マルチノードの高可用性

サービス冗長グループ

サービス冗長グループ(SRG)は、マルチノード高可用性セットアップにおけるフェイルオーバーユニットです。SRG には 2 つのタイプがあります。

• SRG0—IPSec VPN サービスを除くレイヤー 4 からレイヤー 7 のセキュリティ サービスを管理します。SRG0 は、どの時点でも両方のノードでアクティブ モードで動作します。SRG0では、各セキュリティセッションは対称フローでノードを通過する必要があります。 これらのフローのバックアップは、他のノードに完全に状態同期されます。
• SRG1+—ハイブリッド モードとデフォルト ゲートウェイ モードの IPsec サービスと仮想 IP を管理し、他のノードにバックアップされます。SRG1 は、1 つのノード上ではアクティブ モードであり、別のノード上ではバックアップ ノードとして動作します。

図 10 は、マルチノード高可用性設定の SRG0 と SRG1 を示しています。

図 10: マルチノード高可用性(アクティブバックアップ モード)における単一 SRG サポート

図 11 は、マルチノード高可用性セットアップにおける SRG0 と SRG1+ を示しています。

図 11: マルチノード高可用性(アクティブ-アクティブ モード)におけるマルチ SRG サポート

Junos OS リリース 22.4R1 以降では、マルチ SRG1(SRG1+)をサポートするアクティブ/アクティブ モードで動作するようにマルチノード高可用性を設定できます。このモードでは、一部の SRG は 1 つのノードでアクティブなままになり、一部の SRG は別のノードでアクティブなままになります。特定の SRG は常にアクティブ バックアップ モードで動作します。1つのノードではアクティブモード、別のノードではバックアップモードで動作します。この場合、どちらのノードもアクティブなSRG1転送ステートフルサービスを持つことができます。各ノードには、SRG1+ に割り当てられた異なるフローティング IP アドレスのセットがあります。

表 3 は、マルチノード高可用性設定における SRG の動作を示しています。

Junos OS リリース 23.4R1 以降、マルチノード高可用性設定は複合モードで動作します。SRG(SRG0またはSRG1+)設定を追加または削除する際に、システムを再起動する必要はありません。

積極性の決定と実施

マルチノード高可用性設定では、アクティブ性はノードレベルではなくサービスレベルで判断されます。アクティブ/バックアップの状態は SRG レベルであり、トラフィックはアクティブな SRG に誘導されます。SRG0 は両方のノードでアクティブなままですが、SRG1 は各ノードでアクティブまたはバックアップ状態を維持できます

起動時に特定のノードをアクティブノードとして引き継ぐ場合は、次のいずれかを実行できます。

• アップストリームルーターを設定して、ノードが配置されているパスの設定を含めます。
• アクティブ性の優先度を設定します。
• ノードIDが高いノード(上記の2つのオプションが設定されていない場合)にアクティブなロールを引き受けてもらいます。

マルチノード高可用性設定では、両方のSRXシリーズファイアウォールが最初にフローティングIPアドレスのルートをアップストリームルーターにアドバタイズします。SRXシリーズファイアウォールによってアドバタイズされる2つのパスの間に特定の優先順位はありません。ただし、ルーターは、設定されたメトリックに応じて、パスの1つに独自の設定を持つことができます。

図 12 は、アクティブ性の決定とアクティブ性の適用に関する一連のイベントを示しています。

図 12: アクティブ性の決定と適用

1. 起動すると、デバイスは保留状態になり、継続的にプローブを開始します。デバイスは、フローティングIPアドレス(activeness-probing source IP address)を送信元IPアドレスとして、アップストリームルーターのIPアドレスをIP アドレスとして、アクティブ性判定プローブとして使用します。

2. プローブのIP アドレスをホストしているルーターは、優先ルーティング パスで利用可能な SRXシリーズ ファイアウォールに応答します。次の例では、SRX-1 がアップストリーム ルーターから応答を取得します。

   図 13: アクティブ性の決定と適用

3. SRX-1はプローブの応答を受信してから、自身をアクティブロールに昇格させます。SRX-1は、役割の変更を他のデバイスに通知し、アクティブな役割を引き継ぎます。

4. アクティブが判別された後、アクティブノード(SRX-1)は以下を実行します。

   • 割り当てられた Floating IP アドレスをホストします。
   • 隣接するBGPネイバーに高優先度パスをアドバタイズします。
   • トラフィックを描画するために、すべてのリモートおよびローカルルートのアクティブな(より高い)優先パスをアドバタイズし続けます。
   • ICLを介して他のノードにアクティブノードのステータスを通知します。

