アクティブ/パッシブ シャーシ クラスタの導入
アクティブ/パッシブ シャーシ クラスタの導入について
この場合、クラスタ内の単一のデバイスがすべてのトラフィックをルーティングするために使用され、もう一方のデバイスは障害が発生した場合にのみ使用されます( 図1を参照)。障害が発生すると、バックアップ デバイスがプライマリになり、すべての転送を制御します。
アクティブ/パッシブ シャーシクラスタ は、すべて同じ冗長グループに割り当てられた冗長イーサネットインターフェイス(reths)を使用することで実現できます。ノード内のアクティブなグループ内のインターフェイスのいずれかに障害が発生した場合、グループは非アクティブと宣言され、グループ内のすべてのインターフェイスが他のノードにフェールオーバーします。
この設定では、クラスタ内の 1 つのノードのみがいつでもトラフィックを転送するため、ファブリック リンク上のトラフィックが最小限に抑えられます。
「」も参照
例:SRX5800デバイス上のアクティブ/パッシブシャーシクラスターの設定
この例では、SRX5800デバイスで基本的なアクティブ/パッシブシャーシクラスタリングを設定する方法を示します。
要件
開始する前に、以下を行います。
-
同一のハードウェア構成を備えた 2 つの SRX5800 サービス ゲートウェイと、オプションで 1 台の MX240 エッジ ルーター、およびデータ トラフィックをエンドツーエンドで送信するための EX8208 イーサネット スイッチが 1 台必要です。
-
2台のデバイスを物理的に接続し(ファブリックとコントロールポートの場合はバックツーバック)、それらが同じモデルであることを確認します。
-
クラスタを形成する前に、各デバイスの制御ポートを設定し、各デバイスにクラスタIDとノードIDを割り当て、再起動する必要があります。システムが起動すると、両方のノードがクラスタとして起動します。
SRX5400、SRX5600、SRX5800 のデバイスでは、制御ポートの設定が必要です。
これでデバイスはペアになります。この時点からノードメンバー間でクラスタの設定が同期され、2つの個別のデバイスが1つのデバイスとして機能します。
概要
この例では、SRXシリーズデバイスで基本的なアクティブ/パッシブシャーシクラスタリングを設定する方法を示します。アクティブ/パッシブの基本的な例は、最も一般的なタイプのシャーシ クラスタです。
基本的なアクティブ/パッシブ シャーシ クラスタは、2 つのデバイスで構成されています。
-
1台のデバイスが、ルーティング、ファイアウォール、NAT、VPN、セキュリティサービスを積極的に提供し、シャーシクラスタの制御を維持します。
-
もう一方のデバイスは、アクティブなデバイスが非アクティブになった場合に、クラスタ フェイルオーバー機能の状態を受動的に維持します。
SRX5800 サービス ゲートウェイのこのアクティブ/パッシブ モードの例では、NAT、セキュリティ ポリシー、VPN を構成する方法など、その他の構成について詳しく説明していません。スタンドアロンの構成の場合と基本的に同じです。ただし、シャーシ クラスタ設定でプロキシ ARP を実行する場合、RETH インターフェイスが論理設定を保持するため、メンバー インターフェイスではなく reth インターフェイスにプロキシ ARP 設定を適用する必要があります。 NAT用プロキシーARPの設定(CLI手順)を参照してください。また、SRX5800 サービス ゲートウェイで VLAN とトランク インターフェイスを使用して、個別の論理インターフェイス設定を設定することもできます。これらの設定は、VLAN やトランク インターフェイスを使用したスタンドアロンの実装と似ています。
図 2 は、この例で使用したトポロジーを示しています。
構成
制御ポートの設定とクラスタ モードの有効化
CLI クイックコンフィギュレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルの [edit] CLI にコピー アンド ペーストして、設定モードから を入力 commit します。
{プライマリ:node0}で
[edit]
set groups re0 system host-name hostA
set groups re0 system backup-router 10.204.191.254
set groups re0 system backup-router destination 10.0.0.0/8
set groups re0 system backup-router destination 172.16.0.0/16
set groups re0 system backup-router destination 192.168.0.0/16
set groups re0 interfaces fxp0 unit 0 family inet address 10.204.149.140/18
set apply-groups re0
set groups re0 system host-name hostB
set groups re0 system backup-router 10.204.191.254
set groups re0 system backup-router destination 10.0.0.0/8
set groups re0 system backup-router destination 172.16.0.0/16
set groups re0 system backup-router destination 192.168.0.0/16
set groups re0 interfaces fxp0 unit 0 family inet address 10.204.149.142/18
set apply-groups re0
set groups node0 system host-name hostA
set groups node0 system backup-router 10.204.191.254
set groups node0 system backup-router destination 10.0.0.0/8
set groups node0 system backup-router destination 172.16.0.0/16
set groups node0 system backup-router destination 192.168.0.0/16
set groups node0 interfaces fxp0 unit 0 family inet address 10.204.149.140/18
set groups node1 system host-name hostB
set groups node1 system backup-router 10.204.191.254
set groups node1 system backup-router destination 10.0.0.0/8
set groups node1 system backup-router destination 172.16.0.0/16
set groups node1 system backup-router destination 192.168.0.0/16
set groups node1 interfaces fxp0 unit 0 family inet address 10.204.149.142/18
set chassis cluster control-ports fpc 1 port 0
set chassis cluster control-ports fpc 13 port 0
set chassis cluster cluster-id 1 node 0 reboot
set chassis cluster cluster-id 1 node 1 reboot
delete apply-groups re0
set apply-groups “${node}”
set chassis cluster reth-count 2
set chassis cluster redundancy-group 0 node 0 priority 254
set chassis cluster redundancy-group 0 node 1 priority 1
set chassis cluster redundancy-group 1 node 0 priority 254
set chassis cluster redundancy-group 1 node 1 priority 1
set interfaces fab0 fabric-options member-interfaces ge-3/2/8
set interfaces fab1 fabric-options member-interfaces ge-15/2/8
(オプション)EX8208コアスイッチを迅速に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に合わせて必要な詳細を変更し、コマンドを 階層レベルの [edit] CLIにコピーアンドペーストして、設定モードから を入力 commit します。
{プライマリ:node0}で
[edit] set interfaces xe-1/0/0 unit 0 family ethernet-switching port-mode access vlan members SRX5800 set interfaces xe-2/0/0 unit 0 family ethernet-switching port-mode access vlan members SRX5800 set interfaces vlan unit 50 family inet address 10.2.2.254/24 set vlans SRX5800 vlan-id 50 set vlans SRX5800 l3-interface vlan.50 set routing-options static route 0.0.0.0/0 next-hop 10.2.2.1/24
(オプション)MX240エッジルーターを迅速に設定するには、以下のコマンドをコピーしてテキストファイルに貼り付け、改行を削除し、ネットワーク設定に合わせて必要な詳細を変更し、コマンドを 階層レベルの [edit] CLIにコピーアンドペーストして、設定モードから を入力 commit します。
{プライマリ:node0}で
[edit] set interfaces xe-1/0/0 encapsulation ethernet-bridge unit 0 family ethernet-switching set interfaces xe-2/0/0 encapsulation ethernet-bridge unit 0 family ethernet-switching set interfaces irb unit 0 family inet address 10.1.1.254/24 set routing-options static route 10.0.0.0/8 next-hop 10.1.1.1 set routing-options static route 0.0.0.0/0 next-hop (upstream router) set vlans SRX5800 vlan-id X (could be set to “none”) set vlans SRX5800 domain-type bridge routing-interface irb.0 set vlans SRX5800 domain-type bridge interface xe-1/0/0 set vlans SRX5800 domain-type bridge interface xe-2/0/0
手順
次の例では、設定階層内のさまざまなレベルに移動する必要があります。
SRX シリーズ デバイスでシャーシ クラスタを設定するには、次の手順に従います。
クラスタ モードでは、コマンドを実行したときにノード間の制御リンクを介して設定が commit 同期されます。コマンドが設定されているデバイスに関係なく、すべてのコマンドが両方のノードに適用されます。
-
デバイスがクラスタ モードで起動した後、バックアップ ノード上で管理アクセスを提供するために、両方のスタンドアロン デバイスをバックアップ ルーター宛先設定に設定します。プライマリ ノードへのアクセスは、プライマリ ノードのルーティングを通じて有効になります。
user@hostA# set groups re0 system host-name hostA user@hostA# set groups re0 system backup-router 10.204.191.254 user@hostA# set groups re0 system backup-router destination 10.0.0.0/8 user@hostA# set groups re0 system backup-router destination 172.16.0.0/16 user@hostA# set groups re0 system backup-router destination 192.168.0.0/16 user@hostA# set groups re0 interfaces fxp0 unit 0 family inet address 10.204.149.140/18 user@hostA# set apply-groups re0
user@hostB# set groups re0 system host-name hostB user@hostB# set groups re0 system backup-router 10.204.191.254 user@hostB# set groups re0 system backup-router destination 10.0.0.0/8 user@hostB# set groups re0 system backup-router destination 172.16.0.0/16 user@hostB# set groups re0 system backup-router destination 192.168.0.0/16 user@hostB# set groups re0 interfaces fxp0 unit 0 family inet address 10.204.149.142/18 user@hostB# set apply-groups re0
-
SRX5000 シリーズ サービス ゲートウェイ シャーシ クラスター構成は、単一の共通構成内に含まれているため、構成の一部の要素を特定のメンバーにのみ割り当てるには、グループと呼ばれる Junos OS ノード固有の構成方法を使用する必要があります。コマンドは
set apply-groups ${node}ノード変数を使用して、グループのノードへの適用方法を定義します。各ノードはその数を認識し、それに応じて設定を受け入れます。また、クラスタの個々のコントロール プレーンに個別の IP アドレスを使用して、SRX5000 シリーズ サービス ゲートウェイの fxp0 インターフェイスでアウトオブバンド管理を設定する必要があります。バックアップ ルーターの宛先アドレスを x.x.x.0/0 として設定することはできません。
