sitzungen, die seit 180 Sekunden im Dienst-PIC aktiv sind, Sie können jedoch einen höheren oder niedrigeren Wert festlegen. Zustandsbehaftete Firewallsitzungen, NAT-Sitzungen und IDS-Sitzungen sind die Sitzungstypen, die synchronisiert werden können.
Die chassisübergreifende Hochverfügbarkeit funktioniert mit MS-Service-Schnittstellen, die auf MS-MIC- oder MS-MPC-Schnittstellenkarten konfiguriert sind. Mit der ip-address-owner service-plane
Option muss eine andere ms-Schnittstelleneinheit als Einheit 0 konfiguriert werden.
Die folgenden NAT-Übersetzungstypen und -sitzungen unterstützen die zustandsbehaftete Synchronisierung:
basic-nat44-KARTON
dynamic-nat44
napt-44-KARTON
napt-44 mit endpunktunabhängigem Mapping (EIM) oder endpunktunabhängigen Filtern (EIF)
DNAT-44-KARTON
twice-nat
stateful-nat64
Es gelten folgende Einschränkungen:
Das Replizieren von Statusinformationen für die Funktionen Port Block Allocation (PBA), Endpoint-Independent Mapping (EIM) oder Endpoint-Independent Filters (EIF) wird nicht unterstützt.
Bei der Konfiguration eines Servicesets für NAT oder einer Stateful-Firewall, die zu einer zustandsbehafteten Synchronisierungseinrichtung gehört, gilt Folgendes: Die NAT- und Stateful-Firewall-Konfigurationen für die Servicegruppe müssen auf beiden Geräten der MX-Serie identisch sein.
ALG-Sitzungen (Anwendungsebene Gateway) unterstützen keine zustandsbehaftete Synchronisierung.
Abbildung 1 zeigt die chassisübergreifende Hochverfügbarkeitstopologie.

Konfiguration der zustandsbehafteten Synchronisierung zwischen den Chassis für langlebige NAT- und Stateful-Firewall-Datenströme (MS-MPC, MS-MIC) (Version 16.1 und höher)
Dieses Thema bezieht sich auf Junos OS Version 16.1 und höher. (Informationen zu Junos OS Version 15.1 und früher finden Sie unter Chassisübergreifende Hochverfügbarkeit für MS-MIC und MS-MPC (Version 15.1 und früher).)
Führen Sie die folgenden Konfigurationsschritte auf jedem Gehäuse des Hochverfügbarkeitspaars aus, um die zustandsbehaftete Synchronisierung zwischen den Gehäusen für die Stateful-Firewall und NAPT44 auf MS-MIC- oder MS-MPC-Dienst-PICs zu konfigurieren.
Beispiel: Zustandsbehaftete Synchronisierung zwischen Chassis für langlebige NAT- und Stateful-Firewall-Datenströme (MS-MIC, MS-MPC) (Version 16.1 und höher)
In diesem Beispiel wird gezeigt, wie die chassisübergreifende Hochverfügbarkeit für NAT-Dienste konfiguriert wird.
Anforderungen
In diesem Beispiel werden die folgenden Hardware- und Softwarekomponenten verwendet:
Zwei MX480-Router mit MS-MPC-Linecards
Junos OS Version 16.1 oder höher
Überblick
Zwei Router der MX-Serie sind identisch konfiguriert, um bei einem Gehäuseausfall ein zustandsbehaftetes Failover für NAT-Dienste zu ermöglichen.
Konfiguration
Führen Sie die folgenden Aufgaben aus, um die chassisübergreifende Hochverfügbarkeit für dieses Beispiel zu konfigurieren:
- CLI Schnellkonfiguration
- Konfigurieren von Schnittstellen für Gehäuse 1
- Konfigurieren von Routing-Informationen für den HA-Synchronisierungsdatenverkehr zwischen Routern der MX-Serie für Gehäuse 1
- Konfigurieren von NAT für Gehäuse 1
- Konfigurieren des Servicesatzes
- Konfigurieren von Schnittstellen für Gehäuse 2
- Konfigurieren von Routing-Informationen für den HA-Synchronisationsdatenverkehr zwischen Routern der MX-Serie für Gehäuse 2
CLI Schnellkonfiguration
Um dieses Beispiel schnell auf den Routern zu konfigurieren, kopieren Sie die folgenden Befehle, und fügen Sie sie in das Terminalfenster des Routers ein, nachdem Sie Zeilenumbrüche entfernt und die für Ihren Standort spezifischen Schnittstelleninformationen ersetzt haben.
