Surveillance des adresses IP sur un cluster de châssis

La surveillance IP vérifie la connectivité de bout en bout des adresses IP configurées et permet à un groupe de redondance de basculer automatiquement lorsque l’adresse IP surveillée n’est pas accessible via l’interface Ethernet redondante (reth). Les nœuds principal et secondaire du cluster de châssis surveillent des adresses IP spécifiques pour déterminer si un équipement en amont du réseau est accessible.

La surveillance IP permet un basculement basé sur l’accessibilité de bout en bout d’une adresse IP surveillée configurée. Sur les pare-feu SRX Series, le test d’accessibilité est effectué en envoyant un ping à l’adresse IP surveillée à partir du nœud principal et du nœud secondaire via l’interface reth et en vérifiant si une réponse est renvoyée. L’adresse IP surveillée peut se trouver sur un hôte directement connecté dans le même sous-réseau que l’interface reth ou sur un périphérique distant accessible via un routeur à saut suivant.

Les états d’accessibilité de l’adresse IP surveillée sont accessibles, inaccessibles et inconnus. L’état est « inconnu » si les moteurs de transfert de paquets ne sont pas encore opérationnels. L’état passe à « accessible » ou « inaccessible », selon le message correspondant du moteur de transfert de paquets.

Nous vous déconseillons de configurer la surveillance IP des clusters de châssis sur le groupe de redondance 0 (RG0) pour les pare-feu SRX Series.

Le tableau 1 détaille les différentes combinaisons de résultats surveillés des nœuds principal et secondaire, ainsi que les actions correspondantes du processus jsrpd (Juniper Services Redundancy Protocol).

• Vous pouvez configurer jusqu’à 64 adresses IP pour la surveillance IP sur SRX5000 périphériques de ligne.

• Sur les équipements SRX Branch Series, lorsque plusieurs interfaces physiques sont configurées sur l’interface reth, la surveillance IP des groupes redondants n’est pas prise en charge. Le SRX utilise l’interface la plus basse du bundle pour effectuer le suivi sur le nœud secondaire. Si l’homologue transfère la réponse sur un autre port que celui sur lequel il l’a reçue, le SRX la supprime.

• L’intervalle minimum de surveillance IP est de 1 seconde et le maximum est de 30 secondes. L’intervalle par défaut est de 1 seconde.

• Le seuil minimum de surveillance IP est de 5 demandes et le maximum est de 15 demandes. Si la demande de surveillance IP ne reçoit pas de réponse pour les requêtes consécutives (dépassant la valeur seuil), la surveillance IP signale que l’adresse IP surveillée est inaccessible. La valeur par défaut du seuil est 5.

• L’interface Reth non associée au groupe de redondance (RG) dans la configuration CLI de surveillance IP est prise en charge.

Le tableau 2 fournit des détails sur les combinaisons d’interfaces multiples d’IOC2 et IOC3 avec des numéros MAC maximaux.

Notez les limitations suivantes pour la prise en charge de la surveillance IP sur SRX5000 ligne IOC2 et IOC3 :

• La surveillance IP est prise en charge via l’interface reth ou RLAG. Si votre configuration ne spécifie aucune de ces interfaces, la recherche de route renvoie une interface non-reth/RLAG, ce qui génère un rapport d’échec.

• Le routage ECMP (Equal-cost multipath) n’est pas pris en charge dans la surveillance IP.

La surveillance des adresses IP de groupe de redondance vérifie la connectivité de bout en bout et permet à un groupe de redondance de basculer en raison de l’incapacité d’une interface Ethernet redondante (appelée reth) à atteindre une adresse IP configurée. Des groupes de redondance sur les deux appareils d’un cluster peuvent être configurés pour surveiller des adresses IP spécifiques afin de déterminer si un périphérique en amont du réseau est accessible. Le groupe de redondance peut être configuré de telle sorte que si l’adresse IP surveillée devient inaccessible, le groupe de redondance basculera vers sa sauvegarde pour maintenir le service. La principale différence entre cette fonction de surveillance et la surveillance d’interface est que la surveillance des adresses IP permet le basculement lorsque l’interface est toujours opérationnelle, mais que le périphérique réseau auquel elle est connectée n’est pas accessible pour une raison quelconque. Dans ces circonstances, l’autre nœud du cluster peut acheminer le trafic autour du problème.