5. もう一方のデバイス(SRX-2)はプローブを停止し、バックアップの役割を引き継ぎます。バックアップノードは、デフォルト(低い)優先度をアドバタイズして、アップストリームルーターがバックアップノードにパケットを転送しないようにします。

マルチノード高可用性モジュールは、ノードがアクティブ ロールに移行すると、SRG のアクティブおよびバックアップの信号ルートをルーティングテーブルに追加します。ノードに障害が発生した場合、ICL はダウンし、現在のアクティブ ノードはアクティブ ロールを解放し、アクティブなシグナル ルートを削除します。これで、バックアップノードがプローブを介して状態を検出し、アクティブなロールに移行します。ルート優先度が入れ替わり、すべてのトラフィックを新しいアクティブノードに向けて駆動します。

ルート優先アドバタイズメント内のスイッチは、SRXシリーズファイアウォールで設定されたルーティングポリシーの一部です。 if-route-exists 条件のアクティブな信号ルートを含むように、ルーティングポリシーを構成する必要があります。

• デフォルトゲートウェイの導入の場合
• ハイブリッド展開の場合
• アクティブ性、優先度、プリエンプション
• アクティブ性プローブ設定の構成

耐障害性とフェイルオーバー

マルチノード高可用性ソリューションは、サービスレベルで冗長性をサポートします。サービスレベルの冗長性により、ノード間でコントロールプレーンを同期させるために必要な労力が最小限に抑えられます。

マルチノード高可用性セットアップでアクティブ性が判断されると、ICL を介して後続の高可用性(HA)状態がネゴシエートされます。バックアップノードは、フローティングIPアドレスを使用してICMPプローブを送信します。ICL がアップしている場合、ノードはプローブに対する応答を受け取り、バックアップ ノードとして残ります。ICL がダウンし、プローブ応答がない場合、バックアップ ノードはアクティブ ノードに移行します。

これで、以前のバックアップ ノードの SRG1 がアクティブ状態に移行し、シームレスに動作し続けます。移行が発生すると、フローティング IP アドレスがアクティブな SRG1 に割り当てられます。このようにして、IPアドレスはアクティブノードとバックアップノードの間でフロートし、接続されたすべてのホストに到達可能な状態を維持します。したがって、トラフィックは中断されることなく流れ続けます。

IPSec VPNなど、コントロールプレーンとデータプレーンの両方の状態を必要とするサービスは、ノード間で同期されます。このサービス機能のアクティブノードに障害が発生すると、コントロールプレーンとデータプレーンの両方が同時にバックアップノードにフェイルオーバーします。

ノードは、次のメッセージを使用してデータを同期します。

• ルーティングエンジン - ルーティングエンジン制御アプリケーション メッセージ
• ルーティングエンジン設定関連メッセージ
• データプレーンRTOメッセージ

シャーシ間リンク(ICL)暗号化

マルチノード高可用性では、アクティブノードとバックアップノードは、ルーティングされたネットワークを介して接続された、または直接接続されたシャーシ間リンク(ICL)を使用して相互に通信します。ICL は論理 IP リンクであり、ネットワーク内でルーティング可能な IP アドレスを使用して確立されます。

ノードはICLを使用して、ノード間のコントロールプレーンとデータプレーンの状態を同期します。ICL通信は、共有ネットワークまたは信頼できないネットワークを経由する可能性があり、ICLを介して送信されたパケットは、常に信頼されているとは限らないパスを通過する可能性があります。そのため、IPsec 標準を使用してトラフィックを暗号化することにより、ICL を通過するパケットを保護する必要があります。

IPsec は、ICL の暗号化トンネルを確立することによってトラフィックを保護します。HA リンク暗号化を適用すると、HA トラフィックはセキュアで暗号化されたトンネルを通ってのみノード間を流れます。HAリンク暗号化を使用しないと、ノード間の通信が安全にならない可能性があります。

ICL の HA リンクを暗号化するには、次の手順に従います。

• 次のコマンドを使用して、SRXシリーズファイアウォールにJunos IKEパッケージをインストールします。

  request system software add optional://junos-ike.tgz .