Die folgende Konfiguration gilt für Gehäuse 1.
[edit] set interfaces ms-4/0/0 redundancy-options redundancy-peer ipaddress 5.5.5.2 set interfaces ms-4/0/0 redundancy-options redundancy-local data-address 5.5.5.1 set interfaces ms-4/0/0 redundancy-options routing-instance HA set interfaces ms-4/0/0 redundancy-options replication-threshold 180 set interfaces ms-4/0/0 unit 10 ip-address-owner service-plane set interfaces ms-4/0/0 unit 10 family inet address 5.5.5.1/32 set interfaces ms-4/0/0 unit 20 family inet set interfaces ms-4/0/0 unit 20 service-domain inside set interfaces ms-4/0/0 unit 30 family inet set interfaces ms-4/0/0 unit 30 service-domain outside set interfaces ge-2/0/0 vlan-tagging set interfaces ge-2/0/0 unit 0 vlan-id 100 family inet address 20.1.1.1/24 set policy-options policy-statement dummy term 1 then reject set routing-instances HA instance-type vrf set routing-instances HA interface ge-2/0/0.0 set routing-instances HA interface ms-4/0/0.10 set routing-instances HA route-distinguisher 1:1 set routing-instances HA vrf-import dummy set routing-instances HA vrf-export dummy set routing-instances HA routing-options static route route 5.5.5.1/32 next-hop ms-4/0/0.10 set routing-instances HA routing-options static route route 5.5.5.2/32 next-hop 20.1.1.2 set routing-options static-route 100.100.100.0/24 next-hop ms-4/0/0.20 set services nat pool p2 address 32.0.0.0/24 set services nat pool p2 port automatic random-allocation set services nat pool p2 address-allocation round-robin set services nat rule r2 match-direction input set services nat rule r2 term t1 from source-address 129.0.0.0/8 set services nat rule r2 term t1 from source-address 128.0.0.0/8 set services nat rule r2 term t1 then translated source-pool p2 set services nat rule r2 term t1 then translated translation-type napt-44 set services nat rule r2 term t1 then translated address-pooling paired set services nat rule r2 term t1 then syslog set services service-set ss2 nat-rules r2 set services service-set ss2 next-hop-service inside-service-interface ms-4/0/0.20 set services service-set ss2 next-hop-service outside-service-interface ms-4/0/0.30 set services service-set ss2 syslog host local class session-logs set services service-set ss2 syslog host local class nat-logs
Die folgende Konfiguration gilt für Gehäuse 2. Die NAT- und Servicesatzinformationen müssen für Gehäuse 1 und 2 identisch sein.
set interfaces ms-4/0/0 redundancy-options redundancy-peer ipaddress 5.5.5.1 set interfaces ms-4/0/0 redundancy-options redundancy-local data-address 5.5.5.2 set interfaces ms-4/0/0 redundancy-options routing-instance HA set interfaces ms-4/0/0 redundancy-options replication-threshold 180 set interfaces ms-4/0/0 unit 10 ip-address-owner service-plane set interfaces ms-4/0/0 unit 10 family inet address 5.5.5.2/32 set interfaces ms-4/0/0 unit 20 family inet set interfaces ms-4/0/0 unit 20 service-domain inside set interfaces ms-4/0/0 unit 30 family inet set interfaces ms-4/0/0 unit 30 service-domain outside set interfaces ge-2/0/0 vlan-tagging set interfaces ge-2/0/0 unit 0 vlan-id 100 family inet address 20.1.1.2/24 set policy-options policy-statement dummy term 1 then reject set routing-instances HA instance-type vrf set routing-instances HA interface ge-2/0/0.0 set routing-instances HA interface ms-4/0/0.10 set routing-instances HA route-distinguisher 1:1 set routing-instances HA vrf-import dummy set routing-instances HA vrf-export dummy set routing-instances HA routing-options static route 5.5.5.2/32 next-hop ms-4/0/0.10 set routing-instances HA routing-options static route 5.5.5.1/32 next-hop 20.1.1.1 set routing-options static-route 100.100.100.0/24 next-hop ms-4/0/0.20 