Si vous souhaitez atténuer les basculements dus à des échecs de surveillance d’adresses IP, utilisez l’instruction hold-down-interval .

La configuration de surveillance des adresses IP vous permet de définir non seulement l’adresse à surveiller et son poids de basculement, mais également un seuil et un poids globaux de surveillance des adresses IP. Ce n’est qu’une fois que le seuil global de surveillance des adresses IP est atteint en raison d’un échec cumulé de l’accessibilité des adresses surveillées que la valeur de pondération globale de la surveillance des adresses IP sera déduite du seuil de basculement du groupe redondant. Ainsi, plusieurs adresses peuvent être surveillées simultanément et surveillées pour refléter leur importance pour le maintien du flux de trafic. En outre, la valeur seuil d’une adresse IP inaccessible puis redevient inaccessible sera restaurée au seuil de surveillance. Toutefois, cela n’entraînera pas de retour arrière si l’option de préemption n’a pas été activée.

Lors de la configuration, la valeur de basculement de la surveillance de l’adresse IP (poids global) est prise en compte, de même que la surveillance de l’interface, si elle est définie, et la surveillance intégrée du basculement, y compris la surveillance de l’USU, la surveillance de la synchronisation à froid et la surveillance des NPC (sur les plates-formes prises en charge). Les principales adresses IP à surveiller sont les adresses de passerelle de routeur pour s’assurer que le trafic valide entrant dans la passerelle de services peut être transféré vers le routeur réseau approprié.

À partir de Junos OS version 12.1X46-D35 et Junos OS version 17.3R1, pour tous les pare-feu SRX Series, l’interface reth prend en charge l’ARP proxy.

Une unité de traitement des services (SPU) ou un moteur de transfert de paquets (PFE) par nœud est désigné pour envoyer des paquets ping ICMP (Internet Control Message Protocol) pour les adresses IP surveillées sur le cluster. Le PFE principal envoie des paquets ping à l’aide de requêtes ARP (Address Resolution Protocol) résolues par le moteur de routage (RE). La source de ces pings est l’interface Ethernet redondante MAC et adresses IP. Le PFE secondaire résout les demandes ARP pour l’adresse IP surveillée elle-même. La source de ces pings est l’adresse MAC enfant physique et une adresse IP secondaire configurée sur l’interface Ethernet redondante. Pour que la réponse ping soit reçue sur l’interface secondaire, la carte d’E/S (IOC), le processeur PFE central ou Flex IOC ajoute à la fois l’adresse MAC enfant physique et l’adresse MAC de l’interface Ethernet redondante à sa table MAC. Le PFE secondaire répond avec l’adresse MAC enfant physique aux requêtes ARP envoyées à l’adresse IP secondaire configurée sur l’interface Ethernet redondante.

L’intervalle par défaut pour vérifier l’accessibilité d’une adresse IP surveillée est d’une fois par seconde. L’intervalle peut être ajusté à l’aide de la retry-interval commande. Le nombre par défaut de tentatives de ping infructueuses consécutives autorisées est 5. Le nombre de tentatives de ping infructueuses autorisées peut être ajusté à l’aide de la retry-count commande. Si vous n'avez pas réussi à atteindre une adresse IP surveillée pendant le nombre configuré de tentatives consécutives, l'adresse IP est jugée inaccessible et sa valeur de basculement est déduite du seuil global du groupe de redondance.

Sur les périphériques SRX5600 et SRX5800, seuls deux des 10 ports de chaque PIC des cartes d’E/S Ethernet 1 Gigabit (IOC) à 40 ports peuvent activer simultanément la surveillance des adresses IP. Comme il y a quatre PIC par IOC, cela permet de surveiller un total de huit ports par IOC. Si plus de deux ports par PIC sur des IOC Ethernet 1 Gigabit à 40 ports sont configurés pour la surveillance des adresses IP, la validation réussira, mais une entrée de journal sera générée et la précision et la stabilité de la surveillance des adresses IP ne pourront pas être garanties. Cette limitation ne s’applique pas aux autres IOC ou dispositifs.

