Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Zustandsbehaftete Synchronisierung zwischen den Chassis für langlebige NAT- und Stateful-Firewall-Datenströme (MS-MPC, MS-MIC) (Version 16.1 und höher)

Konfigurieren von MS-MPC- und MS-MIC-Redundanz zwischen Chassis für NAT und Stateful Firewall – Übersicht (Version 16.1 und höher)

Anmerkung:

Dieses Thema bezieht sich auf Junos OS Version 16.1 und höher. (Informationen zu Junos OS Version 15.1 und früher finden Sie unter Chassisübergreifende Hochverfügbarkeit für MS-MIC und MS-MPC (Version 15.1 und früher).)

NAT (CGN) auf Betreiberniveau und Stateful-Firewall-Bereitstellungen können eine Dual-Chassis-Implementierung verwenden, um einen redundanten Datenpfad und Redundanz für wichtige Komponenten im Router bereitzustellen. Obwohl Intra-Chassis-Hochverfügbarkeit in einem Gerät der MX-Serie durch die Verwendung der AMS-Schnittstellen verwendet werden kann, behandelt diese Methode nur lokal Dienst-PIC und vollständige MS-MPC- oder MS-MIC-Kartenausfälle. Wenn der Datenverkehr aus irgendeinem Grund aufgrund eines anderen Fehlers im Router auf einen Backup-Router umgestellt wird, geht der Sitzungsstatus der Service-PICs verloren. Die chassisübergreifende Hochverfügbarkeit bietet eine robustere Lösung, da der Sitzungsstatus von NAT und zustandsbehafteten Firewalls von den Service-PICs erhalten bleibt. Bei dieser Technologie handelt es sich um ein Primär-Sekundär-Modell, nicht um einen Aktiv-Aktiv-Cluster. Der Datenverkehr, der von den Service-PICs bedient werden soll, die für eine hohe Verfügbarkeit zwischen den Chassis konfiguriert sind, fließt nur über das Gerät der MX-Serie, das derzeit das primäre Gerät des Paars ist.

Um die Interchassis-Redundanz für NAT und Stateful-Firewall zu konfigurieren, konfigurieren Sie Folgendes:

  1. Zustandsbehaftete Synchronisierung, die den Sitzungsstatus von den Service-PICs auf dem primären Chassis in das Backup-Chassis repliziert. Weitere Informationen hierzu finden Sie unter Übersicht über die zustandsbehaftete Synchronisierung zwischen den Chassis für langlebige NAT und zustandsbehaftete Firewall-Datenströme (MS-MPC, MS-MIC) (Version 16.1 und höher).

  2. Der Dienstredundanz-Daemon, der das Umschalten der primären Rolle basierend auf einem überwachten Ereignis ermöglicht. Die meisten Betreiber würden die zustandsbehaftete Synchronisierung nicht einsetzen wollen, ohne auch den Dienstredundanz-Daemon zu implementieren. Weitere Informationen finden Sie unter Service Redundancy Daemon – Übersicht

Zustandsbehaftete Synchronisierung zwischen den Chassis für langlebige NAT und zustandsbehaftete Firewall-Datenströme (MS-MPC, MS-MIC) – Übersicht (Version 16.1 und höher)

Anmerkung:

Dieses Thema bezieht sich auf Junos OS Version 16.1 und höher. (Informationen zu Junos OS Version 15.1 und früher finden Sie unter Chassisübergreifende Hochverfügbarkeit für MS-MIC und MS-MPC (Version 15.1 und früher).)

Die zustandsbehaftete Synchronisierung synchronisiert langlebige Sitzungen zwischen dem primären und dem Backup-Gehäuse der MX-Serie im Hochverfügbarkeitspaar. Standardmäßig handelt es sich bei langlebigen Sitzungen um zustandsbehaftete Firewall-, NAT- und IDS-Sitzungen, die seit 180 Sekunden im Dienst-PIC aktiv sind, Sie können jedoch einen höheren oder niedrigeren Wert festlegen. Zustandsbehaftete Firewallsitzungen, NAT-Sitzungen und IDS-Sitzungen sind die Sitzungstypen, die synchronisiert werden können.