set services nat pool p2 address 32.0.0.0/24 set services nat pool p2 port automatic random-allocation set services nat pool p2 address-allocation round-robin set services nat rule r2 match-direction input set services nat rule r2 term t1 from source-address 129.0.0.0/8 set services nat rule r2 term t1 from source-address 128.0.0.0/8 set services nat rule r2 term t1 then translated source-pool p2 set services nat rule r2 term t1 then translated translation-type napt-44 set services nat rule r2 term t1 then translated address-pooling paired set services nat rule r2 term t1 then syslog set services service-set ss2 nat-rules r2 set services service-set ss2 next-hop-service inside-service-interface ms-4/0/0.20 set services service-set ss2 next-hop-service outside-service-interface ms-4/0/0.30 set services service-set ss2 syslog host local class session-logs set services service-set ss2 syslog host local class nat-logs
Konfigurieren von Schnittstellen für Gehäuse 1
Schritt-für-Schritt-Anleitung
Die Schnittstellen für jedes Routerpaar mit hoher Verfügbarkeit sind identisch konfiguriert, mit Ausnahme der folgenden Service-PIC-Optionen:
Der Wert
redundancy-options redundancy-peer ipaddress address
muss auf jedem Gehäuse unterschiedlich sein und auf den auf demredundancy-options redundancy-local data-address data-address
Peer-Gehäuse verweisen.Die
unit unit-number family inet address address
einer anderen Einheit als 0, die dieip-address-owner service-plane
Option enthält, muss auf jedem Gehäuse unterschiedlich sein.
So konfigurieren Sie Schnittstellen:
Konfigurieren Sie den redundanten Service-PIC auf Gehäuse 1.
[edit interfaces} user@host# set interfaces ms-4/0/0 redundancy-options redundancy-peer ipaddress 5.5.5.2 user@host# set interfaces ms-4/0/0 redundancy-options redundancy-local data-address 5.5.5.1 user@host# set interfaces ms-4/0/0 redundancy-options routing-instance HA user@host# set interfaces ms-4/0/0 redundancy-options replication-threshold 180 user@host# set interfaces ms-4/0/0 unit 10 ip-address-owner service-plane user@host# set interfaces ms-4/0/0 unit 10 family inet address 5.5.5.1/32 user@host# set interfaces ms-4/0/0 unit 20 family inet user@host# set interfaces ms-4/0/0 unit 20 service-domain inside user@host# set interfaces ms-4/0/0 unit 30 family inet user@host# set interfaces ms-4/0/0 unit 30 service-domain outside
Konfigurieren Sie die Schnittstellen für Gehäuse 1, die als Verbindungen zwischen den Chassis für den Synchronisierungsdatenverkehr verwendet werden.
user@host# set interfaces ge-2/0/0 vlan-tagging user@host# set interfaces ge-2/0/0 unit 0 vlan-id 100 family inet address 20.1.1.1/24
Konfigurieren Sie die restlichen Schnittstellen nach Bedarf.
Befund
user@host# show interfaces ge-2/0/0 { vlan-tagging; unit 0 { vlan-id 100; family inet { address 20.1.1.1/24; } } } ms-4/0/0 { redundancy-options { redundancy-peer { address 5.5.5.2; } redundancy-local { data-address 5.5.5.1; } routing-instance HA; } unit 10 { ip-address-owner service-plane; family inet { address 5.5.5.1/32; } } unit 20 { family inet; family inet6; service-domain inside; } unit 30 { family inet; family inet6; service-domain outside; } }
Konfigurieren von Routing-Informationen für den HA-Synchronisierungsdatenverkehr zwischen Routern der MX-Serie für Gehäuse 1
Schritt-für-Schritt-Anleitung
Eine detaillierte Routingkonfiguration ist in diesem Beispiel nicht enthalten. Für den HA-Synchronisierungsdatenverkehr zwischen den Chassis ist wie folgt eine Routing-Instanz erforderlich:
So konfigurieren Sie die Routing-Instanzen für Chassis 1:
Geben Sie eine Dummy-Richtlinienanweisung an. Auf diese Anweisung wird in der Routinginstanzkonfiguration verwiesen.