user@hostA# set groups node0 system host-name hostA user@hostA# set groups node0 system backup-router 10.204.191.254 user@hostA# set groups node0 system backup-router destination 10.0.0.0/8 user@hostA# set groups node0 system backup-router destination 172.16.0.0/16 user@hostA# set groups node0 system backup-router destination 192.168.0.0/16 user@hostA# set groups node0 interfaces fxp0 unit 0 family inet address 10.204.149.140/18
user@hostB# set groups node1 system host-name hostB user@hostB# set groups node1 system backup-router 10.204.191.254 user@hostB# set groups node1 system backup-router destination 10.0.0.0/8 user@hostB# set groups node1 system backup-router destination 172.16.0.0/16 user@hostB# set groups node1 system backup-router destination 192.168.0.0/16 user@hostB# set groups node1 interfaces fxp0 unit 0 family inet address 10.204.149.142/18
上記のグループノード0とノード1の設定はコミットされますが、適用されません。デバイスがクラスタ内に起動すると、これらのコマンドは. を使用して
set apply-groups “${node}”適用されます。 -
各デバイスの制御ポートを設定し、設定をコミットします。
設定に従って、両方のノード上のSPCカード間に物理的な制御リンク接続があることを確認します。
制御ポートはシャーシ内のSPCの位置に基づいて取得され、オフセット値はプラットフォームに基づきます。以下の例では、SPCが収益スロット1に存在し、SRX5800のオフセットが12であるため、制御ポートは1、13です。シェル モードの コマンドを使用すると、特定のプラットフォームのオフセット値を
“jwhoami -c”表示できます。両方のデバイスで以下のコマンドを入力する必要があります。例えば：-
ノード0:
user@hostA# set chassis cluster control-ports fpc 1 port 0 user@hostA# set chassis cluster control-ports fpc 13 port 0 user@hostA# commit
-
ノード1:
user@hostB# set chassis cluster control-ports fpc 1 port 0 user@hostB# set chassis cluster control-ports fpc 13 port 0 user@hostB# commit
-
-
2台のデバイスをクラスタモードに設定します。クラスタIDとノードIDが設定された後、クラスタモードに入るために再起動が必要です。CLI コマンドラインに パラメーターを含めることで、システムを
reboot自動的に起動させることができます。両方のデバイスで動作モード コマンドを入力する必要があります。例えば：-
ノード0:
user@hostA> set chassis cluster cluster-id 1 node 0 reboot
-
ノード1:
user@hostB> set chassis cluster cluster-id 1 node 1 reboot
クラスタ ID はクラスタ内の両方のデバイスで同じにする必要がありますが、1 台のデバイスがノード 0 で、もう一方のデバイスがノード 1 であるため、ノード ID は異なる必要があります。クラスタIDの範囲は1~255です。クラスタ ID を 0 に設定すると、クラスタの無効化に相当します。ただし、クラスタからノードを分離するために使用
set chassis cluster disableすることをお勧めします。 -
-
以下のコマンドを使用して、プライマリであるノード0を設定します。ノード1は、ノード設定がコミットされるまで到達できません。ノード0は制御ポートからノード1に自動的に設定を同期し、ノード1を明示的に設定する必要はありません。
user@hostA# delete apply-groups re0 user@hostA# set apply-groups “${node}” -
シャーシクラスタリングの冗長性グループを設定します。各ノードには、冗長グループ内のインターフェイスがあり、インターフェイスはアクティブな冗長グループでアクティブです(1つの冗長グループに複数のアクティブなインターフェイスが存在する可能性があります)。リダンダンシー グループ 0 はコントロール プレーンを制御し、冗長グループ 1+ はデータ プレーンを制御し、データ プレーン ポートを含みます。このアクティブ/パッシブ モードの例では、一度に 1 つのシャーシ クラスタ メンバーのみがアクティブであるため、冗長性グループ 0 と 1 のみを定義する必要があります。冗長性グループに加えて、以下も定義する必要があります。
-
冗長イーサネット グループ—デバイス上でアクティブになる冗長イーサネット インターフェイス(メンバー リンク)の数を設定し、システムがそのデバイスに適切なリソースを割り当てることができます。
-
制御プレーンとデータ プレーンの優先度 — コントロール プレーンに対して優先するデバイス(シャーシ クラスタの場合、高優先度が優先される)と、データ プレーンでアクティブにするデバイスを定義します。
-
アクティブ/パッシブまたはアクティブ/アクティブ モードでは、コントロール プレーン(冗長グループ 0)は、データ プレーン(冗長グループ 1+およびグループ)シャーシとは異なるシャーシ上でアクティブにすることができます。ただし、この例では、同じシャーシ メンバー上でコントロール プレーンとデータ プレーンの両方をアクティブにすることをお勧めします。トラフィックがファブリック リンクを通過して別のメンバー ノードに移動すると、遅延が発生します(z ライン モード トラフィック)。
-
SRX シリーズ デバイス(SRX5000 シリーズ)では、IPsec VPN は Z モードのアクティブ/アクティブ シャーシ クラスタ設定(複数の RSA1+ 冗長グループがある場合)ではサポートされていません。
-
user@hostA# set chassis cluster reth-count 2 user@hostA# set chassis cluster redundancy-group 1 node 0 priority 254 user@hostA# set chassis cluster redundancy-group 1 node 1 priority 1 user@hostA# set chassis cluster redundancy-group 0 node 0 priority 254 user@hostA# set chassis cluster redundancy-group 0 node 1 priority 1
-
-
アクティブ/パッシブ モードで RTU を渡すために使用されるクラスタのファブリック(データ)ポートを設定します。この例では、収益ポートの 1 つを使用します。2つのファブリックインターフェイスを定義し、各シャーシに1つずつ接続します。
データ プレーンのフェイルオーバーが発生した場合、他のシャーシ クラスタ メンバーがシームレスに接続を引き継ぐように、プラットフォーム上のデータ インターフェイスを設定します。データ プレーンのフェイルオーバーにより、新しいアクティブ ノードへのシームレスな移行が行われます。制御プレーンのフェイルオーバーの場合、すべてのデーモンが新しいノードで再起動されるため、グレースフルリスタートがピア(ospf、bgp)との隣接関係を失うことを回避することができます。これにより、パケットロスのない新しいノードへのシームレスな移行が促進されます。
以下の項目を定義する必要があります。
-
reth インターフェイスへのメンバー インターフェイスのメンバーシップ情報を定義します。
-
reth インターフェイスがメンバーである冗長性グループを定義します。このアクティブ/パッシブの例では、常に 1 です。
-
インターフェイスの IP アドレスなどの reth インターフェイス情報を定義します。
{primary:node0}[edit]user@hostA# set interfaces fab0 fabric-options member-interfaces ge-3/2/8 user@hostA# set interfaces fab1 fabric-options member-interfaces ge-15/2/8 -
-
(オプション)障害が発生した場合のシャーシ クラスタの動作を設定します。SRX5800 サービス ゲートウェイの場合、フェイルオーバーしきい値は 255 に設定されています。重み付けを変更して、シャーシのフェイルオーバーへの影響を判断できます。また、制御リンクの回復も設定する必要があります。回復により、制御リンクに障害が発生した後、オンラインに戻った場合にセカンダリ ノードが自動的に再起動します。ノード0にこれらのコマンドを入力します。
{primary:node0}[edit]user@hostA# set chassis cluster redundancy-group 1 interface-monitor xe-6/0/0 weight 255 user@hostA# set chassis cluster redundancy-group 1 interface-monitor xe-6/1/0 weight 255 user@hostA# set chassis cluster redundancy-group 1 interface-monitor xe-18/0/0 weight 255 user@hostA# set chassis cluster redundancy-group 1 interface-monitor xe-18/1/0 weight 255 user@hostA# set chassis cluster control-link-recoveryこのステップでは、SRX5800 サービス ゲートウェイのアクティブ/パッシブ モードの例のシャーシ クラスタ設定部分を完了します。この手順の残りの部分では、導入シナリオを完了するためにゾーン、仮想ルーター、ルーティング、EX8208コアスイッチ、MX240エッジルーターを設定する方法について説明します。
-
(オプション)reth インターフェイスを構成し、適切なゾーンと仮想ルーターに接続します。この例では、reth0 および reth1 インターフェイスをデフォルトの仮想ルーター inet.0 のままにします。追加の設定は必要ありません。
{primary:node0}[edit]user@hostA# set security zones security-zone untrust interfaces reth0.0 user@hostA# set security zones security-zone trust interfaces reth1.0 -
(オプション)このアクティブ/パッシブ モードの例では、シンプルなネットワーク アーキテクチャのため、静的ルートを使用して他のネットワーク デバイスへのルーティング方法を定義します。
{primary:node0}[edit]user@hostA# set routing-options static route 0.0.0.0/0 next-hop 10.1.1.254 user@hostA# set routing-options static route 10.0.0.0/8 next-hop 10.2.2.254 -
(オプション)EX8208イーサネットスイッチの場合、以下のコマンドは、SRX5800サービスゲートウェイのこのアクティブ/パッシブモードの例に関連する該当する設定の概要のみを提供します。特に顕著なのは、VLAN、ルーティング、インターフェイス設定です。
{primary:node0}[edit]user@hostA# set interfaces xe-1/0/0 unit 0 family ethernet-switching port-mode access vlan members SRX5800 user@hostA# set interfaces xe-2/0/0 unit 0 family ethernet-switching port-mode access vlan members SRX5800 user@hostA# set interfaces vlan unit 50 family inet address 10.2.2.254/24 user@hostA# set vlans SRX5800 vlan-id 50 user@hostA# set vlans SRX5800 l3-interface vlan.50 user@hostA# set routing-options static route 0.0.0.0/0 next-hop 10.2.2.1/24 -
(オプション)MX240エッジルーターの場合、以下のコマンドは、SRX5800サービスゲートウェイのこのアクティブ/パッシブモードの例に関連する該当する設定の概要のみを提供します。特に注目すべきは、スイッチ上の仮想スイッチ インスタンス内で IRB インターフェイスを使用する必要があります。
{primary:node0}[edit]user@hostA# set interfaces xe-1/0/0 encapsulation ethernet-bridge unit 0 family ethernet-switching user@hostA# set interfaces xe-2/0/0 encapsulation ethernet-bridge unit 0 family ethernet-switching user@hostA# set interfaces irb unit 0 family inet address 10.1.1.254/24 user@hostA# set routing-options static route 10.0.0.0/8 next-hop 10.1.1.1 user@hostA# set routing-options static route 0.0.0.0/0 next-hop (upstream router) user@hostA# set vlans SRX5800 vlan-id X (could be set to “none”) user@hostA# set vlans SRX5800 domain-type bridge routing-interface irb.0 user@hostA# set vlans SRX5800 domain-type bridge interface xe-1/0/0 user@hostA# set vlans SRX5800 domain-type bridge interface xe-2/0/0