Die chassisübergreifende Hochverfügbarkeit funktioniert mit MS-Service-Schnittstellen, die auf MS-MIC- oder MS-MPC-Schnittstellenkarten konfiguriert sind. Mit der ip-address-owner service-plane Option muss eine andere ms-Schnittstelleneinheit als Einheit 0 konfiguriert werden.

Die folgenden NAT-Übersetzungstypen und -sitzungen unterstützen die zustandsbehaftete Synchronisierung:

  • basic-nat44-KARTON

  • dynamic-nat44

  • napt-44-KARTON

  • napt-44 mit endpunktunabhängigem Mapping (EIM) oder endpunktunabhängigen Filtern (EIF)

  • DNAT-44-KARTON

  • twice-nat

  • stateful-nat64

Es gelten folgende Einschränkungen:

  • Das Replizieren von Statusinformationen für die Funktionen Port Block Allocation (PBA), Endpoint-Independent Mapping (EIM) oder Endpoint-Independent Filters (EIF) wird nicht unterstützt.

  • Bei der Konfiguration eines Servicesets für NAT oder einer Stateful-Firewall, die zu einer zustandsbehafteten Synchronisierungseinrichtung gehört, gilt Folgendes: Die NAT- und Stateful-Firewall-Konfigurationen für die Servicegruppe müssen auf beiden Geräten der MX-Serie identisch sein.

  • ALG-Sitzungen (Anwendungsebene Gateway) unterstützen keine zustandsbehaftete Synchronisierung.

Abbildung 1 zeigt die chassisübergreifende Hochverfügbarkeitstopologie.

Abbildung 1: Topologie Stateful Sync Topology der zustandsbehafteten Synchronisierung

Konfiguration der zustandsbehafteten Synchronisierung zwischen den Chassis für langlebige NAT- und Stateful-Firewall-Datenströme (MS-MPC, MS-MIC) (Version 16.1 und höher)

Anmerkung:

Dieses Thema bezieht sich auf Junos OS Version 16.1 und höher. (Informationen zu Junos OS Version 15.1 und früher finden Sie unter Chassisübergreifende Hochverfügbarkeit für MS-MIC und MS-MPC (Version 15.1 und früher).)

Führen Sie die folgenden Konfigurationsschritte auf jedem Gehäuse des Hochverfügbarkeitspaars aus, um die zustandsbehaftete Synchronisierung zwischen den Gehäusen für die Stateful-Firewall und NAPT44 auf MS-MIC- oder MS-MPC-Dienst-PICs zu konfigurieren.

  1. Konfigurieren Sie die ms-Schnittstelle der Dienste.
    1. Geben Sie die IPv4-Adresse der Karte für lokale Dienste an. Diese Adresse wird vom TCP-Kanal zwischen den HA-Paaren verwendet.

      Wenn Sie das andere Gehäuse konfigurieren, ist dies die Adresse, die Sie für .redundancy-peer ipaddress

    2. Geben Sie die IPv4-Adresse der Remote-Services-Karte an. Diese Adresse wird vom TCP-Kanal zwischen den HA-Paaren verwendet.

      Wenn Sie das andere Gehäuse konfigurieren, ist dies die Adresse, die Sie für .redundancy-local data-address

    3. Konfigurieren Sie die Zeitspanne, die der Flow für die Replikation aktiv bleibt, in Sekunden.

    4. Konfigurieren Sie mit der ip-address-owner service-plane Option eine andere Einheit als 0.

    5. Weisen Sie für die mit der ip-address-owner service-plane Option konfigurierte Einheit die IPv4-Adresse der lokalen Servicekarte zu, die Sie mit der redundancy-local data-address Option konfiguriert haben.