• HAトラフィックのVPNプロファイルを設定し、両方のノードにプロファイルを適用します。SRXシリーズファイアウォール間でネゴシエートされたIPsec トンネルは、IKEv2プロトコルを使用します。

• IPSec VPNの設定にha-link-encryptionステートメントが含まれていることを確認してください。例:user@host# set security ipsec vpn vpn-name ha-link-encryption。

ICLの設定には、次のことをお勧めします。

• 飽和状態になりにくいポートとネットワークを使用する
• 専用HAポート(SRXシリーズファイアウォールで利用可能な場合は、コントロールポートとファブリックポート)は使用しない

• ICLをループバックインターフェイス(lo0)または集合型イーサネットインターフェイス(ae0)にバインドし、最高の耐障害性のためにパスの多様性を確保する複数の物理リンク(LAG/LACP)を持ちます。

• SRXシリーズファイアウォールの収益イーサネットポートを使用して、ICL接続を設定できます。収益インターフェイスのトランジットトラフィックを高可用性(HA)トラフィックから分離してください。

詳細については、「 マルチノード高可用性の設定 」を参照してください。

ICLのPKIベースのリンク暗号化

Junos OS リリース 22.3R1 以降、マルチノード高可用性の ICL(シャーシ間リンク)で PKI ベースのリンク暗号化がサポートされています。このサポートの一環として、ローカル鍵ペア、ローカル証明書、証明書署名要求などのノード固有のPKIオブジェクトを両方のノードで生成して保存できるようになりました。オブジェクトはローカル ノードに固有であり、両方のノードの特定の場所に格納されます。

ノードローカルオブジェクトにより、ICL暗号化に使用されるPKIオブジェクトと、2つのエンドポイント間に作成されたIPSec VPNトンネルに使用されるPKIオブジェクトを区別できます。

ローカルノードで実行される以下のコマンドを使用して、ノード固有のPKIオブジェクトを操作できます。

マルチノード高可用性のセキュリティデバイスで、自動再登録オプションを設定し、再登録トリガー時にICLがダウンした場合、両方のデバイスがCAサーバへの同じ証明書の登録を個別に開始し、同じCRLファイルをダウンロードします。マルチノード高可用性が ICL を再確立すると、セットアップは 1 つのローカル証明書のみを使用します。バックアップ ノードで user@host> request security pki sync-from-peer コマンドを使用して、アクティブ ノードからバックアップ ノードに証明書を同期する必要があります。

証明書を同期しない場合、ピア ノード間の証明書の不一致の問題は、次の再登録まで続きます。

必要に応じて、ノードでキーペアを生成する前に、両方のノードで TPM(トラステッド プラットフォーム モジュール)を有効にすることができます。 トラステッド プラットフォーム モジュールを使用して SRXシリーズ デバイスでシークレットをバインドするを参照してください。

ICMPベースのスプリットブレインプロービング

2台のSRXシリーズデバイスがマルチノード高可用性セットアップの一部であるシナリオを考えてみましょう。SRX-1をローカルノード、SRX-2をリモートノードとみなします。ローカルノードは現在アクティブなロールであり、フローティング IP アドレスをホストしてトラフィックをローカルノードに誘導します。アップストリーム ルーターは、ローカル ノードのパスの優先度が高くなります。

ノード間の ICL がダウンすると、両方のノードがアクティブ性判定プローブ(ICMP プローブ)を開始します。ノードは、プローブの送信元 IP アドレスとしてフローティング IP アドレス(アクティブ性判定 IP アドレス)を、アップストリームルーターの IP アドレスをIP アドレスとして使用します。

ケース1:アクティブノードが稼働している場合

図14:アクティブノードがアップし、ICLがダウン

• プローブの宛先 IP アドレスをホストするアップストリーム ルーターは、両方のノードから ICMP プローブを受信します。
• アップストリームルーターは、アクティブノードにのみ応答します。構成のアクティブノードに対するパスの優先度が高くなっているためです
• アクティブ・ノードは、アクティブ・ロールを保持します。

アクティブノードがダウンしている場合:

図15:アクティブノードがダウンし、ICLがダウン

• リモート・ノードは、アクティブ性判別プローブを再起動します。
• プローブのIP アドレスをホストしているルーターは、(以前のアクティブノードの)より高い優先パスを失い、リモートノードに応答します。
• プローブの結果はリモートノードにとって成功であり、リモートノードはアクティブ状態に移行します。
• 上記のケースで実証されたように、アクティブネス判定プローブとアップストリームルーターでのより高いパスプリファレンスの設定により、1つのノードが常にアクティブなロールを維持し、スプリットブレインが発生するのを防ぎます。

BFD ベースのスプリットブレイン プローブ

Junos OS リリース 23.4R1 では、デフォルトゲートウェイの BFD ベースのスプリットブレインプローブと、マルチノード高可用性のハイブリッドモード導入をサポートしています。

