Konfigurieren eines vSRX Virtual Firewall Chassis-Clusters in Junos OS

Chassis-Cluster-Bereitstellung auf virtueller vSRX-Firewall

Das Einrichten der Konnektivität für Chassis-Cluster auf virtuellen vSRX-Firewall-Instanzen ähnelt physischen Firewalls der SRX-Serie. Die virtuelle vSRX-Firewall-VM verwendet ein virtuelles Netzwerk (oder vSwitch) für die virtuelle Netzwerkkarte (z. B. VMXNET3 oder virtio).

Der Chassis-Cluster erfordert die folgenden direkten Verbindungen zwischen den beiden virtuellen vSRX-Firewall-Instanzen:

• Control Link oder virtuelles Netzwerk, das im Aktiv/Passiv-Modus für den Datenverkehr der Steuerungsebene zwischen den beiden virtuellen vSRX-Firewall-Instanzen agiert

• Fabric-Link oder virtuelles Netzwerk, das für die Echtzeit-Sitzungssynchronisierung zwischen den Knoten verwendet wird. Im Aktiv/Aktiv-Modus wird diese Verbindung auch für die Übertragung des Datenverkehrs zwischen den beiden vSRX Virtual Firewall-Instanzen verwendet.

Hinweis:

Hinweis: Sie können optional zwei Fabric-Links für mehr Redundanz erstellen.

Der vSRX Virtual Firewall-Cluster verwendet die folgenden Schnittstellen:

• Out-of-Band-Verwaltungsschnittstelle (fxp0)

• Cluster-Steuerungsschnittstelle (em0)

• Cluster-Fabric-Schnittstelle (fab0 auf node0, fab1 auf node1)

Hinweis:

Bei der Steuerungsschnittstelle muss es sich um die zweite vNIC handeln. Für die Fabric-Verbindung können Sie einen beliebigen Umsatzport (ge-ports) verwenden. Optional können Sie eine zweite Fabric-Verbindung für erhöhte Redundanz konfigurieren.

Abbildung 1 zeigt die Chassis-Clusterbildung mit virtuellen vSRX-Firewall-Instanzen.

Die virtuelle vSRX-Firewall unterstützt Chassis-Cluster mithilfe des Virtio-Treibers und SR-IOV-Schnittstellen unter folgenden Gesichtspunkten:

• Wenn Sie den Chassis-Cluster aktivieren, müssen Sie auch Jumbo-Frames (MTU-Größe = 9000) aktivieren, um den Fabric-Link auf der virtio-Netzwerkschnittstelle zu unterstützen.

• Wenn Sie einen Chassis-Cluster über zwei physische Hosts hinweg konfigurieren, deaktivieren Sie igmp-Snooping auf jeder physischen Hostschnittstelle, die der vSRX Virtual Firewall Control Link verwendet, um sicherzustellen, dass der Control Link Heartbeat von beiden Knoten im Chassis-Cluster empfangen wird.

  hostOS# echo 0 > /sys/devices/virtual/net/<bridge-name>/bridge/multicast_snooping

• Nach der Aktivierung des Chassis-Clusters ordnet die vSRX Virtual Firewall-Instanz die zweite vNIC automatisch der Steuerungsverbindung zu, und ihr Name wird von ge-0/0/0 in em0 geändert.

• Sie können beliebige andere vNICs für die Fabric-Verbindung(en) verwenden. (Siehe Benennung und Zuordnung von Schnittstellen)

Bei virtio-Schnittstellen wird die Aktualisierung des Linkstatus nicht unterstützt. Der Link-Status von virtio-Schnittstellen wird immer als "Up" gemeldet. Aus diesem Grund kann eine virtuelle vSRX-Firewall-Instanz, die virtio und einen Chassis-Cluster verwendet, keine Link-Up- und Link-Down-Nachrichten von virtio-Schnittstellen empfangen.

Die MAC-Alterungszeit des virtuellen Netzwerks bestimmt die Zeitspanne, die ein Eintrag in der MAC-Tabelle verbleibt. Es wird empfohlen, die MAC-Alterungszeit in den virtuellen Netzwerken zu reduzieren, um die Ausfallzeit während des Failovers zu minimieren.

Sie können z. B. den Befehl verwenden, um die brctl setageing bridge 1 Alterung für die Linux-Bridge auf 1 Sekunde festzulegen.

Sie konfigurieren die virtuellen Netzwerke für die Steuerungs- und Fabric-Verbindungen, erstellen und verbinden dann die Steuerungsschnittstelle mit dem virtuellen Steuerungsnetzwerk und die Fabric-Schnittstelle mit dem virtuellen Fabric-Netzwerk.

Schnittstellenbenennung und -zuordnung

Jeder Netzwerkadapter, der für eine virtuelle vSRX-Firewall definiert ist, wird einer bestimmten Schnittstelle zugeordnet, je nachdem, ob es sich bei der virtuellen vSRX-Firewall-Instanz um eine eigenständige VM oder um eine aus einem Clusterpaar für hohe Verfügbarkeit handelt. Die Schnittstellennamen und -zuordnungen in der virtuellen vSRX-Firewall sind in Tabelle 1 und Tabelle 2 dargestellt.