    6. Konfigurieren Sie die inneren und äußeren Schnittstelleneinheiten, die von der Next-Hop-Servicegruppe verwendet werden. Verwenden Sie unterschiedliche Einheitennummern für die Innen- und Außeneinheiten, und verwenden Sie nicht 0 oder die Einheitennummer, die mit der ip-address-owner service-plane Option verwendet wird.

  2. Konfigurieren Sie den Next-Hop-Servicesatz, der die NAT-Regeln oder Stateful-Firewall-Regeln enthält. Der Servicesatz muss auf jedem Chassis des Hochverfügbarkeitspaars identisch konfiguriert werden. Außerdem müssen die NAT-Regeln und Stateful-Firewall-Regeln auf jedem Gehäuse identisch konfiguriert werden.
  3. Für eine einfachere Verwaltung empfehlen wir Ihnen, eine spezielle Routing-Instanz zu instance-type vrf erstellen, um den HA-Synchronisationsdatenverkehr zwischen dem Hochverfügbarkeitspaar der MX-Serie zu hosten. Geben Sie dann den Namen der speziellen Routing-Instanz an, die auf den HA-Synchronisierungsdatenverkehr zwischen dem Hochverfügbarkeitspapaar angewendet werden soll.
  4. Wiederholen Sie diese Schritte für das andere Gehäuse des Hochverfügbarkeitspaars.

Beispiel: Zustandsbehaftete Synchronisierung zwischen Chassis für langlebige NAT- und Stateful-Firewall-Datenströme (MS-MIC, MS-MPC) (Version 16.1 und höher)

In diesem Beispiel wird gezeigt, wie die chassisübergreifende Hochverfügbarkeit für NAT-Dienste konfiguriert wird.

Anforderungen

In diesem Beispiel werden die folgenden Hardware- und Softwarekomponenten verwendet:

  • Zwei MX480-Router mit MS-MPC-Linecards

  • Junos OS Version 16.1 oder höher

Überblick

Zwei Router der MX-Serie sind identisch konfiguriert, um bei einem Gehäuseausfall ein zustandsbehaftetes Failover für NAT-Dienste zu ermöglichen.

Konfiguration

Führen Sie die folgenden Aufgaben aus, um die chassisübergreifende Hochverfügbarkeit für dieses Beispiel zu konfigurieren:

CLI Schnellkonfiguration

Um dieses Beispiel schnell auf den Routern zu konfigurieren, kopieren Sie die folgenden Befehle, und fügen Sie sie in das Terminalfenster des Routers ein, nachdem Sie Zeilenumbrüche entfernt und die für Ihren Standort spezifischen Schnittstelleninformationen ersetzt haben.

Anmerkung:

Die folgende Konfiguration gilt für Gehäuse 1.

Anmerkung:

Die folgende Konfiguration gilt für Gehäuse 2. Die NAT- und Servicesatzinformationen müssen für Gehäuse 1 und 2 identisch sein.

Konfigurieren von Schnittstellen für Gehäuse 1

Schritt-für-Schritt-Anleitung

Die Schnittstellen für jedes Routerpaar mit hoher Verfügbarkeit sind identisch konfiguriert, mit Ausnahme der folgenden Service-PIC-Optionen:

  • Der Wert redundancy-options redundancy-peer ipaddress address muss auf jedem Gehäuse unterschiedlich sein und auf den auf dem redundancy-options redundancy-local data-address data-address Peer-Gehäuse verweisen.

  • Die unit unit-number family inet address address einer anderen Einheit als 0, die die ip-address-owner service-plane Option enthält, muss auf jedem Gehäuse unterschiedlich sein.

