Configuration d’un cluster de châssis de pare-feu virtuel vSRX dans Junos OS

Provisionnement de clusters de châssis sur le pare-feu virtuel vSRX

La configuration de la connectivité du cluster de châssis sur les instances du pare-feu virtuel vSRX est similaire à celle des pare-feu physiques SRX Series. La machine virtuelle Pare-feu virtuel vSRX utilise un réseau virtuel (ou vswitch) pour la carte réseau virtuelle (par exemple, VMXNET3 ou virtio).

Le cluster de châssis nécessite les connexions directes suivantes entre les deux instances du pare-feu virtuel vSRX :

• Lien de contrôle, ou réseau virtuel, qui agit en mode actif/passif pour le trafic du plan de contrôle entre les deux instances du pare-feu virtuel vSRX

• La liaison de structure, ou réseau virtuel, qui est utilisée pour la synchronisation de session en temps réel entre les nuds. En mode actif/actif, cette liaison est également utilisée pour transporter le trafic de données entre les deux instances du pare-feu virtuel vSRX.

Note:

Remarque : Vous pouvez éventuellement créer deux liens de structure pour plus de redondance.

Le cluster de pare-feu virtuel vSRX utilise les interfaces suivantes :

• Interface de gestion hors bande (fxp0)

• Interface de contrôle de cluster (em0)

• Interface de structure de cluster (fab0 sur le noeud0, fab1 sur le noeud1)

Note:

L’interface de contrôle doit être la deuxième vNIC. Pour la liaison de structure, vous pouvez utiliser n’importe quel port payant (ge-ports). Vous pouvez éventuellement configurer une deuxième liaison de structure pour une meilleure redondance.

La Figure 1 illustre la formation de clusters de châssis avec des instances du pare-feu virtuel vSRX.

Le pare-feu virtuel vSRX prend en charge le cluster de châssis à l’aide du pilote virtio et des interfaces SR-IOV, avec les considérations suivantes :

• Lorsque vous activez le cluster de châssis, vous devez également activer les trames jumbo (taille MTU = 9000) pour prendre en charge la liaison de structure sur l’interface réseau virtio.

• Si vous configurez un cluster de châssis sur deux hôtes physiques, désactivez igmp-snooping sur chaque interface physique d’hôte utilisée par la liaison de contrôle du pare-feu virtuel vSRX pour vous assurer que la pulsation de la liaison de contrôle est reçue par les deux nuds du cluster de châssis.

  hostOS# echo 0 > /sys/devices/virtual/net/<bridge-name>/bridge/multicast_snooping

• Une fois le cluster de châssis activé, l’instance du pare-feu virtuel vSRX mappe automatiquement la deuxième carte réseau virtuelle à la liaison de contrôle et son nom passe de ge-0/0/0 à em0.

• Vous pouvez utiliser n’importe quelle autre carte réseau virtuelle pour le(s) lien(s) de structure. (Voir Nommage et mappage des interfaces)

Pour les interfaces virtio, la mise à jour de l’état de la liaison n’est pas prise en charge. L’état de liaison des interfaces virtio est toujours signalé comme actif. Pour cette raison, une instance de pare-feu virtuel vSRX utilisant virtio et un cluster de châssis ne peut pas recevoir de messages de liaison active et descendante des interfaces virtio.

Le temps de datation MAC du réseau virtuel détermine la durée pendant laquelle une entrée reste dans la table MAC. Nous vous recommandons de réduire le temps d’ancienneté MAC sur les réseaux virtuels afin de minimiser le temps d’arrêt lors du basculement.

Par exemple, vous pouvez utiliser la commande pour définir l’ancienneté brctl setageing bridge 1 sur 1 seconde pour le pont Linux.

Vous configurez les réseaux virtuels pour les liens de contrôle et de structure, puis créez et connectez l’interface de contrôle au réseau virtuel de contrôle et l’interface de structure au réseau virtuel de structure.

Dénomination et mappage des interfaces

Chaque carte réseau définie pour un pare-feu virtuel vSRX est mappée à une interface spécifique, selon que l’instance du pare-feu virtuel vSRX est une machine virtuelle autonome ou une paire de clusters pour une haute disponibilité. Les noms et mappages des interfaces dans le pare-feu virtuel vSRX sont indiqués dans les Tableaux 1 et 2.

Notez les points suivants :

• En mode autonome :
  • FXP0 est l’interface de gestion hors bande.
  • GE-0/0/0 est la première interface de trafic (revenus).
• En mode cluster :
  • FXP0 est l’interface de gestion hors bande.
  • em0 est le lien de contrôle du cluster pour les deux nœuds.
  • N’importe laquelle des interfaces de trafic peut être spécifiée en tant que liens de structure, par exemple ge-0/0/0 pour fab0 sur le nœud 0 et ge-7/0/0 pour fab1 sur le nœud 1.