Une fois que l’adresse IP est jugée inaccessible, son poids est déduit du seuil global. Si la valeur du seuil global recalculée n’est pas 0, l’adresse IP est marquée comme inaccessible, mais le poids global n’est pas déduit du seuil du groupe de redondance. Si le seuil global de surveillance IP du groupe de redondance atteint 0 et qu’il existe des adresses IP inaccessibles, le groupe de redondance basculera et basculera continuellement entre les nœuds jusqu’à ce qu’une adresse IP inaccessible devienne accessible ou qu’une modification de configuration supprime les adresses IP inaccessibles de la surveillance. Notez que l’amortissement du basculement par défaut et configuré par intervalle de maintien est toujours en vigueur.

Chaque groupe de redondance x a une valeur de tolérance de seuil initialement définie sur 255. Lorsqu'une adresse IP surveillée par le groupe de redondance x devient indisponible, son poids est soustrait du seuil du groupe de redondance x. Lorsque le seuil du groupe de redondance x atteint 0, il bascule vers l'autre nœud. Par exemple, si le groupe de redondance 1 était primaire sur le nœud 0, sur l’événement de franchissement de seuil, le groupe de redondance 1 devient principal sur le nœud 1. Dans ce cas, toutes les interfaces enfants des interfaces Ethernet redondantes du groupe de redondance 1 commencent à gérer le trafic.

Un basculement du groupe de redondance x se produit car le poids cumulé des adresses IP surveillées du groupe de redondance x et d'autres activités de surveillance a porté sa valeur seuil à 0. Lorsque les adresses IP surveillées du groupe de redondance x sur les deux nœuds atteignent leurs seuils en même temps, le groupe de redondance x est principal sur le nœud avec l’ID de nœud inférieur, qui est généralement le nœud 0.

La détection des défaillances des équipements en amont pour la fonction de cluster de châssis est prise en charge par les pare-feu SRX Series.

À partir de Junos OS version 15.1X49-D60 et Junos OS version 17.3R1, la configuration de la limitation des demandes ARP (Address Resolution Protocol) est prise en charge sur les périphériques SRX5000 ligne. Cette fonctionnalité vous permet de contourner le temps de limitation des requêtes ARP précédemment codé en dur par défaut (10 secondes par SPU pour chaque adresse IP) et de définir le temps sur une valeur supérieure (10 à 100 secondes). Définir le temps de limitation sur une valeur supérieure réduit l’utilisation élevée du moteur de routage, ce qui lui permet de fonctionner plus efficacement. Vous pouvez configurer le temps de limitation des requêtes ARP à l’aide de la set forwarding-options next-hop arp-throttle <seconds> commande.

La surveillance ne peut être effectuée que si l’adresse IP est accessible sur une interface Ethernet redondante (appelée reth dans les commandes CLI et les listes d’interfaces) et si les adresses IP ne peuvent pas être surveillées via un tunnel. Pour qu’une adresse IP soit surveillée via une interface Ethernet redondante sur un nœud de cluster secondaire, une adresse IP secondaire doit être configurée pour l’interface. La surveillance des adresses IP ne peut pas être utilisée sur un cluster de châssis exécuté en mode transparent. Le nombre maximal d’adresses IP de surveillance pouvant être configurées par cluster est de 64 pour la SRX5000 gamme d’équipements, SRX1500, SRX1600, SRX2300 et SRX4000 gamme d’appareils.

La surveillance des adresses IP des groupes de redondance n’est pas prise en charge pour les destinations IPv6.

Cet exemple montre comment configurer la surveillance des adresses IP de groupe de redondance pour un pare-feu SRX Series dans un cluster de châssis.

Cet exemple montre comment surveiller l’adresse IP sur un périphérique de ligne SRX5000 avec un cluster de châssis activé.