So konfigurieren Sie Schnittstellen:

  1. Konfigurieren Sie den redundanten Service-PIC auf Gehäuse 1.

  2. Konfigurieren Sie die Schnittstellen für Gehäuse 1, die als Verbindungen zwischen den Chassis für den Synchronisierungsdatenverkehr verwendet werden.

  3. Konfigurieren Sie die restlichen Schnittstellen nach Bedarf.

Befund

Konfigurieren von Routing-Informationen für den HA-Synchronisierungsdatenverkehr zwischen Routern der MX-Serie für Gehäuse 1

Schritt-für-Schritt-Anleitung

Eine detaillierte Routingkonfiguration ist in diesem Beispiel nicht enthalten. Für den HA-Synchronisierungsdatenverkehr zwischen den Chassis ist wie folgt eine Routing-Instanz erforderlich:

So konfigurieren Sie die Routing-Instanzen für Chassis 1:

  1. Geben Sie eine Dummy-Richtlinienanweisung an. Auf diese Anweisung wird in der Routinginstanzkonfiguration verwiesen.

  2. Geben Sie die Optionen für die Routing-Instanz an.

  3. Geben Sie den Next-Hop-Datenverkehr an, auf den der Dienstsatz angewendet wird.

Befund

Konfigurieren von NAT für Gehäuse 1

Schritt-für-Schritt-Anleitung

Konfigurieren Sie NAT auf beiden Routern identisch.

So konfigurieren Sie NAT:

  1. Angeben von NAT-Pool- und Regelinformationen.

Befund

Konfigurieren des Servicesatzes

Schritt-für-Schritt-Anleitung

Konfigurieren Sie den Servicesatz auf beiden Routern identisch. So konfigurieren Sie den Servicesatz:

  1. (Optional) Servicesätze werden standardmäßig repliziert. So schließen Sie einen Servicesatz mit der folgenden Option von der Replikation aus.

  2. Konfigurieren Sie Verweise auf NAT-Regeln für den Dienstsatz.

  3. Konfigurieren Sie die Next-Hop-Serviceschnittstelle auf dem MS-PIC.

  4. Konfigurieren Sie die gewünschten Protokollierungsoptionen.

Befund

Konfigurieren von Schnittstellen für Gehäuse 2

Schritt-für-Schritt-Anleitung

Die Schnittstellen für jedes Routerpaar mit hoher Verfügbarkeit sind identisch konfiguriert, mit Ausnahme der folgenden Service-PIC-Optionen:

  • redundancy-options redundancy-peer ipaddress address

  • unit unit-number family inet address address einer Einheit, die nicht 0 ist und die ip-address-owner service-plane Option

  1. Konfigurieren Sie den redundanten Service-PIC auf Gehäuse 2.

    Der redundancy-peer ipaddress Verweist auf die Adresse der Einheit (Einheit 10) auf ms-4/0/0 auf dem Chassis auf Chassis 1, das die Anweisung ip-address-owner service-plane enthält.

  2. Konfigurieren Sie die Schnittstellen für Gehäuse 2, die als Verbindungen zwischen den Chassis für den Synchronisierungsdatenverkehr verwendet werden.

  3. Konfigurieren Sie die restlichen Schnittstellen für Gehäuse 2 nach Bedarf.

Befund

Konfigurieren von Routing-Informationen für den HA-Synchronisationsdatenverkehr zwischen Routern der MX-Serie für Gehäuse 2

Schritt-für-Schritt-Anleitung

Eine detaillierte Routingkonfiguration ist in diesem Beispiel nicht enthalten. Eine Routing-Instanz ist für den HA-Synchronisierungsdatenverkehr zwischen den beiden Chassis erforderlich und ist hier enthalten.

  • Konfigurieren von Routing-Instanzen für Gehäuse 2.

    Anmerkung:

    Die folgenden Konfigurationsschritte sind identisch mit den Schritten, die für Gehäuse 1 gezeigt wurden.

    • Konfigurieren von NAT

    • Konfigurieren des Servicesatzes

Befund