Les noms d’interface et les mappages d’une machine virtuelle de pare-feu virtuel vSRX autonome sont visibles dans le Tableau 1 et pour une machine virtuelle de pare-feu virtuel vSRX en mode cluster, ils sont indiqués dans le Tableau 2. Vous pouvez voir qu’en mode cluster, le port em0 est inséré entre les positions fxp0 et ge-0/0/0, ce qui fait que les numéros de port payants se déplacent d’un emplacement vNIC vers le haut.

Tableau 1 : noms d’interface d’une machine virtuelle de pare-feu virtuel vSRX autonome

Carte réseau	Noms d’interface
1	fxp0
2	GE-0/0/0
3	GE-0/0/1
4	GE-0/0/2
5	GE-0/0/3
6	GE-0/0/4
7	GE-0/0/5
8	GE-0/0/6

Tableau 2 : noms d’interface pour une paire de clusters de pare-feu virtuel vSRX vSRX

Noms des interfaces	de carte réseau
1	fxp0 (noeuds 0 et 1)
2	em0 (nœud 0 et 1)
3	GE-0/0/0 (noeud 0) GE-7/0/0 (noeud 1)
4	GE-0/0/1 (noeud 0) GE-7/0/1 (noeud 1)
5	GE-0/0/2 (noeud 0) GE-7/0/2 (noeud 1)
6	GE-0/0/3 (noeud 0) GE-7/0/3 (noeud 1)
7	GE-0/0/4 (noeud 0) GE-7/0/4 (noeud 1)
8	GE-0/0/5 (noeud 0) GE-7/0/5 (noeud 1)

Activation de la formation de clusters de châssis

Vous créez deux instances de pare-feu virtuel vSRX pour former un cluster de châssis, puis vous définissez l’ID de cluster et l’ID de nœud sur chaque instance pour qu’ils rejoignent le cluster. Lorsqu’une machine virtuelle de pare-feu virtuel vSRX rejoint un cluster, elle devient un nœud de ce cluster. À l’exception des paramètres de noeud uniques et des adresses IP de gestion, les noeuds d’un cluster partagent la même configuration.

Vous pouvez déployer jusqu’à 255 clusters de châssis dans un domaine de couche 2 . Les clusters et les nœuds sont identifiés de la manière suivante :

• L’ID de cluster (un nombre compris entre 1 et 255) identifie le cluster.

• L’ID de nœud (un nombre compris entre 0 et 1) identifie le nœud du cluster.

Sur les pare-feu SRX Series, l’ID de cluster et l’ID de nœud sont écrits dans EEPROM. Sur la machine virtuelle pare-feu virtuel vSRX, le pare-feu virtuel vSRX stocke et lit les ID à partir du fichier boot/loader.conf et les utilise pour initialiser le cluster de châssis au démarrage.

Assurez-vous que vos instances de pare-feu virtuel vSRX respectent les conditions préalables suivantes avant d’activer la mise en cluster de châssis :

• Vous avez validé une configuration de base sur les deux instances de pare-feu virtuel vSRX qui forment le cluster de châssis. Reportez-vous à la section Configuration de vSRX à l’aide de l’interface de ligne de commande.

• À utiliser show version dans Junos OS pour vous assurer que les deux instances du pare-feu virtuel vSRX ont la même version logicielle.
• À utiliser show system license dans Junos OS pour vous assurer que les mêmes licences sont installées sur les deux instances du pare-feu virtuel vSRX.
• Vous devez définir le même ID de cluster de châssis sur chaque nud de pare-feu virtuel vSRX et redémarrer la machine virtuelle pare-feu virtuel vSRX pour activer la formation de clusters de châssis.

Les commandes de formation de cluster de châssis pour les noeuds 0 et 1 sont les suivantes :

• Sur le nœud 0 du pare-feu virtuel vSRX :

• Sur le nœud 1 du pare-feu virtuel vSRX :

  La dénomination et le mappage de l’interface du pare-feu virtuel vSRX aux cartes réseau virtuels changent lorsque vous activez la mise en cluster de châssis. Utilisez le même numéro d’ID de cluster pour chaque nœud du cluster.

Note:

Lors de l’utilisation de plusieurs clusters connectés au même domaine L2, un cluster-id unique doit être utilisé pour chaque cluster. Sinon, vous risquez d’obtenir des adresses mac en double sur le réseau, car le cluster-id est utilisé pour former les adresses mac de l’interface virtuelle.

Après le redémarrage, sur le nœud 0, configurez les ports de structure (données) du cluster qui sont utilisés pour transmettre des objets temps réel (RTO) :