検証
設定が正しく機能していることを確認します。
- シャーシ クラスタ ステータスの検証
- シャーシ クラスタ インターフェイスの検証
- シャーシ クラスタ統計情報の検証
- シャーシ クラスタ コントロール プレーン統計情報の検証
- シャーシ クラスタ データ プレーン統計情報の検証
- シャーシ クラスタ冗長性グループ ステータスの検証
- ログを使用したトラブルシューティング
シャーシ クラスタ ステータスの検証
目的
シャーシ クラスタのステータス、フェイルオーバー ステータス、冗長性グループの情報を確認します。
アクション
動作モードから、 コマンドを show chassis cluster status 入力します。
{primary:node0}
show chassis cluster status
Monitor Failure codes:
CS Cold Sync monitoring FL Fabric Connection monitoring
GR GRES monitoring HW Hardware monitoring
IF Interface monitoring IP IP monitoring
LB Loopback monitoring MB Mbuf monitoring
NH Nexthop monitoring NP NPC monitoring
SP SPU monitoring SM Schedule monitoring
CF Config Sync monitoring RE Relinquish monitoring
Cluster ID: 1
Node Priority Status Preempt Manual Monitor-failures
Redundancy group: 0 , Failover count: 1
node0 254 primary no no None
node1 1 secondary no no None
Redundancy group: 1 , Failover count: 1
node0 254 primary no no None
node1 1 secondary no no None
シャーシ クラスタ インターフェイスの検証
目的
シャーシ クラスタ インターフェイスに関する情報を検証します。
アクション
動作モードから、 コマンドを show chassis cluster interfaces 入力します。
{primary:node0}
user@host> show chassis cluster interfaces
Control link status: Up
Control interfaces:
Index Interface Monitored-Status Internal-SA
0 em0 Up Disabled
1 em1 Down Disabled
Fabric link status: Up
Fabric interfaces:
Name Child-interface Status
(Physical/Monitored)
fab0 ge-3/2/8 Up / Up
fab0
fab1 ge-15/2/8 Up / Up
fab1
Redundant-ethernet Information:
Name Status Redundancy-group
reth0 Down Not configured
reth1 Down Not configured
Redundant-pseudo-interface Information:
Name Status Redundancy-group
lo0 Up 0
シャーシ クラスタ統計情報の検証
目的
シャーシ クラスタ サービスおよび制御リンク統計情報(送受信したハートビート)、ファブリック リンク統計(送受信したプローブ)、サービスで送受信した RNO の数に関する情報を検証します。
アクション
動作モードから、 コマンドを show chassis cluster statistics 入力します。
{primary:node0}
user@host> show chassis cluster statistics
Control link statistics:
Control link 0:
Heartbeat packets sent: 16275
Heartbeat packets received: 16072
Heartbeat packet errors: 0
Control link 1:
Heartbeat packets sent: 0
Heartbeat packets received: 0
Heartbeat packet errors: 0
Fabric link statistics:
Child link 0
Probes sent: 30690
Probes received: 9390
Child link 1
Probes sent: 0
Probes received: 0
Services Synchronized:
Service name RTOs sent RTOs received
Translation context 0 0
Incoming NAT 0 0
Resource manager 0 0
DS-LITE create 0 0
Session create 0 0
IPv6 session create 0 0
Session close 0 0
IPv6 session close 0 0
Session change 0 0
IPv6 session change 0 0
ALG Support Library 0 0
Gate create 0 0
Session ageout refresh requests 0 0
IPv6 session ageout refresh requests 0 0
Session ageout refresh replies 0 0
IPv6 session ageout refresh replies 0 0
IPSec VPN 0 0
Firewall user authentication 0 0
MGCP ALG 0 0
H323 ALG 0 0
SIP ALG 0 0
SCCP ALG 0 0
PPTP ALG 0 0
JSF PPTP ALG 0 0
RPC ALG 0 0
RTSP ALG 0 0
RAS ALG 0 0
MAC address learning 0 0
GPRS GTP 0 0
GPRS SCTP 0 0
GPRS FRAMEWORK 0 0
JSF RTSP ALG 0 0
JSF SUNRPC MAP 0 0
JSF MSRPC MAP 0 0
DS-LITE delete 0 0
JSF SLB 0 0
APPID 0 0
JSF MGCP MAP 0 0
JSF H323 ALG 0 0
JSF RAS ALG 0 0
JSF SCCP MAP 0 0
JSF SIP MAP 0 0
PST_NAT_CREATE 0 0
PST_NAT_CLOSE 0 0
PST_NAT_UPDATE 0 0
JSF TCP STACK 0 0
JSF IKE ALG 0 0
シャーシ クラスタ コントロール プレーン統計情報の検証
目的
シャーシ クラスタ コントロール プレーン統計情報(送受信したハートビート)とファブリック リンク統計(送受信したプローブ)に関する情報を検証します。
アクション
動作モードから、 コマンドを show chassis cluster control-plane statistics 入力します。
{primary:node0}
user@host> show chassis cluster control-plane statistics
Control link statistics:
Control link 0:
Heartbeat packets sent: 16315
Heartbeat packets received: 16113
Heartbeat packet errors: 0
Control link 1:
Heartbeat packets sent: 0
Heartbeat packets received: 0
Heartbeat packet errors: 0
Fabric link statistics:
Child link 0
Probes sent: 30772
Probes received: 9472
Child link 1
Probes sent: 0
Probes received: 0
シャーシ クラスタ データ プレーン統計情報の検証
目的
サービスで送受信されるRNOの数に関する情報を検証します。
アクション
動作モードから、 コマンドを show chassis cluster data-plane statistics 入力します。
{primary:node0}
user@host> show chassis cluster data-plane statistics
Services Synchronized:
Service name RTOs sent RTOs received
Translation context 0 0
Incoming NAT 0 0
Resource manager 0 0
DS-LITE create 0 0
Session create 0 0
IPv6 session create 0 0
Session close 0 0
IPv6 session close 0 0
Session change 0 0
IPv6 session change 0 0
ALG Support Library 0 0
Gate create 0 0
Session ageout refresh requests 0 0
IPv6 session ageout refresh requests 0 0
Session ageout refresh replies 0 0
IPv6 session ageout refresh replies 0 0
IPSec VPN 0 0
Firewall user authentication 0 0
MGCP ALG 0 0
H323 ALG 0 0
SIP ALG 0 0
SCCP ALG 0 0
PPTP ALG 0 0
JSF PPTP ALG 0 0
RPC ALG 0 0
RTSP ALG 0 0
RAS ALG 0 0
MAC address learning 0 0
GPRS GTP 0 0
GPRS SCTP 0 0
GPRS FRAMEWORK 0 0
JSF RTSP ALG 0 0
JSF SUNRPC MAP 0 0
JSF MSRPC MAP 0 0
DS-LITE delete 0 0
JSF SLB 0 0
APPID 0 0
JSF MGCP MAP 0 0
JSF H323 ALG 0 0
JSF RAS ALG 0 0
JSF SCCP MAP 0 0
JSF SIP MAP 0 0
PST_NAT_CREATE 0 0
PST_NAT_CLOSE 0 0
PST_NAT_UPDATE 0 0
JSF TCP STACK 0 0
JSF IKE ALG 0 0
シャーシ クラスタ冗長性グループ ステータスの検証
目的
クラスター内の両方のノードの状態と優先度、およびプライマリ ノードがプリエンプトされたかどうか、または手動フェイルオーバーが行われているかどうかに関する情報を検証します。
アクション
動作モードから、 コマンドを chassis cluster status redundancy-group 入力します。
{primary:node0}
user@host> show chassis cluster status redundancy-group 1
Monitor Failure codes:
CS Cold Sync monitoring FL Fabric Connection monitoring
GR GRES monitoring HW Hardware monitoring
IF Interface monitoring IP IP monitoring
LB Loopback monitoring MB Mbuf monitoring
NH Nexthop monitoring NP NPC monitoring
SP SPU monitoring SM Schedule monitoring
CF Config Sync monitoring RE Relinquish monitoring
Cluster ID: 1
Node Priority Status Preempt Manual Monitor-failures
Redundancy group: 1 , Failover count: 1
node0 254 primary no no None
node1 1 secondary no no None
例:アクティブ/パッシブシャーシクラスタペアの設定(SRX1500)
この例では、SRX1500デバイスにアクティブ/パッシブシャーシクラスタリングを設定する方法を示しています。
要件
開始する前に、以下を行います。
1組のデバイスを物理的に接続して、同じモデルであることを確認します。
1台のデバイス上のギガビットイーサネットインターフェイスを、もう一方のデバイス上の別のギガビットイーサネットインターフェイスに接続することで、ファブリックリンクを作成します。
2 台の SRX1500 デバイスのコントロール ポートを接続して、コントロール リンクを作成します。
コンソール ポートを使用して、いずれかのデバイスに接続します。(これはクラスタを形成するノードです)。クラスタIDとノード番号を設定します。
user@host> set chassis cluster cluster-id 1 node 0 reboot
コンソール ポートを使用して他のデバイスに接続し、クラスタ ID とノード番号を設定します。
user@host> set chassis cluster cluster-id 1 node 1 reboot
概要
この例では、クラスタ内の単一のデバイスを使用してすべてのトラフィックをルーティングし、もう一方のデバイスは障害が発生した場合にのみ使用されます。( 図 3 を参照)。障害が発生すると、バックアップ デバイスがプライマリになり、すべての転送を制御します。
同じ冗長グループに割り当てられた冗長イーサネット インターフェイス(reths)を設定することで、アクティブ/パッシブ シャーシ クラスタを作成できます。この設定では、クラスタ内の 1 つのノードのみがいつでもトラフィックを転送するため、ファブリック リンク上のトラフィックが最小限に抑えられます。
この例では、グループ(コマンドで設定を適用)とシャーシクラスタ情報を apply-groups 設定します。次に、セキュリティゾーンとセキュリティポリシーを設定します。 表 1 ~ 表 4 を参照してください。
機能 |
名前 |
設定パラメータ |
|---|---|---|
グループ |
node0 |
|
|
node1 |
|
機能 |
名前 |
設定パラメータ |
|---|---|---|
ファブリック リンク |
fab0 |
インターフェイス:ge-0/0/1 |
|
fab1 |
インターフェイス:ge-7/0/1 |
ハートビート間隔 |
– |
1000 |
ハートビートのしきい値 |
– |
3 |
リダンダンシー グループ |
0 |
|
|
1 |
|
|
|
インターフェイス監視
|
冗長イーサネット インターフェイス数 |
– |
2 |
インターフェイス |
ge-0/0/4 |
冗長親: reth0 |
ge-7/0/4 |
冗長親: reth0 |
|
ge-0/0/5 |
冗長親:reth1 |
|
ge-7/0/5 |
冗長親:reth1 |
|
reth0 |
冗長性グループ:1 |
|
|
||
reth1 |
冗長性グループ:1 |
|
|
名前 |
設定パラメータ |
|---|---|
信頼 |
reth1.0インターフェイスは、このゾーンにバインドされています。 |
untrust |
reth0.0インターフェイスは、このゾーンにバインドされています。 |
目的 |
名前 |
設定パラメータ |
|---|---|---|
このセキュリティポリシーは、trustゾーンからtrustゾーンへのトラフィックを許可します。 |
任意 |
|
構成
手順
CLI クイックコンフィギュレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルの [edit] CLI にコピー アンド ペーストして、設定モードから を入力 commit します。
[edit]
set groups node0 system host-name srx1500-A
set groups node0 interfaces fxp0 unit 0 family inet address 192.0.2.110/24
set groups node1 system host-name srx1500-B
set groups node1 interfaces fxp0 unit 0 family inet address 192.0.2.111/24
set apply-groups “${node}”
set interfaces fab0 fabric-options member-interfaces ge-0/0/1
set interfaces fab1 fabric-options member-interfaces ge-7/0/1
set chassis cluster heartbeat-interval 1000
set chassis cluster heartbeat-threshold 3
set chassis cluster redundancy-group 0 node 0 priority 100
set chassis cluster redundancy-group 0 node 1 priority 1
set chassis cluster redundancy-group 1 node 0 priority 100
set chassis cluster redundancy-group 1 node 1 priority 1
set chassis cluster redundancy-group 1 interface-monitor ge-0/0/4 weight 255
set chassis cluster redundancy-group 1 interface-monitor ge-7/0/4 weight 255
set chassis cluster redundancy-group 1 interface-monitor ge-0/0/5 weight 255
set chassis cluster redundancy-group 1 interface-monitor ge-7/0/5 weight 255
set chassis cluster reth-count 2
set interfaces ge-0/0/5 gigether-options redundant-parent reth1
set interfaces ge-7/0/5 gigether-options redundant-parent reth1
set interfaces ge-0/0/4 gigether-options redundant-parent reth0
set interfaces ge-7/0/4 gigether-options redundant-parent reth0
set interfaces reth0 redundant-ether-options redundancy-group 1
set interfaces reth0 unit 0 family inet address 198.51.100.1/24
set interfaces reth1 redundant-ether-options redundancy-group 1
set interfaces reth1 unit 0 family inet address 203.0.113.233/24
set security zones security-zone untrust interfaces reth1.0
set security zones security-zone trust interfaces reth0.0
set security policies from-zone trust to-zone untrust policy ANY match source-address any
set security policies from-zone trust to-zone untrust policy ANY match destination-address any
set security policies from-zone trust to-zone untrust policy ANY match application any
set security policies from-zone trust to-zone untrust policy ANY then permit
手順
アクティブ/パッシブ シャーシ クラスタを設定するには:
管理インターフェイスを設定します。
{primary:node0}[edit] user@host# set groups node0 system host-name srx1500-A user@host# set groups node0 interfaces fxp0 unit 0 family inet address 192.0.2.110/24 user@host# set groups node1 system host-name srx1500-B user@host# set groups node1 interfaces fxp0 unit 0 family inet address 192.0.2.111/24 user@host# set apply-groups “${node}”ファブリックインターフェイスを設定します。
{primary:node0}[edit] user@host# set interfaces fab0 fabric-options member-interfaces ge-0/0/1 user@host# set interfaces fab1 fabric-options member-interfaces ge-7/0/1ハートビート設定を構成します。
{primary:node0}[edit] user@host# set chassis cluster heartbeat-interval 1000 user@host# set chassis cluster heartbeat-threshold 3冗長性グループを設定します。
{primary:node0}[edit] user@host# set chassis cluster redundancy-group 0 node 0 priority 100 user@host# set chassis cluster redundancy-group 0 node 1 priority 1 user@host# set chassis cluster redundancy-group 1 node 0 priority 100 user@host# set chassis cluster redundancy-group 1 node 1 priority 1 user@host# set chassis cluster redundancy-group 1 interface-monitor ge-0/0/4 weight 255 user@host# set chassis cluster redundancy-group 1 interface-monitor ge-7/0/4 weight 255 user@host# set chassis cluster redundancy-group 1 interface-monitor ge-0/0/5 weight 255 user@host# set chassis cluster redundancy-group 1 interface-monitor ge-7/0/5 weight 255冗長イーサネット インターフェイスを設定します。
{primary:node0}[edit] user@host# set chassis cluster reth-count 2 user@host# set interfaces ge-0/0/5 gigether-options redundant-parent reth1 user@host# set interfaces ge-7/0/5 gigether-options redundant-parent reth1 user@host# set interfaces ge-0/0/4 gigether-options redundant-parent reth0 user@host# set interfaces ge-7/0/4 gigether-options redundant-parent reth0 user@host# set interfaces reth0 redundant-ether-options redundancy-group 1 user@host# set interfaces reth0 unit 0 family inet address 198.51.100.1/24 user@host# set interfaces reth1 redundant-ether-options redundancy-group 1 user@host# set interfaces reth1 unit 0 family inet address 203.0.113.233/24セキュリティ ゾーンを設定します。
{primary:node0}[edit] user@host# set security zones security-zone untrust interfaces reth1.0 user@host# set security zones security-zone trust interfaces reth0.0セキュリティポリシーを設定します。
{primary:node0}[edit] user@host# set security policies from-zone trust to-zone untrust policy ANY match source-address any user@host# set security policies from-zone trust to-zone untrust policy ANY match destination-address any user@host# set security policies from-zone trust to-zone untrust policy ANY match application any user@host# set security policies from-zone trust to-zone untrust policy ANY then permit
結果
設定モードから、 コマンドを入力して設定を show configuration 確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
簡潔にするために、この show コマンド出力には、この例に関連する設定のみが含まれています。システム上の他の設定はすべて省略記号(...)で置き換えられました。
user@host> show configuration
version x.xx.x;
groups {
node0 {
system {
host-name srx1500-A;
}
interfaces {
fxp0 {
unit 0 {
family inet {
address 192.0.2.110/24;
}
}
}
}
}
node1 {
system {
host-name srx1500-B;
interfaces {
fxp0 {
unit 0 {
family inet {
address 192.0.2.110/24;
}
}
}
}
}
}
apply-groups "${node}";
chassis {
cluster {
reth-count 2;
heartbeat-interval 1000;
heartbeat-threshold 3;
redundancy-group 0 {
node 0 priority 100;
node 1 priority 1;
}
redundancy-group 1 {
node 0 priority 100;
node 1 priority 1;
interface-monitor {
ge–0/0/4 weight 255;
ge–7/0/4 weight 255;
ge–0/0/5 weight 255;
ge–7/0/5 weight 255;
}
}
}
}
interfaces {
ge–0/0/4 {
gigether–options {
redundant–parent reth0;
}
}
ge–7/0/4{
gigether–options {
redundant–parent reth0;
}
}
ge–0/0/5 {
gigether–options {
redundant–parent reth1;
}
}
ge–7/0/5 {
gigether–options {
redundant–parent reth1;
}
}
fab0 {
fabric–options {
member–interfaces {
ge–0/0/1;
}
}
}
fab1 {
fabric–options {
member–interfaces {
ge–7/0/1;
}
}
}
reth0 {
redundant–ether–options {
redundancy–group 1;
}
unit 0 {
family inet {
address 198.51.100.1/24;
}
}
}
reth1 {
redundant–ether–options {
redundancy–group 1;
}
unit 0 {
family inet {
address 203.0.113.233/24;
}
}
}
}
...
security {
zones {
security–zone untrust {
interfaces {
reth1.0;
}
}
security–zone trust {
interfaces {
reth0.0;
}
}
}
policies {
from-zone trust to-zone untrust {
policy ANY {
match {
source-address any;
destination-address any;
application any;
}
then {
permit;
}
}
}
}
}
デバイスの設定が完了したら、設定モードから を入力します commit 。
検証
設定が正しく機能していることを確認します。
- シャーシ クラスタ ステータスの検証
- シャーシ クラスタ インターフェイスの検証
- シャーシ クラスタ統計情報の検証
- シャーシ クラスタ コントロール プレーン統計情報の検証
- シャーシ クラスタ データ プレーン統計情報の検証
- シャーシ クラスタ冗長性グループ ステータスの検証
- ログを使用したトラブルシューティング
シャーシ クラスタ ステータスの検証
目的
シャーシ クラスタのステータス、フェイルオーバー ステータス、冗長性グループの情報を確認します。
アクション
動作モードから、 コマンドを show chassis cluster status 入力します。
{primary:node0}
user@host> show chassis cluster status
Cluster ID: 1
Node Priority Status Preempt Manual failover
Redundancy group: 0 , Failover count: 1
node0 100 primary no no
node1 1 secondary no no
Redundancy group: 1 , Failover count: 1
node0 100 primary no no
node1 1 secondary no no
シャーシ クラスタ インターフェイスの検証
目的
シャーシ クラスタ インターフェイスに関する情報を検証します。
アクション
動作モードから、 コマンドを show chassis cluster interfaces 入力します。
{primary:node0}
user@host> show chassis cluster interfaces
Control link status: Up
Control interfaces:
Index Interface Monitored-Status Security
0 em0 Up Disabled
1 em1 Down Disabled
Fabric link status: Up
Fabric interfaces:
Name Child-interface Status Security
fab0 ge-0/0/1 Up Disabled
fab0
fab1 ge-7/0/1 Up Disabled
fab1
Redundant-ethernet Information:
Name Status Redundancy-group
reth0 Up 1
reth1 Up 1
Redundant-pseudo-interface Information:
Name Status Redundancy-group
lo0 Up 1
Interface Monitoring:
Interface Weight Status Redundancy-group
ge-0/0/4 255 Up 1
ge-7/0/4 255 Up 1
ge-0/0/5 255 Up 1
ge-7/0/5 255 Up 1
シャーシ クラスタ統計情報の検証
目的
同期するさまざまなオブジェクトの統計情報、ファブリックと制御インターフェイスhello、クラスタ内の監視対象インターフェイスのステータスに関する情報を検証します。
アクション
動作モードから、 コマンドを show chassis cluster statistics 入力します。
{primary:node0}
user@host> show chassis cluster statistics
Control link statistics:
Control link 0:
Heartbeat packets sent: 2276
Heartbeat packets received: 2280
Heartbeat packets errors: 0
Fabric link statistics:
Child link 0
Probes sent: 2272
Probes received: 597
Services Synchronized:
Service name RTOs sent RTOs received
Translation context 0 0
Incoming NAT 0 0
Resource manager 6 0
Session create 161 0
Session close 148 0
Session change 0 0
Gate create 0 0
Session ageout refresh requests 0 0
Session ageout refresh replies 0 0
IPSec VPN 0 0
Firewall user authentication 0 0
MGCP ALG 0 0
H323 ALG 0 0
SIP ALG 0 0
SCCP ALG 0 0
PPTP ALG 0 0
RPC ALG 0 0
RTSP ALG 0 0
RAS ALG 0 0
MAC address learning 0 0
GPRS GTP 0 0
シャーシ クラスタ コントロール プレーン統計情報の検証
目的
シャーシ クラスタ コントロール プレーン統計情報(送受信したハートビート)とファブリック リンク統計(送受信したプローブ)に関する情報を検証します。
アクション
動作モードから、 コマンドを show chassis cluster control-plane statistics 入力します。
{primary:node0}
user@host> show chassis cluster control-plane statistics
Control link statistics:
Control link 0:
Heartbeat packets sent: 258689
Heartbeat packets received: 258684
Heartbeat packets errors: 0
Fabric link statistics:
Child link 0
Probes sent: 258681
Probes received: 258681
シャーシ クラスタ データ プレーン統計情報の検証
目的
サービスで送受信されるRNOの数に関する情報を検証します。
アクション
動作モードから、 コマンドを show chassis cluster data-plane statistics 入力します。
{primary:node0}
user@host> show chassis cluster data-plane statistics
Services Synchronized:
Service name RTOs sent RTOs received
Translation context 0 0
Incoming NAT 0 0
Resource manager 6 0
Session create 161 0
Session close 148 0
Session change 0 0
Gate create 0 0
Session ageout refresh requests 0 0
Session ageout refresh replies 0 0
IPSec VPN 0 0
Firewall user authentication 0 0
MGCP ALG 0 0
H323 ALG 0 0
SIP ALG 0 0
SCCP ALG 0 0
PPTP ALG 0 0
RPC ALG 0 0
RTSP ALG 0 0
RAS ALG 0 0
MAC address learning 0 0
GPRS GTP 0 0
シャーシ クラスタ冗長性グループ ステータスの検証
目的
クラスター内の両方のノードの状態と優先度、およびプライマリ ノードがプリエンプトされたかどうか、または手動フェイルオーバーが行われているかどうかに関する情報を検証します。
アクション
動作モードから、 コマンドを chassis cluster status redundancy-group 入力します。
{primary:node0}
user@host> show chassis cluster status redundancy-group 1
Cluster ID: 1
Node Priority Status Preempt Manual failover
Redundancy-Group: 1, Failover count: 1
node0 100 primary no no
node1 1 secondary no no
例:アクティブ/パッシブ シャーシ クラスタ ペアの設定(J-Web)
クラスタリングを有効にします。 例: CLI(アクティブ/パッシブ シャーシ クラスタ ペア)の設定のステップ 1 を参照してください。
管理インターフェイスを設定します。 例: CLI(アクティブ/パッシブ シャーシ クラスタ ペア)の設定のステップ 2 を参照してください。
ファブリックインターフェイスを設定します。 例: CLI(アクティブ/パッシブ シャーシ クラスタ ペア)の設定のステップ 3 を参照してください。
冗長性グループを設定します。
を選択します
Configure>Chassis Cluster。次の情報を入力し、 をクリックします
Apply。冗長 ether-Interface Count:
2ハートビート間隔:
1000ハートビートしきい値:
3ノード：
0グループ番号:
0優先 順位：
100
次の情報を入力し、 をクリックします
Apply。ノード：
0グループ番号:
1優先 順位：
1
次の情報を入力し、 をクリックします
Apply。ノード：
1グループ番号:
0優先 順位：
100
冗長イーサネット インターフェイスを設定します。
を選択します
Configure>Chassis Cluster。を選択します
ge-0/0/4。冗長親ボックスに を入力
reth1します。をクリックします
Apply。を選択します
ge-7/0/4。冗長親ボックスに を入力
reth1します。をクリックします
Apply。を選択します
ge-0/0/5。冗長親ボックスに を入力
reth0します。をクリックします
Apply。を選択します
ge-7/0/5。冗長親ボックスに を入力
reth0します。をクリックします
Apply。過去 4 つの設定については、「 例: アクティブ/パッシブ シャーシ クラスタ ペア(CLI) の設定」のステップ 5 を参照してください。
セキュリティ ゾーンを設定します。 例: CLI(アクティブ/パッシブ シャーシ クラスタ ペア)の設定のステップ 6 を参照してください。
セキュリティ ポリシーを設定します。 例: CLI(アクティブ/パッシブ シャーシ クラスタ ペア)の設定のステップ 7 を参照してください。
をクリック
OKして構成を確認し、候補の構成として保存してから、 [>Commit] をクリックしますCommit Options。
「」も参照
IPsec トンネルを使用したアクティブ/パッシブ シャーシ クラスタの導入について
この場合、クラスタ内の単一のデバイスはIPsecトンネルで終端し、すべてのトラフィックの処理に使用され、もう一方のデバイスは障害が発生した場合にのみ使用されます( 図4を参照)。障害が発生すると、バックアップ デバイスがプライマリになり、すべての転送を制御します。
アクティブ/パッシブ シャーシクラスタ は、すべて同じ冗長グループに割り当てられた冗長イーサネットインターフェイス(reths)を使用することで実現できます。ノード内のアクティブなグループ内のインターフェイスのいずれかに障害が発生した場合、グループは非アクティブと宣言され、グループ内のすべてのインターフェイスが他のノードにフェールオーバーします。
この構成により、サイト間 IPsec トンネルが、冗長イーサネット インターフェイスがトンネル エンドポイントとして使用されるアクティブ/パッシブ クラスターで終端できます。障害が発生した場合、バックアップSRXシリーズデバイスの冗長イーサネットインターフェイスがアクティブになり、トンネルが新しいアクティブなSRXシリーズデバイスでエンドポイントを強制的に終了するように変更します。トンネルキーとセッション情報はシャーシクラスタのメンバー間で同期されるため、フェイルオーバーでトンネルを再ネゴシエートする必要がなく、確立されたすべてのセッションが維持されます。
RG0(ルーティング エンジン)に障害が発生した場合、ルーティング プロトコルは新しいプライマリ ノードで再確立する必要があります。VPN監視またはデッドピア検出が設定されており、新しいRG0プライマリでのルーティング再コンバージェンスの前にタイマーが終了した場合、VPNトンネルはダウンして再ネゴシエートされます。
動的トンネルは、異なるSPC間で負荷分散できません。
「」も参照
例:IPsecトンネルを使用したアクティブ/パッシブシャーシクラスタペアの設定
この例では、SRX シリーズ デバイスの IPsec トンネルを使用してアクティブ/パッシブ シャーシ クラスタリングを設定する方法を示します。
要件
開始する前に、以下を行います。
同一のハードウェア構成、1台のSRX1500デバイス、4台のEXシリーズイーサネットスイッチを備えた2つのSRX5000モデルを入手できます。
2台のデバイスを物理的に接続し(ファブリックとコントロールポートの場合はバックツーバック)、それらが同じモデルであることを確認します。SRX5000 シリーズでは、ファブリックとコントロール ポートの両方を設定できます。
2台のデバイスをクラスタモードに設定し、デバイスを再起動します。例えば、以下のように、両方のデバイスに以下の動作モードコマンドを入力する必要があります。
ノード0:
user@host> set chassis cluster cluster-id 1 node 0 reboot
ノード1:
user@host> set chassis cluster cluster-id 1 node 1 reboot
クラスタIDは両方のデバイスで同じですが、1台のデバイスがノード0で、もう一方のデバイスがノード1であるため、ノードIDは異なる必要があります。クラスタIDの範囲は1~255です。クラスタ ID を 0 に設定すると、クラスタの無効化に相当します。
15 を超えるクラスター ID を設定できるのは、ファブリックと制御リンク インターフェイスがバックツーバックで接続されている場合のみです。
同一のハードウェア構成、1台のSRX1500エッジルーター、4台のEXシリーズイーサネットスイッチを備えた2つのSRX5000モデルを入手できます。
2台のデバイスを物理的に接続し(ファブリックとコントロールポートの場合はバックツーバック)、それらが同じモデルであることを確認します。SRX5000 シリーズでは、ファブリックとコントロール ポートの両方を設定できます。
この時点から、ノードメンバー間でクラスタの設定が同期され、2つの個別のデバイスが1つのデバイスとして機能します。メンバー固有の設定(各メンバーの管理ポートのIPアドレスなど)は、設定グループを使用して入力されます。
概要
この例では、クラスタ内の単一のデバイスはIPsecトンネルで終端し、すべてのトラフィックの処理に使用され、もう一方のデバイスは障害が発生した場合にのみ使用されます。( 図 5 を参照)。障害が発生すると、バックアップ デバイスがプライマリになり、すべての転送を制御します。
この例では、グループ(コマンドで設定を適用)とシャーシクラスタ情報を apply-groups 設定します。次に、IKE、IPsec、静的ルート、セキュリティゾーン、セキュリティポリシーの各パラメーターを設定します。 表 5 ~ 表 11 を参照してください。
機能 |
名前 |
設定パラメータ |
|---|---|---|
グループ |
node0 |
|
|
node1 |
|
機能 |
名前 |
設定パラメータ |
|---|---|---|
ファブリック リンク |
fab0 |
インターフェイス:xe-5/3/0 |
|
fab1 |
インターフェイス:xe-17/3/0 |
冗長イーサネット インターフェイス数 |
– |
2 |
ハートビート間隔 |
– |
1000 |
ハートビートのしきい値 |
– |
3 |
リダンダンシー グループ |
0 |
|
|
1 |
|
|
|
インターフェイス監視
|
インターフェイス |
xe-5/1/0 |
冗長親:reth1 |
|
xe-5/1/0 |
冗長親:reth1 |
|
xe-5/0/0 |
冗長親: reth0 |
|
xe-17/0/0 |
冗長親: reth0 |
|
reth0 |
冗長性グループ:1 |
|
|
|
|
reth1 |
冗長性グループ:1 |
|
|
|
|
st0 |
|
|
|
|
機能 |
名前 |
設定パラメータ |
|---|---|---|
提案 |
プロポーザルセット標準 |
- |
ポリシー |
事前共有 |
|
ゲートウェイ |
SRX1500-1 |
メモ：
SRXシャーシクラスタリングでは、IKE外部インターフェイス設定では、rethおよびlo0インターフェイスのみがサポートされます。その他のインターフェイス タイプは設定できますが、IPsec VPN が機能しない場合があります。lo0 論理インターフェイスが IKE ゲートウェイ外部インターフェイスとして使用されている場合、それはRG0 で設定できません。 |
機能 |
名前 |
設定パラメータ |
|---|---|---|
提案 |
プロポーザルセット標準 |
– |
ポリシー |
Std |
– |
Vpn |
SRX1500-1 |
メモ：
手動 VPN 名とサイト間ゲートウェイ名を同じにすることはできません。 |
st0.16000 から st0.16385 までのセキュア トンネル インターフェイス(st0)は、マルチノードの高可用性とシャーシ クラスターでの HA 制御リンク暗号化用に予約されています。これらのインターフェイスは、ユーザーが設定できるインターフェイスではありません。インターフェイスは st0.0 から st0.15999 までのみ使用できます。
名前 |
設定パラメータ |
|---|---|
0.0.0.0/0 |
ネクスト ホップ:10.2.1.1 |
10.3.0.0/16 |
ネクスト ホップ:10.10.1.2 |
名前 |
設定パラメータ |
|---|---|
信頼 |
|
untrust |
|
Vpn |
|
目的 |
名前 |
設定パラメータ |
|---|---|---|
このセキュリティポリシーは、trustゾーンからtrustゾーンへのトラフィックを許可します。 |
任意 |
|
このセキュリティポリシーは、trustゾーンからvpnゾーンへのトラフィックを許可します。 |
vpn-any |
|
構成
手順
CLI クイックコンフィギュレーション
この例を迅速に設定するには、以下のコマンドをコピーしてテキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを 階層レベルの [edit] CLI にコピー アンド ペーストして、設定モードから を入力 commit します。
{primary:node0}[edit]
set chassis cluster control-ports fpc 2 port 0
set chassis cluster control-ports fpc 14 port 0
set groups node0 system host-name SRX5800-1
set groups node0 interfaces fxp0 unit 0 family inet address 172.19.100.50/24
set groups node1 system host-name SRX5800-2
set groups node1 interfaces fxp0 unit 0 family inet address 172.19.100.51/24
set apply-groups “${node}”
set interfaces fab0 fabric-options member-interfaces xe-5/3/0
set interfaces fab1 fabric-options member-interfaces xe-17/3/0
set chassis cluster reth-count 2
set chassis cluster heartbeat-interval 1000
set chassis cluster heartbeat-threshold 3
set chassis cluster node 0
set chassis cluster node 1
set chassis cluster redundancy-group 0 node 0 priority 254
set chassis cluster redundancy-group 0 node 1 priority 1
set chassis cluster redundancy-group 1 node 0 priority 254
set chassis cluster redundancy-group 1 node 1 priority 1
set chassis cluster redundancy-group 1 preempt
set chassis cluster redundancy-group 1 interface-monitor xe-5/0/0 weight 255
set chassis cluster redundancy-group 1 interface-monitor xe-5/1/0 weight 255
set chassis cluster redundancy-group 1 interface-monitor xe-17/0/0 weight 255
set chassis cluster redundancy-group 1 interface-monitor xe-17/1/0 weight 255
set interfaces xe-5/1/0 gigether-options redundant-parent reth1
set interfaces xe-17/1/0 gigether-options redundant-parent reth1
set interfaces xe-5/0/0 gigether-options redundant-parent reth0
set interfaces xe-17/0/0 gigether-options redundant-parent reth0
set interfaces reth0 redundant-ether-options redundancy-group 1
set interfaces reth0 unit 0 family inet address 10.1.1.60/16
set interfaces reth1 redundant-ether-options redundancy-group 1
set interfaces reth1 unit 0 family inet address 10.2.1.60/16
set interfaces st0 unit 0 multipoint family inet address 10.10.1.1/30
set security ike policy preShared mode main
set security ike policy preShared proposal-set standard
set security ike policy preShared pre-shared-key ascii-text "$ABC123"## Encrypted password
set security ike gateway SRX1500-1 ike-policy preShared
set security ike gateway SRX1500-1 address 10.1.1.90
set security ike gateway SRX1500-1 external-interface reth0.0
set security ipsec policy std proposal-set standard
set security ipsec vpn SRX1500-1 bind-interface st0.0
set security ipsec vpn SRX1500-1 vpn-monitor optimized
set security ipsec vpn SRX1500-1 ike gateway SRX1500-1
set security ipsec vpn SRX1500-1 ike ipsec-policy std
set security ipsec vpn SRX1500-1 establish-tunnels immediately
set routing-options static route 0.0.0.0/0 next-hop 10.2.1.1
set routing-options static route 10.3.0.0/16 next-hop 10.10.1.2
set security zones security-zone untrust host-inbound-traffic system-services all
set security zones security-zone untrust host-inbound-traffic protocols all
set security zones security-zone untrust interfaces reth1.0
set security zones security-zone trust host-inbound-traffic system-services all
set security zones security-zone trust host-inbound-traffic protocols all
set security zones security-zone trust interfaces reth0.0
set security zones security-zone vpn host-inbound-traffic system-services all 144
set security zones security-zone vpn host-inbound-traffic protocols all
set security zones security-zone vpn interfaces st0.0
set security policies from-zone trust to-zone untrust policy ANY match source-address any
set security policies from-zone trust to-zone untrust policy ANY match destination-address any
set security policies from-zone trust to-zone untrust policy ANY match application any
set security policies from-zone trust to-zone vpn policy vpn-any then permit
手順
IPsecトンネルでアクティブ/パッシブシャーシクラスタペアを設定するには:
制御ポートを設定します。
{primary:node0}[edit] user@host# set chassis cluster control-ports fpc 2 port 0 user@host# set chassis cluster control-ports fpc 14 port 0管理インターフェイスを設定します。
{primary:node0}[edit] user@host# set groups node0 system host-name SRX5800-1 user@host# set groups node0 interfaces fxp0 unit 0 family inet address 172.19.100.50/24 user@host#set groups node1 system host-name SRX5800-2 user@host# set groups node1 interfaces fxp0 unit 0 family inet address 172.19.100.51/24 user@host# set apply-groups “${node}”ファブリックインターフェイスを設定します。
{primary:node0}[edit] user@host# set interfaces fab0 fabric-options member-interfaces xe-5/3/0 user@host# set interfaces fab1 fabric-options member-interfaces xe-17/3/0冗長性グループを設定します。
{primary:node0}[edit] user@host# set chassis cluster reth-count 2 user@host# set chassis cluster heartbeat-interval 1000 user@host# set chassis cluster heartbeat-threshold 3 user@host# set chassis cluster node 0 user@host# set chassis cluster node 1 user@host# set chassis cluster redundancy-group 0 node 0 priority 254 user@host# set chassis cluster redundancy-group 0 node 1 priority 1 user@host# set chassis cluster redundancy-group 1 node 0 priority 254 user@host# set chassis cluster redundancy-group 1 node 1 priority 1 user@host# set chassis cluster redundancy-group 1 preempt user@host# set chassis cluster redundancy-group 1 interface-monitor xe-5/0/0 weight 255 user@host# set chassis cluster redundancy-group 1 interface-monitor xe-5/1/0 weight 255 user@host# set chassis cluster redundancy-group 1 interface-monitor xe-17/0/0 weight 255 user@host# set chassis cluster redundancy-group 1 interface-monitor xe-17/1/0 weight 255冗長イーサネット インターフェイスを設定します。
{primary:node0}[edit] user@host# set interfaces xe-5/1/0 gigether-options redundant-parent reth1 user@host# set interfaces xe-17/1/0 gigether-options redundant-parent reth1 user@host# set interfaces xe-5/0/0 gigether-options redundant-parent reth0 user@host# set interfaces xe-17/0/0 gigether-options redundant-parent reth0 user@host# set interfaces reth0 redundant-ether-options redundancy-group 1 user@host# set interfaces reth0 unit 0 family inet address 10.1.1.60/16 user@host# set interfaces reth1 redundant-ether-options redundancy-group 1 user@host# set interfaces reth1 unit 0 family inet address 10.2.1.60/16IPsecパラメーターを設定します。
{primary:node0}[edit] user@host# set interfaces st0 unit 0 multipoint family inet address 10.10.1.1/30 user@host# set security ike policy preShared mode main user@host# set security ike policy preShared proposal-set standard user@host# set security ike policy preShared pre-shared-key ascii-text "$ABC123"## Encrypted password user@host# set security ike gateway SRX1500-1 ike-policy preShared user@host# set security ike gateway SRX1500-1 address 10.1.1.90 user@host# set security ike gateway SRX1500-1 external-interface reth0.0 user@host# set security ipsec policy std proposal-set standard user@host# set security ipsec vpn SRX1500-1 bind-interface st0.0 user@host# set security ipsec vpn SRX1500-1 vpn-monitor optimized user@host# set security ipsec vpn SRX1500-1 ike gateway SRX1500-1 user@host# set security ipsec vpn SRX1500-1 ike ipsec-policy std user@host# set security ipsec vpn SRX1500-1 establish-tunnels immediately静的ルートを設定します。
{primary:node0}[edit] user@host# set routing-options static route 0.0.0.0/0 next-hop 10.2.1.1 user@host# set routing-options static route 10.3.0.0/16 next-hop 10.10.1.2セキュリティ ゾーンを設定します。
{primary:node0}[edit] user@host# set security zones security-zone untrust host-inbound-traffic system-services all user@host# set security zones security-zone untrust host-inbound-traffic protocols all user@host# set security zones security-zone untrust interfaces reth1.0 user@host# set security zones security-zone trust host-inbound-traffic system-services all user@host# set security zones security-zone trust host-inbound-traffic protocols all user@host# set security zones security-zone trust interfaces reth0.0 user@host# set security zones security-zone vpn host-inbound-traffic system-services all user@host# set security zones security-zone vpn host-inbound-traffic protocols all user@host# set security zones security-zone vpn interfaces st0.0セキュリティポリシーを設定します。
{primary:node0}[edit] user@host# set security policies from-zone trust to-zone untrust policy ANY match source-address any user@host# set security policies from-zone trust to-zone untrust policy ANY match destination-address any user@host# set security policies from-zone trust to-zone untrust policy ANY match application any user@host# set security policies from-zone trust to-zone vpn policy vpn-any then permit
結果
動作モードから、 コマンドを入力して設定を show configuration 確認します。出力に意図した設定が表示されない場合は、この例の設定手順を繰り返して修正します。
簡潔にするために、この show コマンド出力には、この例に関連する設定のみが含まれています。システム上の他の設定はすべて省略記号(...)で置き換えられました。
user@host> show configuration
version x.xx.x;
groups {
node0 {
system {
host-name SRX58001;
}
interfaces {
fxp0 {
unit 0 {
family inet {
address 172.19.100.50/24;
}
}
}
}
}
node1 {
system {
host-name SRX58002;
}
interfaces {
fxp0 {
unit 0 {
family inet {
address 172.19.100.51/24;
}
}
}
}
}
}
apply-groups "${node}";
system {
root-authentication {
encrypted-password "$ABC123";
}
}
chassis {
cluster {
reth-count 2;
heartbeat-interval 1000;
heartbeat-threshold 3;
control-ports {
fpc 2 port 0;
fpc 14 port 0;
}
redundancy-group 0 {
node 0 priority 254;
node 1 priority 1;
}
redundancy-group 1 {
node 0 priority 254;
node 1 priority 1;
preempt;
interface-monitor {
xe–6/0/0 weight 255;
xe–6/1/0 weight 255;
xe–18/0/0 weight 255;
xe–18/1/0 weight 255;
}
}
}
}
interfaces {
xe–5/0/0 {
gigether–options {
redundant–parent reth0;
}
}
xe–5/1/0 {
gigether–options {
redundant–parent reth1;
}
}
xe–17/0/0 {
gigether–options {
redundant–parent reth0;
}
}
xe–17/1/0 {
gigether–options {
redundant–parent reth1;
}
}
fab0 {
fabric–options {
member–interfaces {
xe–5/3/0;
}
}
}
fab1 {
fabric–options {
member–interfaces {
xe–17/3/0;
}
}
}
reth0 {
redundant–ether–options {
redundancy–group 1;
}
unit 0 {
family inet {
address 10.1.1.60/16;
}
}
}
reth1 {
redundant–ether–options {
redundancy–group 1;
}
unit 0 {
family inet {
address 10.2.1.60/16;
}
}
}
st0 {
unit 0 {
multipoint;
family inet {
address 5.4.3.2/32;
}
}
}
}
routing–options {
static {
route 0.0.0.0/0 {
next–hop 10.2.1.1;
}
route 10.3.0.0/16 {
next–hop 10.10.1.2;
}
}
}
security {
zones {
security–zone trust {
host–inbound–traffic {
system–services {
all;
}
}
interfaces {
reth0.0;
}
}
security–zone untrust
host-inbound-traffic {
system-services {
all;
}
}
protocols {
all;
}
interfaces {
reth1.0;
}
}
security-zone vpn {
host-inbound-traffic {
system-services {
all;
}
}
protocols {
all;
}
interfaces {
st0.0;
}
}
}
policies {
from–zone trust to–zone untrust {
policy ANY {
match {
source–address any;
destination–address any;
application any;
}
then {
permit;
}
}
}
from–zone trust to–zone vpn {
policy vpn {
match {
source–address any;
destination–address any;
application any;
}
then {
permit;
}
}
}
}
}
デバイスの設定が完了したら、設定モードから を入力します commit 。
検証
設定が正しく機能していることを確認します。
- シャーシ クラスタ ステータスの検証
- シャーシ クラスタ インターフェイスの検証
- シャーシ クラスタ統計情報の検証
- シャーシ クラスタ コントロール プレーン統計情報の検証
- シャーシ クラスタ データ プレーン統計情報の検証
- シャーシ クラスタ冗長性グループ ステータスの検証
- ログを使用したトラブルシューティング
シャーシ クラスタ ステータスの検証
目的
シャーシ クラスタのステータス、フェイルオーバー ステータス、冗長性グループの情報を確認します。
アクション
動作モードから、 コマンドを show chassis cluster status 入力します。
{primary:node0}
show chassis cluster status
Cluster ID: 1
Node Priority Status Preempt Manual failover
Redundancy group: 0 , Failover count: 1
node0 1 primary no no
node1 254 secondary no no
Redundancy group: 1 , Failover count: 1
node0 1 primary yes no
node1 254 secondary yes no
シャーシ クラスタ インターフェイスの検証
目的
シャーシ クラスタ インターフェイスを検証します。
アクション
動作モードから、 コマンドを show chassis cluster interfaces 入力します。
{primary:node0}
user@host> show chassis cluster interfaces
Control link name: fxp1
Redundant-ethernet Information:
Name Status Redundancy-group
reth0 Up 1
reth1 Up 1
Interface Monitoring:
Interface Weight Status Redundancy-group
xe-5/0/0 255 Up 1
xe-5/1/0 255 Up 1
xe-17/0/0 255 Up 1
xe-17/1/0 255 Up 1
シャーシ クラスタ統計情報の検証
目的
シャーシ クラスタ サービスおよび制御リンク統計情報(送受信したハートビート)、ファブリック リンク統計(送受信したプローブ)、サービスで送受信した RNO の数に関する情報を検証します。
アクション
動作モードから、 コマンドを show chassis cluster statistics 入力します。
{primary:node0}
user@host> show chassis cluster statistics
Control link statistics:
Control link 0:
Heartbeat packets sent: 258689
Heartbeat packets received: 258684
Heartbeat packets errors: 0
Fabric link statistics:
Child link 0
Probes sent: 258681
Probes received: 258681
Services Synchronized:
Service name RTOs sent RTOs received
Translation context 0 0
Incoming NAT 0 0
Resource manager 6 0
Session create 161 0
Session close 148 0
Session change 0 0
Gate create 0 0
Session ageout refresh requests 0 0
Session ageout refresh replies 0 0
IPSec VPN 0 0
Firewall user authentication 0 0
MGCP ALG 0 0
H323 ALG 0 0
SIP ALG 0 0
SCCP ALG 0 0
PPTP ALG 0 0
RPC ALG 0 0
RTSP ALG 0 0
RAS ALG 0 0
MAC address learning 0 0
GPRS GTP 0 0
シャーシ クラスタ コントロール プレーン統計情報の検証
目的
シャーシ クラスタ コントロール プレーン統計情報(送受信したハートビート)とファブリック リンク統計(送受信したプローブ)に関する情報を検証します。
アクション
動作モードから、 コマンドを show chassis cluster control-panel statistics 入力します。
{primary:node0}
user@host> show chassis cluster control-plane statistics
Control link statistics:
Control link 0:
Heartbeat packets sent: 258689
Heartbeat packets received: 258684
Heartbeat packets errors: 0
Fabric link statistics:
Child link 0
Probes sent: 258681
Probes received: 258681
シャーシ クラスタ データ プレーン統計情報の検証
目的
サービスで送受信されるRNOの数に関する情報を検証します。
アクション
動作モードから、 コマンドを show chassis cluster data-plane statistics 入力します。
{primary:node0}
user@host> show chassis cluster data-plane statistics
Services Synchronized:
Service name RTOs sent RTOs received
Translation context 0 0
Incoming NAT 0 0
Resource manager 6 0
Session create 161 0
Session close 148 0
Session change 0 0
Gate create 0 0
Session ageout refresh requests 0 0
Session ageout refresh replies 0 0
IPSec VPN 0 0
Firewall user authentication 0 0
MGCP ALG 0 0
H323 ALG 0 0
SIP ALG 0 0
SCCP ALG 0 0
PPTP ALG 0 0
RPC ALG 0 0
RTSP ALG 0 0
RAS ALG 0 0
MAC address learning 0 0
GPRS GTP 0 0
シャーシ クラスタ冗長性グループ ステータスの検証
目的
クラスター内の両方のノードの状態と優先度、およびプライマリ ノードがプリエンプトされたかどうか、または手動フェイルオーバーが行われているかどうかに関する情報を検証します。
アクション
動作モードから、 コマンドを chassis cluster status redundancy-group 入力します。
{primary:node0}
user@host> show chassis cluster status redundancy-group 1
Cluster ID: 1
Node Priority Status Preempt Manual failover
Redundancy-Group: 1, Failover count: 1
node0 0 primary yes no
node1 254 secondary yes no
例:IPsecトンネルを使用したアクティブ/パッシブシャーシクラスタペアの設定(J-Web)
クラスタを有効にします。 「例:IPsecトンネルを使用したアクティブ/パッシブシャーシクラスターペアの設定」のステップ1を参照してください。
管理インターフェイスを設定します。 「例:IPsecトンネルを使用したアクティブ/パッシブシャーシクラスターペアの設定」のステップ2を参照してください。
ファブリックインターフェイスを設定します。 「例: IPsec トンネルを使用したアクティブ/パッシブ シャーシ クラスタ ペアの設定」のステップ 3 を参照してください。
冗長性グループを設定します。
を選択します
Configure>System Properties>Chassis Cluster。次の情報を入力し、 をクリックします
Apply。冗長 ether-Interfaces Count:
2ハートビート間隔:
1000ハートビートしきい値:
3ノード：
0グループ番号:
0優先 順位：
254
次の情報を入力し、 をクリックします
Apply。ノード：
0グループ番号:
1優先 順位：
254
次の情報を入力し、 をクリックします
Apply。ノード：
1グループ番号:
0優先 順位：
1
次の情報を入力し、 をクリックします
Apply。ノード：
1グループ番号:
1優先 順位：
1Preempt: チェック ボックスをオンにします。
インターフェイス モニター—インターフェイス:
xe-5/0/0インターフェイス モニター—Weight:
255インターフェイス モニター—インターフェイス:
xe-5/1/0インターフェイス モニター—Weight:
255インターフェイス モニター—インターフェイス:
xe-17/0/0インターフェイス モニター—Weight:
255インターフェイス モニター—インターフェイス:
xe-17/1/0インターフェイス モニター—Weight:
255
冗長イーサネット インターフェイスを設定します。
を選択します
Configure>System Properties>Chassis Cluster。を選択します
xe-5/1/0。冗長親ボックスに を入力
reth1します。をクリックします
Apply。を選択します
xe-17/1/0。冗長親ボックスに を入力
reth1します。をクリックします
Apply。を選択します
xe-5/0/0。冗長親ボックスに を入力
reth0します。をクリックします
Apply。を選択します
xe-17/0/0。冗長親ボックスに を入力
reth0します。をクリックします
Apply。「例:IPsecトンネルを使用したアクティブ/パッシブシャーシクラスターペアの設定」のステップ5を参照してください。
IPsec設定を設定します。 「例:IPsecトンネルを使用したアクティブ/パッシブシャーシクラスターペアの設定」のステップ6を参照してください。
静的ルートを設定します。
を選択します
Configure>Routing>Static Routing。をクリックします
Add。次の情報を入力し、 をクリックします
Apply。スタティック ルート アドレス:
0.0.0.0/0ネクストホップ アドレス数:
10.2.1.1
次の情報を入力し、 をクリックします
Apply。スタティック ルート アドレス:
10.3.0.0/16ネクストホップ アドレス数:
10.10.1.2
セキュリティ ゾーンを設定します。 「例:IPsecトンネルを使用したアクティブ/パッシブシャーシクラスターペアの設定」のステップ8を参照してください。
セキュリティ ポリシーを設定します。 「例:IPsecトンネルを使用したアクティブ/パッシブシャーシクラスターペアの設定」のステップ9を参照してください。
をクリック
OKして構成を確認し、候補の構成として保存してから、 [>Commit] をクリックしますCommit Options。