user@host# set policy-options policy-statement dummy term 1 then reject
Geben Sie die Optionen für die Routing-Instanz an.
user@host# set routing-instances HA instance-type vrf user@host# set routing-instances HA interface ge-2/0/0.0 user@host# set routing-instances HA interface ms-4/0/0.10 user@host# set routing-instances HA route-distinguisher 1:1 user@host# set policy-options policy-statement dummy term 1 then reject user@host# set routing-instances HA vrf-import dummy user@host# set routing-instances HA vrf-export dummy @user@host# set routing-instances HA routing-options static route 5.5.5.1/32 next-hop ms-4/0/0.10 user@host# set routing-instances HA routing-options static route 5.5.5.2/32 next-hop 20.1.1.2
Geben Sie den Next-Hop-Datenverkehr an, auf den der Dienstsatz angewendet wird.
user@host# set routing-options static-route 100.100.100.0/24 next-hop ms-4/0/0.20
Befund
@user@host# show routing-instances HA { instance-type vrf; interface ge-2/0/0.0; interface ms-4/0/0.10; route-distinguisher 1:1; vrf-import dummy; vrf-export dummy; routing-options { static { route 5.5.5.1/32 next-hop ms-4/0/0.10; route 5.5.5.2/32 next-hop 20.1.1.2; } } }
Konfigurieren von NAT für Gehäuse 1
Schritt-für-Schritt-Anleitung
Konfigurieren Sie NAT auf beiden Routern identisch.
So konfigurieren Sie NAT:
Angeben von NAT-Pool- und Regelinformationen.
user@host# set services nat pool p2 address 32.0.0.0/24 user@host# set services nat pool p2 port automatic random-allocation user@host# set services nat pool p2 address-allocation round-robin user@host# set services nat rule r2 match-direction input user@host# set services nat rule r2 term t1 from source-address 129.0.0.0/8 user@host# set services nat rule r2 term t1 from source-address 128.0.0.0/8 user@host# set services nat rule r2 term t1 then translated source-pool p2 user@host# set services nat rule r2 term t1 then translated translation-type napt-44 user@host# set services nat rule r2 term t1 then translated address-pooling paired user@host# set services nat rule r2 term t1 then syslog
Befund
user@host# show services nat nat { pool p2 { address 32.0.0.0/24; port { automatic { random-allocation; } } address-allocation round-robin; } rule r2 { match-direction input; term t1 { from { source-address { 129.0.0.0/8; 128.0.0.0/8; } } then { translated { source-pool p2; translation-type { napt-44; } address-pooling paired; } syslog; } } } }
Konfigurieren des Servicesatzes
Schritt-für-Schritt-Anleitung
Konfigurieren Sie den Servicesatz auf beiden Routern identisch. So konfigurieren Sie den Servicesatz:
(Optional) Servicesätze werden standardmäßig repliziert. So schließen Sie einen Servicesatz mit der folgenden Option von der Replikation aus.
user@host# set services service-set ss2 replicate-services disable-replication-capability
Konfigurieren Sie Verweise auf NAT-Regeln für den Dienstsatz.
user@host# set services service-set ss2 nat-rules r2
Konfigurieren Sie die Next-Hop-Serviceschnittstelle auf dem MS-PIC.
user@host# set services service-set ss2 next-hop-service inside-service-interface ms-4/0/0.20 user@host# set services service-set ss2 next-hop-service outside-service-interface ms-4/0/0.30
Konfigurieren Sie die gewünschten Protokollierungsoptionen.
user@host# set services service-set ss2 syslog host local class session-logs user@host# set services service-set ss2 syslog host local class nat-logs
Befund
user@host# show services service-set ss2 syslog { host local { class { session-logs; inactive: nat-logs; } } replicate-services { replication-threshold 180; inactive: disable-replication-capability; } nat-rules r2; next-hop-service { inside-service-interface ms-3/0/0.20; outside-service-interface ms-3/0/0.30; } }
Konfigurieren von Schnittstellen für Gehäuse 2
Schritt-für-Schritt-Anleitung
Die Schnittstellen für jedes Routerpaar mit hoher Verfügbarkeit sind identisch konfiguriert, mit Ausnahme der folgenden Service-PIC-Optionen:
redundancy-options redundancy-peer ipaddress address
unit unit-number family inet address address
einer Einheit, die nicht 0 ist und dieip-address-owner service-plane
Option
Konfigurieren Sie den redundanten Service-PIC auf Gehäuse 2.
