マルチノードの高可用性
マルチノード高可用性ソリューションと、シンプルで信頼性の高い導入モデルでの使用方法についてご紹介します。
ビジネス継続性は、最新のネットワークの重要な要件です。数秒のダウンタイムでも、OpExとCapExに影響を与えるだけでなく、混乱や不便を引き起こす可能性があります。また、最新のネットワークでは、データセンターが複数の地理的領域に分散しています。このようなシナリオでは、高可用性を達成するのは非常に困難な場合があります。
ジュニパーネットワークスの® SRXシリーズファイアウォールは、最新のデータセンターの高可用性要件に対応するために、新しいソリューションであるマルチノード高可用性(MNHA)をサポートしています。このソリューションでは、参加するデバイス(ノード)のコントロールプレーンとデータプレーンの両方が同時にアクティブになります。したがって、このソリューションはシャーシ間の耐障害性を提供します。
参加するデバイスは、同じ場所に配置することも、物理的に離れた場所(異なる部屋や建物など)にまたがって配置することもできます。地理的に分散した場所全体で高可用性のノードを設けることで、耐障害性のあるサービスが確保されます。災害が1つの物理的な場所に影響した場合、マルチノードの高可用性は別の物理的な場所にあるノードにフェイルオーバーできるため、継続性が確保されます。
マルチノード高可用性のメリット
-
CapExとOpExの削減—ファイアウォール複合施設を囲むスイッチネットワークやノード間の直接レイヤー2(L2)接続が不要になります
-
ネットワークの柔軟性—レイヤー3(L3)とスイッチネットワークセグメント全体で高可用性をサポートすることで、ネットワークの柔軟性を高めます。
-
ステートフルで耐障害性に優れたソリューション - 両方のノードでアクティブコントロールプレーンとデータプレーンを同時にサポートします。
-
ビジネス継続性と災害復旧:可用性を最大化し、データセンター内および地域間での冗長性を高めます。
-
スムーズなアップグレード—2つのノードで異なるバージョンのJunos OSをサポートし、Junos OSリリース間のスムーズなアップグレードを保証し、2つの異なるバージョンのJunosを実行することもできます。
マルチノードの高可用性は、アクティブ/バックアップモードとアクティブ/アクティブモードでサポートします(複数のサービス冗長性グループ(SRG)をサポート)。サポートされている機能とプラットフォームの完全なリストについては、機能エクスプローラーのマルチノード高可用性を参照してください。
サポートされている機能
MNHAインフラストラクチャは、次の2つの導入モデルを通じて冗長性を提供します。
- 2ノードMNHA: 高可用性のために連携して動作する一対のファイアウォール。
- 4ノードMNHA: 2組のファイアウォールをドメイン全体に分散させ、耐障害性を強化しました。
マルチノード高可用性を備えたSRXシリーズファイアウォールは、アプリケーションセキュリティ、コンテンツセキュリティ、侵入防御システム(IPS)、ファイアウォールユーザー認証、NAT、ALGなどのファイアウォールと高度なセキュリティサービスをサポートします。
マルチノード高可用性でサポートされているデバイスと機能の完全なリストについては、「 機能エクスプローラ 」を参照してください。
マルチノード高可用性は、透過モードの高可用性(HA)をサポートしていません
マルチノードの高可用性はシャーシクラスターとどのように異なりますか?
シャーシクラスターはレイヤー2ネットワーク環境で動作し、ノード間に2つのリンク(制御リンクとファブリックリンク)が必要です。これらのリンクは、バックツーバックケーブルを使用した専用VLANまたはダークファイバーを介して両方のノードを接続します。制御リンクとファブリックリンクは、SRXシリーズファイアウォール上の専用の物理ポートを使用します。
マルチノードの高可用性では、暗号化されたシャーシ間論理リンク(ICL)を使用します。ICLは、専用のレイヤー2ネットワークではなく、ルーティングパスを介してノードを接続します。このルーテッドパスでは、1つ以上の収益ポートを使用して耐障害性を最大限に高めることができます。また、これらのポートやパスに独自のルーティングインスタンスを専用にして完全な分離を確保することも可能で、ソリューションの耐障害性を最大限に高めることができます。
におけるシャーシクラスターのトポロジー
におけるマルチノード高可用性
表1に、2つのアーキテクチャの違いを示します
| パラメータ | シャーシ クラスタ | マルチノードの高可用性 |
|---|---|---|
| ネットワークトポロジー | ノードがブブロードキャストドメインに接続する | ノードは、ルーター、ブロードキャストドメイン、またはその両方の組み合わせに接続します。
|
| ネットワーク環境 | レイヤー2 |
|
| トラフィックスイッチオーバーアプローチ | SRXシリーズファイアウォールがGARPをスイッチに送信 | ピアレイヤー3ルーターまたはレイヤー2GARPによるIPパス選択を使用したSRXシリーズファイアウォールからピアレイヤー2スイッチへのスイッチオーバー
|
| パブリッククラウド | 未対応 | 対応 |
| ダイナミックルーティング機能 | コントロールプレーン(RG0)がアクティブなSRXシリーズでアクティブなルーティングプロセス | マルチノード高可用性に参加している各SRXシリーズファイアウォールでアクティブなルーティングプロセス |
| SRXシリーズファイアウォール間の接続 |
|
シャーシ間リンク(レイヤー3パス) |
| 接続性/地理的冗長性 | 制御リンクとファブリックリンク用に、SRXシリーズノード間に専用のレイヤー2ストレッチが必要です。 | シャーシ間リンクのノード間の任意のルーティングパスを使用します。 |
| ネットワーク障害を検出するためのIP監視 |
|
|
マルチノード高可用性用語集
まず、このドキュメントで使用されているマルチノード高可用性に関する用語について理解しましょう。
| 用語 | 説明 |
|---|---|
| アクティブ/アクティブ状態(SRG0) | すべてのセキュリティサービス/フローは、各ノードで検査され、もう一方のノードでバックアップされます。セキュリティフローは対称でなければなりません。 |
| アクティブ/バックアップ状態(SRG1+) | SRG1+ は、常に 1 つのノードでアクティブを維持し、もう一方のノードではバックアップされた状態を維持します。バックアップ状態のSRG1+は、障害が発生した場合にアクティブSRG1からトラフィックを引き継ぐ準備ができています。 |
| デバイスの優先度 | デバイスの優先度(アクティブ性-優先度)は、MNHA設定でサービス冗長性グループ(SRG)のアクティブノードとして機能できるノードを決定します。アクティブ性優先度の数値が高いノードが、そのSRGのアクティブノードとして選択されます。SRGにアクティブ性優先度が明示的に設定されていない場合、ノードIDの高いノードがアクティブノードとして優先されます。 |
| デバイスプリエンプション | デバイスプリエンプションにより、優先ノードは障害から回復した後にアクティブノードとして再開できます。優先ノードは、高いアクティブ性優先度値(設定されている場合)または高いノードID(アクティブ性優先度が設定されていない場合)によって決定されます。特定のデバイスをアクティブノードとして使用する必要がある場合は、すべての参加デバイスでプリエンプションを有効にし、各デバイスでアクティブ性優先度値を設定する必要があります。 |
| フェイルオーバー | フェイルオーバーは、一方のノードが障害(ハードウェア/ソフトウェアなど)を検出し、トラフィックがステートフルな方法でもう一方のノードに移行すると発生します。その結果、アクティブノードに障害が発生した場合、高可用性システムのバックアップノードがアクティブノードのタスクを引き継ぎます。 |
| フローティングIPアドレスまたはアクティビティプローブIPアドレス | マルチノード高可用性セットアップでのフェイルオーバー中にアクティブノードからバックアップノードに移動するIPアドレス。このメカニズムにより、クライアントは単一のIPアドレスを使用してノードと通信できます。 |
| 高可用性/耐障害性 |
単一障害点を排除して、長期間にわたって継続的な運用を保証するシステムの能力。 |
| シャーシ間リンク | マルチノード高可用性導入でルーティングネットワークを介してノードを接続するIPベースのリンク(論理リンク)。ICLリンクは通常、最も柔軟な導入でループバックインターフェイスにバインドされます。接続は、2つのIPアドレス間で接続が到達可能である限り、任意のルーティングパスまたはスイッチパスにすることができます。 セキュリティデバイスは、ICLを使用して状態情報を同期および維持し、デバイスフェイルオーバーシナリオを処理します。 |
| シャーシ間リンク暗号化 | リンク暗号化は、ネットワーク上を通過するメッセージのデータプライバシーを提供します。ICLリンクは個人データを送信するため、リンクを暗号化することが重要です。IPsec VPNを使用してICLを暗号化する必要があります。 |
| モニタリング(BFD) | BFD(双方向転送検出)を使用した1つ以上のリンクの監視。BFD監視は、システム構成に応じて、ルーティングパスの変更またはシステムフェイルオーバーをトリガーします。 |
| 監視(IP) | ピアノードとの通信が失われた場合に、信頼できるIPアドレスとシステム状態を監視します。 |
| モニタリング(パス) | ICMPを使用してIPアドレスの到達可能性を検証する方法。ICMP pingプローブのデフォルトの間隔は1秒です。 |
| 監視(システム) | ノードで障害が検出されたときにフェイルオーバーをトリガーすることで、主要なハードウェアおよびソフトウェアリソースとインフラストラクチャを監視します。 |
| プローブ | 高可用性設定でアクティブノードとバックアップノード間でメッセージを交換するために使用されるメカニズム。メッセージは、個々のノード上のアプリケーションのステータスと健全性を決定します。 |
| リアルタイムオブジェクト(RTO) | 1つのノードからもう1つのノードにデータを同期するために必要な情報を含む特別なペイロードパケット。 |
| スプリットブレイン検出(コントロールプレーン検出またはアクティブコンフリクト検出とも呼ばれます) | 2つのマルチノード高可用性ノード間のICLがダウンし、両方のノードがアクティビティ判定プローブ(スプリットブレインプローブ)を開始するイベント。プローブへの応答に基づいて、新しいロールへの後続のフェイルオーバーがトリガーされます |
| サービス冗長性グループ(SRG) | 参加ノード上のオブジェクトの集合を含み、管理するフェイルオーバーユニット。一方のノードのSRGは、フェイルオーバーが検出されるともう一方のノードに切り替わります。 |
| SRG0 | ファイアウォールとNATサービスのデフォルトSRG。隣接するネットワークは、どのノードがトラフィックを処理するかを決定します。これは、ルーティング設定に応じて、アクティブ/パッシブまたはアクティブ/アクティブにすることができます。 ファイアウォールは、ルーティング属性(ルーティング優先度、ルートコスト、BGPなど)を通じて、どのノードがトラフィックを処理するかに影響を与えることができます。 SRG0は、TCPハンドシェイク、アプリケーションセキュリティ、IDP、コンテンツセキュリティ、ファイアウォール、NAT、ALGなど、状態を保持する必要があるサービスを管理します。パケットの内容を理解するには、アクティブノード上のサービスを提供する必要があり、これらのサービスの一部はパススルーされます(NAT、ファイアウォール認証を除き、デバイスで終端しません)。 SRG0 は両方のノードでアクティブな状態を維持し、両方のノードからセッション分析を開始したアクティブなノードにトラフィックを転送します(ICD リンクが設定されている場合)。 |
| SRG1+ | ファイアウォール、NAT、VPNサービス向けの本質的にアクティブ/パッシブSRG。このグループでは、1つ以上の特定のIPをこのグループの状態にマッピングできます。 スイッチングモードまたはハイブリッドモード(レイヤー2側)では、VIPまたはVIPがこのグループに関連付けられ、ローカルネットワークにgratuitous ARPを送信します。 ハイブリッド(レイヤー 3 側)およびルーティング モードでは、プレフィックスリストはこのグループに関連付けられ、システムでルーティング可能になります(特定のルーティングインスタンスで適切に)。その後、SRXシリーズファイアウォールは、信号ルートを使用して、ルーティングポリシーを操作することで、アクティブノードにトラフィックを引き付けることができます(条件付きルーティングは、SRGの状態を表す信号ルートに基づく方法が提案されています)。 通常、IPsec終了IP(例えば、ループバック)をSRG1+で通知して、アクティブノードで終了させることができます。SRG1+ がフェイルオーバーすると、この IPsec IP はもう一方のノードでアクティブになり、ルーティング属性を介して通知されます。 管理者が入力したランタイムコマンドは、通常の動作中にトラフィックを処理するノードに影響します。 |
| 同期 | ノード間でコントロールとデータプレーンの状態を同期するプロセス。 |
| 仮想IP(VIP)アドレス | ハイブリッドまたはデフォルトゲートウェイモードの仮想IPアドレスは、マルチノード高可用性設定のスイッチング側でアクティブ性の判断と適用に使用されます。仮想IPはSRG1+によって制御されます。 |
| 仮想MAC(VMAC)アドレス | (ハイブリッドおよびデフォルトゲートウェイの導入の場合)。スイッチング側に面するアクティブノードのインターフェイスに動的に割り当てられた仮想MACアドレス。 |
マルチノード高可用性の機能と用語について理解できたところで、マルチノード高可用性の仕組みを理解しましょう。