Beachten Sie Folgendes:

• Im Standalone-Modus:
  • FXP0 ist die Out-of-Band-Verwaltungsschnittstelle.
  • GE-0/0/0 ist die erste Schnittstelle für Datenverkehr (Umsatz).
• Im Cluster-Modus:
  • FXP0 ist die Out-of-Band-Verwaltungsschnittstelle.
  • EM0 ist die Clustersteuerungsverbindung für beide Knoten.
  • Jede der Datenverkehrsschnittstellen kann als Fabric-Links angegeben werden, z. B. ge-0/0/0 für fab0 auf Knoten 0 und ge-7/0/0 für fab1 auf Knoten 1.

Die Schnittstellennamen und -zuordnungen für eine eigenständige virtuelle vSRX-Firewall-VM sind in Tabelle 1 und für eine virtuelle vSRX-Firewall-VM im Clustermodus in Tabelle 2 dargestellt. Sie können sehen, dass im Cluster-Modus der em0-Port zwischen den Positionen fxp0 und ge-0/0/0 eingefügt wird, wodurch sich die Umsatzportnummern um einen vNIC-Standort nach oben verschieben.

Tabelle 1: Schnittstellennamen für eine eigenständige virtuelle vSRX-Firewall-VM

Netzwerkadapter	Schnittstellennamen
1	fxp0
2	GE-0/0/0
3	GE-0/0/1
4	GE-0/0/2
5	GE-0/0/3
6	GE-0/0/4
7	GE-0/0/5
8	GE-0/0/6

Tabelle 2: Schnittstellennamen für ein virtuelles vSRX-Firewall-Clusterpaar

Namen der Netzwerkadapterschnittstellen
1	fxp0 (Knoten 0 und 1)
2	em0 (Knoten 0 und 1)
3	GE-0/0/0 (Knoten 0) GE-7/0/0 (Knoten 1)
4	GE-0/0/1 (Knoten 0) GE-7/0/1 (Knoten 1)
5	GE-0/0/2 (Knoten 0) GE-7/0/2 (Knoten 1)
6	GE-0/0/3 (Knoten 0) GE-7/0/3 (Knoten 1)
7	GE-0/0/4 (Knoten 0) GE-7/0/4 (Knoten 1)
8	GE-0/0/5 (Knoten 0) GE-7/0/5 (Knoten 1)

Aktivieren der Chassis-Cluster-Bildung

Sie erstellen zwei virtuelle vSRX-Firewall-Instanzen, um einen Chassis-Cluster zu bilden, und legen dann die Cluster-ID und die Knoten-ID auf jeder Instanz fest, die dem Cluster beitreten soll. Wenn eine virtuelle vSRX-Firewall-VM einem Cluster beitritt, wird sie zu einem Knoten dieses Clusters. Mit Ausnahme eindeutiger Knoteneinstellungen und Verwaltungs-IP-Adressen verwenden Knoten in einem Cluster dieselbe Konfiguration.

Sie können bis zu 255 Chassis-Cluster in einer Layer-2-Domäne bereitstellen. Cluster und Knoten werden auf folgende Weise identifiziert:

• Die Cluster-ID (eine Zahl zwischen 1 und 255) identifiziert den Cluster.

• Die Knoten-ID (eine Zahl von 0 bis 1) identifiziert den Clusterknoten.

Bei Firewalls der SRX-Serie werden die Cluster-ID und die Node-ID in das EEPROM geschrieben. Auf der virtuellen vSRX-Firewall-VM speichert und liest die virtuelle vSRX-Firewall die IDs aus der Datei boot/loader.conf und verwendet die IDs, um den Chassis-Cluster während des Starts zu initialisieren.

Stellen Sie sicher, dass Ihre vSRX-Instanzen der virtuellen Firewall die folgenden Voraussetzungen erfüllen, bevor Sie das Chassis-Clustering aktivieren:

• Sie haben eine Basiskonfiguration für beide vSRX Virtual Firewall-Instanzen festgeschrieben, die den Chassis-Cluster bilden. Weitere Informationen finden Sie unter Konfigurieren von vSRX mithilfe der CLI.

• Wird in Junos OS verwendet show version , um sicherzustellen, dass beide vSRX Virtual Firewall-Instanzen dieselbe Softwareversion haben.
• Verwenden Sie diese show system license Option in Junos OS, um sicherzustellen, dass auf beiden Instanzen der virtuellen vSRX-Firewall dieselben Lizenzen installiert sind.
• Sie müssen auf jedem vSRX-Knoten der virtuellen Firewall dieselbe Chassis-Cluster-ID festlegen und die virtuelle vSRX-Firewall-VM neu starten, um die Chassis-Clusterbildung zu ermöglichen.

Die Befehle zur Bildung von Chassis-Clustern für Knoten 0 und Knoten 1 lauten wie folgt:

• Auf vSRX Virtual Firewall-Knoten 0:

• Auf Knoten 1 der virtuellen vSRX-Firewall:

  Die Benennung und Zuordnung der vSRX-Schnittstelle zur virtuellen Firewall zu vNICs ändert sich, wenn Sie Chassis-Clustering aktivieren. Verwenden Sie dieselbe Cluster-ID-Nummer für jeden Knoten im Cluster.

Hinweis:

Bei Verwendung mehrerer Cluster, die mit derselben L2-Domäne verbunden sind, muss für jeden Cluster eine eindeutige Cluster-ID verwendet werden. Andernfalls erhalten Sie möglicherweise doppelte MAC-Adressen im Netzwerk, da die Cluster-ID verwendet wird, um die MAC-Adressen der virtuellen Schnittstelle zu bilden.

Konfigurieren Sie nach dem Neustart auf Knoten 0 die Fabric-Ports (Datenports) des Clusters, die zum Übergeben von Echtzeitobjekten (RTOs) verwendet werden: