Surveillance des adresses IP sur un cluster de châssis

La surveillance IP vérifie la connectivité de bout en bout des adresses IP configurées et permet à un groupe redondant de basculer automatiquement lorsque l’adresse IP surveillée n’est pas accessible via l’interface Ethernet redondante (reth). Les nœuds principal et secondaire du cluster de châssis surveillent des adresses IP spécifiques pour déterminer si un équipement en amont du réseau est accessible.

La surveillance IP permet le basculement en fonction de l’accessibilité de bout en bout d’une adresse IP surveillée configurée. Sur les pare-feu SRX Series, le test d’accessibilité est effectué en envoyant un ping à l’adresse IP surveillée à partir du nœud principal et du nœud secondaire via l’interface reth et en vérifiant si une réponse est renvoyée. L’adresse IP surveillée peut se trouver sur un hôte directement connecté dans le même sous-réseau que l’interface reth ou sur un périphérique distant accessible via un routeur next-hop.

Les états d’accessibilité de l’adresse IP surveillée sont accessible, inaccessible et inconnu. L’état est « inconnu » si les moteurs de transfert de paquets ne sont pas encore opérationnels. L’état passe à « accessible » ou « inaccessible », selon le message correspondant du moteur de transfert de paquets.

Nous vous déconseillons de configurer la surveillance IP des clusters de châssis sur le groupe de redondance 0 (RG0) pour les pare-feu SRX Series.

Le Tableau 1 détaille les différentes combinaisons de résultats surveillés par les nœuds principal et secondaire, ainsi que les actions correspondantes effectuées par le processus Juniper Services Redundancy Protocol (jsrpd).

• Vous pouvez configurer jusqu’à 64 adresses IP pour la surveillance IP sur les équipements de la gamme SRX5000.

• Sur les équipements SRX Branch Series, lorsque plusieurs interfaces physiques sont configurées à l’interface reth, la surveillance IP des groupes redondants n’est pas prise en charge. Le SRX utilise l’interface la plus basse du bundle pour le suivi sur le nœud secondaire. Si l’homologue transfère la réponse sur un autre port que celui sur lequel il l’a reçue, le SRX l’abandonne.

• L’intervalle minimal de surveillance IP est de 1 seconde et le maximum est de 30 secondes. L’intervalle par défaut est de 1 seconde.

• Le seuil minimal de surveillance IP est de 5 requêtes et le maximum est de 15 requêtes. Si la demande de surveillance IP ne reçoit pas de réponse pour des requêtes consécutives (dépassant la valeur seuil), la surveillance IP signale que l’IP surveillée est inaccessible. La valeur par défaut du seuil est 5.

• L’interface Reth n’est pas associée au groupe de redondance (RG) dans la configuration CLI de surveillance IP est prise en charge.

Le Tableau 2 fournit des détails sur les combinaisons d’interfaces multiples d’IOC2 et IOC3 avec des numéros MAC maximaux.

Notez les limitations suivantes pour la prise en charge de la surveillance IP sur la gamme SRX5000 IOC2 et IOC3 :

• La surveillance IP est prise en charge via l’interface reth ou RLAG. Si votre configuration ne spécifie aucune de ces interfaces, la recherche de route renvoie une interface non-reth/RLAG, ce qui entraîne un rapport d’échec.

• Le routage ECMP (Equal-cost Multi-Path) n’est pas pris en charge dans la surveillance IP.

La surveillance des adresses IP des groupes de redondance vérifie la connectivité de bout en bout et permet à un groupe de redondance de basculer en raison de l’incapacité d’une interface Ethernet redondante (appelée reth) à atteindre une adresse IP configurée. Vous pouvez configurer des groupes de redondance sur les deux équipements d’un cluster pour surveiller des adresses IP spécifiques afin de déterminer si un appareil en amont du réseau est accessible. Le groupe de redondance peut être configuré de telle sorte que si l’adresse IP surveillée devient inaccessible, le groupe de redondance bascule vers sa sauvegarde pour maintenir le service. La principale différence entre cette fonctionnalité de surveillance et la surveillance de l’interface est que la surveillance des adresses IP permet le basculement lorsque l’interface est toujours active, mais que le périphérique réseau auquel elle est connectée n’est pas accessible pour une raison quelconque. Dans ce cas, il peut être possible pour l’autre nœud du cluster d’acheminer le trafic autour du problème.

Si vous souhaitez atténuer les basculements qui se produisent en raison d’échecs de surveillance des adresses IP, utilisez l’instruction hold-down-interval .

La configuration de la surveillance des adresses IP vous permet de définir non seulement l’adresse à surveiller et son poids de basculement, mais également un seuil et un poids de surveillance des adresses IP globaux. Ce n’est qu’une fois que le seuil global de surveillance des adresses IP est atteint en raison d’une défaillance cumulative de l’accessibilité des adresses surveillées que la valeur de pondération globale de la surveillance des adresses IP est déduite du seuil de basculement du groupe redondant. Ainsi, plusieurs adresses peuvent être surveillées simultanément et en fonction de leur importance pour le maintien du flux de trafic. De plus, la valeur seuil d’une adresse IP inaccessible puis redevenant accessible sera rétablie au seuil de surveillance. Toutefois, cela n’entraînera pas de restauration automatique à moins que l’option de préemption n’ait été activée.

Lorsqu’elle est configurée, la valeur de basculement de la surveillance des adresses IP (poids global) est prise en compte, ainsi que la surveillance de l’interface, si elle est définie, et la surveillance du basculement intégré, y compris la surveillance SPU, la surveillance de synchronisation à froid et la surveillance NPC (sur les plates-formes prises en charge). Les principales adresses IP qui doivent être surveillées sont les adresses de passerelle de routeur pour s’assurer que le trafic valide entrant dans la passerelle de services peut être transféré au routeur réseau approprié.

À partir de Junos OS version 12.1X46-D35 et Junos OS version 17.3R1, l’interface reth prend en charge le proxy ARP pour tous les pare-feu SRX Series.

Une unité de traitement des services (SPU) ou un moteur de transfert de paquets (PFE) par nœud est désigné pour envoyer des paquets ping ICMP (Internet Control Message Protocol) aux adresses IP surveillées sur le cluster. Le PFE principal envoie des paquets ping à l’aide de requêtes ARP (Address Resolution Protocol) résolues par le moteur de routage (RE). Ces pings proviennent des adresses MAC et IP redondantes de l’interface Ethernet. Le PFE secondaire résout lui-même les requêtes ARP pour l’adresse IP surveillée. La source de ces pings est l’adresse MAC enfant physique et une adresse IP secondaire configurée sur l’interface Ethernet redondante. Pour que la réponse ping soit reçue sur l’interface secondaire, la carte d’E/S (IOC), le processeur PFE central ou Flex IOC ajoute l’adresse MAC enfant physique et l’adresse MAC de l’interface Ethernet redondante à sa table MAC. Le PFE secondaire répond avec l’adresse MAC enfant physique aux requêtes ARP envoyées à l’adresse IP secondaire configurée sur l’interface Ethernet redondante.

L’intervalle par défaut pour vérifier l’accessibilité d’une adresse IP surveillée est d’une fois par seconde. L’intervalle peut être ajusté à l’aide de la retry-interval commande. Par défaut, le nombre de tentatives infructueuses consécutives autorisées est de 5. Le nombre de tentatives de ping infructueuses consécutives autorisées peut être ajusté à l’aide de la retry-count commande. Après avoir échoué à atteindre une adresse IP surveillée pour le nombre configuré de tentatives consécutives, l'adresse IP est jugée inaccessible et sa valeur de basculement est déduite du seuil global du groupe de redondance.

Sur les appareils SRX5600 et SRX5800, seuls deux des 10 ports de chaque carte d’E/S (IOC) 1-Gigabit Ethernet à 40 ports peuvent activer simultanément la surveillance des adresses IP. Étant donné qu’il y a quatre PIC par IOC, cela permet de surveiller un total de huit ports par IOC. Si plus de deux ports par PIC sur des IOC 1-Gigabit Ethernet à 40 ports sont configurés pour la surveillance des adresses IP, la validation réussit, mais une entrée de journal est générée, et l’exactitude et la stabilité de la surveillance des adresses IP ne peuvent pas être garanties. Cette limitation ne s’applique pas aux autres IOC ou appareils.

Une fois que l’adresse IP est jugée inaccessible, son poids est déduit du seuil global. Si la valeur du seuil global recalculé n’est pas 0, l’adresse IP est marquée comme inaccessible, mais la pondération globale n’est pas déduite du seuil du groupe de redondance. Si le seuil global de surveillance IP du groupe de redondance atteint 0 et que des adresses IP sont inaccessibles, le groupe de redondance bascule et revient en arrière entre les nœuds jusqu’à ce qu’une adresse IP inaccessible devienne accessible ou qu’une modification de configuration supprime les adresses IP inaccessibles de la surveillance. Notez que l’amortissement de basculement de l’intervalle de maintien par défaut et configuré est toujours en vigueur.

Chaque groupe de redondance x a une valeur de tolérance seuil initialement définie sur 255. Lorsqu'une adresse IP surveillée par le groupe de redondance x devient indisponible, son poids est soustrait du seuil du groupe de redondance x. Lorsque le seuil du groupe de redondance x atteint 0, il bascule sur l'autre nœud. Par exemple, si le groupe de redondance 1 était principal sur le nœud 0, lors de l’événement de franchissement de seuil, le groupe de redondance 1 devient principal sur le nœud 1. Dans ce cas, toutes les interfaces enfants des interfaces Ethernet redondantes du groupe de redondance 1 commencent à gérer le trafic.

Un basculement du groupe de redondance x se produit, car le poids cumulé des adresses IP surveillées du groupe de redondance x et d'autres fonctions de surveillance a ramené sa valeur seuil à 0. Lorsque les adresses IP surveillées du groupe de redondance x sur les deux nœuds atteignent leurs seuils en même temps, le groupe de redondance x est principal sur le nœud dont l’ID de nœud est le plus faible, qui est généralement le nœud 0.

La détection des défaillances de périphérique en amont pour la fonctionnalité de cluster de châssis est prise en charge par les pare-feu SRX Series.

À partir de Junos OS version 15.1X49-D60 et Junos OS version 17.3R1, la configuration de la limitation des requêtes ARP (Address Resolution Protocol) est prise en charge sur les équipements de la gamme SRX5000. Cette fonctionnalité vous permet de contourner la durée de limitation des requêtes ARP précédemment codée en dur par défaut (10 secondes par SPU pour chaque adresse IP) et de définir la durée sur une valeur supérieure (10 à 100 secondes). La définition du temps de limitation à une valeur plus élevée réduit la forte utilisation du moteur de routage, ce qui lui permet de fonctionner plus efficacement. Vous pouvez configurer le temps de limitation de la requête ARP à l’aide de la set forwarding-options next-hop arp-throttle <seconds> commande.

La surveillance ne peut être effectuée que si l’adresse IP est accessible sur une interface Ethernet redondante (appelée reth dans les commandes CLI et les listes d’interfaces) et que les adresses IP ne peuvent pas être surveillées via un tunnel. Pour qu’une adresse IP soit surveillée par le biais d’une interface Ethernet redondante sur un nœud de cluster secondaire, une adresse IP secondaire doit être configurée sur l’interface. La surveillance des adresses IP ne peut pas être utilisée sur un cluster de châssis s’exécutant en mode transparent. Le nombre maximal d’adresses IP de surveillance pouvant être configurées par cluster est de 64 pour les pare-feu SRX5000 Series, les pare-feu SRX1500, SRX1600, SRX2300, SRX4120 et SRX4000 Series.

La surveillance des adresses IP des groupes de redondance n’est pas prise en charge pour les destinations IPv6.

Cet exemple montre comment configurer la surveillance des adresses IP de groupe de redondance pour un pare-feu SRX Series dans un cluster de châssis.

Cet exemple montre comment surveiller l’adresse IP sur un équipement de la gamme SRX5000 avec le cluster de châssis activé.