Der
redundancy-peer ipaddress
Verweist auf die Adresse der Einheit (Einheit 10) auf ms-4/0/0 auf dem Chassis auf Chassis 1, das die Anweisungip-address-owner service-plane
enthält.[edit interfaces} set interfaces ms-4/0/0 redundancy-options redundancy-peer ipaddress 5.5.5.1 user@host# set interfaces ms-4/0/0 redundancy-options redundancy-local data-address 5.5.5.2 user@host# set interfaces ms-4/0/0 redundancy-options replication-threshold 180 user@host# set interfaces ms-4/0/0 redundancy-options routing-instance HA user@host# set interfaces ms-4/0/0 unit 10 ip-address-owner service-plane user@host# set interfaces ms-4/0/0 unit 10 family inet address 5.5.5.2/32 user@host# set interfaces ms-4/0/0 unit 20 family inet user@host# set interfaces ms-4/0/0 unit 20 service-domain inside user@host# set interfaces ms-4/0/0 unit 30 family inet user@host# set interfaces ms-4/0/0 unit 30 service-domain outside
Konfigurieren Sie die Schnittstellen für Gehäuse 2, die als Verbindungen zwischen den Chassis für den Synchronisierungsdatenverkehr verwendet werden.
user@host# set interfaces ge-2/0/0 vlan-tagging user@host# set interfaces ge-2/0/0 unit 0 vlan-id 100 family inet address 20.1.1.2/24
Konfigurieren Sie die restlichen Schnittstellen für Gehäuse 2 nach Bedarf.
Befund
user@host# show interfaces ms-4/0/0 { redundancy-options { redundancy-peer { address 5.5.5.1; } redundancy-local { data-address 5.5.5.2; } routing-instance HA; } unit 0 { family inet; } unit 10 { ip-address-owner service-plane; family inet { address 5.5.5.2/32; } } } ge-2/0/0 { vlan-tagging; unit 0 { vlan-id 100; family inet { address 20.1.1.2/24; } } unit 10 { vlan-id 10; family inet { address 2.10.1.2/24; } } }
Konfigurieren von Routing-Informationen für den HA-Synchronisationsdatenverkehr zwischen Routern der MX-Serie für Gehäuse 2
Schritt-für-Schritt-Anleitung
Eine detaillierte Routingkonfiguration ist in diesem Beispiel nicht enthalten. Eine Routing-Instanz ist für den HA-Synchronisierungsdatenverkehr zwischen den beiden Chassis erforderlich und ist hier enthalten.
Konfigurieren von Routing-Instanzen für Gehäuse 2.
user@host# set routing-instances HA instance-type vrf user@host# set routing-instances HA interface ge-2/0/0.0 user@host# set routing-instances HA interface ms-4/0/0.10 user@host# set routing-instances HA route-distinguisher 1:1 user@host# set policy-options policy-statement dummy term 1 then reject user@host# set routing-instances HA vrf-import dummy user@host# set routing-instances HA vrf-export dummy user@host# set routing-instances HA routing-options static route 5.5.5.2/32 next-hop ms-4/0/0.10 user@host# set routing-instances HA routing-options static route 5.5.5.1/32 next-hop 20.1.1.1 user@host# set routing-options static-route 100.100.100.0/24 next-hop ms-4/0/0.20
Anmerkung:Die folgenden Konfigurationsschritte sind identisch mit den Schritten, die für Gehäuse 1 gezeigt wurden.
Konfigurieren von NAT
Konfigurieren des Servicesatzes
Befund
@user@host# show services routing-instances HA { instance-type vrf; interface xe-2/2/0.0; interface ms-4/0/0.10; route-distinguisher 1:1; vrf-import dummy; vrf-export dummy; routing-options { static { route 5.5.5.2/32 next-hop ms-4/0/0.10; route 5.5.5.1/32 next-hop 20.1.1.1; } } }