ICL(シャーシ間リンク)の障害は、多くの場合、ネットワークの中断と一貫性のない設定という2つの主な要因に起因します。アクティブネスプローブを使用して、各SRG1+に対してアクティブな役割を果たせるノードを決定できます。プローブ結果に基づいて、ノードの 1 つがアクティブ状態に移行し、このアクションにより、こぼれた頭脳シナリオが防止されます。

BFD ベースのスプリットブレインプローブでは、インターフェイス、最小間隔、および乗数を定義できるため、プローブをよりきめ細かく制御できるようになりました。BFD ベースのスプリットブレインのプローブでは、SRG が設定され、機能を開始した直後にプローブが開始されます。デフォルトのICMPベースのスプリットブレインプローブでは、プローブはICLリンクがダウンした後にのみ開始されます。

これに比べて、BFD ベースのプローブは、以下の点ではるかに事前対応型であり、スプリットブレインのシナリオを防ぐための迅速な応答を保証します。

• プローブは、SRG 設定のポストを直接開始します。

• ICL BFD とスプリット ブレイン プローブの両方が同時に壊れた場合、バックアップ ノードがただちにアクティブ ロールを引き継ぎ、VIP を引き継ぎます。

これにより、スプリットブレインシナリオを防ぐための迅速な対応が可能になります。

• それはどのように機能しますか?
• ICMPベースとBFDベースのプローブの違い

show chassis 
high-availability services-redundancy-group 1 
activeness-probe
dest-ip {
    192.168.21.1; 
    src-ip 192.168.21.2;
    }

show chassis 
high-availability services-redundancy-group 1 
activeness-probe
bfd-liveliness {
    source-ip 192.168.21.1; (inet address of the local SRX sub interface) 
    destination-ip 192.168.21.2; (inet address of the peers SRX sub interface) 
    interface xe-0/0/1.0;     
}

以下の図は、スプリットブレイン検出用のICMPベースプローブとBFDベースプローブの設定オプションを示しています。

図16:ICMPベースおよびBFDベースのプローブのActiveness-Probes設定

ハイブリッドモードとデフォルトゲートウェイの導入では、次の 2 つのレベルで activeness-probe の間隔としきい値を設定できます。

• グローバルレベル(ICMPベースのスプリットブレインプローブに適用可能)

• BFD-LivelinessレベルはBFDスプリットブレインプローブに固有です。BFD ベースのプローブを設定する場合、activeness-probe ステートメントでグローバル minimum-interval と multiplier オプションを設定しないでください。

デフォルトゲートウェイ導入用にアクティブネスプローブを設定するには、両方のノード(ローカルとピア)でプライマリ仮想IP(VIP1)アドレスインターフェイスを使用して、アクティブネスプローブを設定します。宛先 IP はピアノードからのもので、送信元 IP はローカルノードからのものです。両方の VIP は、同じインデックス値を持つ必要があります。IPアドレスは、SRXシリーズファイアウォールのLANインターフェイスに割り当てられたinetアドレスである必要があります。

スプリットブレインプローブの設定

• サンプル構成
• 検証

図17:スプリットブレインプローブのためのマルチノード高可用性構成

SRX-1をローカルノード、SRX-2をリモートノードとみなします。ローカル ノードは現在アクティブなロールであり、アップストリーム ルーターにはローカル ノードのより高い優先度パスがあります。

activeness-probe の場合、以下のオプションを設定する必要があります。

• 元 IP アドレス:ローカル ノードの SRG1 の仮想 IP アドレス 1(VIP1)を使用します。

• 宛先 IP アドレス:ピア ノードの SRG1 の VIP1 を使用します。

• インターフェイス:VIP1 に関連付けられたインターフェイス

この例では、BFD のライブ性のために、仮想 IP(VIP)アドレス(192.168.21.1)とインターフェイス xe-0/0/1.0 を割り当てます。ここでは、送信元と宛先のIPアドレスとインターフェイスを指定して、BFDベースのスプリットブレインプローブを設定します。

ノードは、SRG1の仮想IPアドレス(VIP1)に関連付けられたインターフェイスのファミリーinetアドレスを使用します。

どちらのノードも、SRG が動作を開始するとすぐに、アクティブネス決定プローブ(BFD ベースのプローブ)を開始します。

次の表は、マルチノード高可用性セットアップにより、ICLがダウンした場合にBFDベースのプローブでスプリットブレイン状況がどのように解決されるかを示しています。ノードの状態とプローブの結果に応じて、マルチノード高可用性システムは、アクティブなロールを引き受けるノードを選択します。

表 6 は、ICL がダウンした場合に、マルチノード高可用性セットアップによって BFD ベースのプローブによるスプリット ブレインの状況がどのように解決されるかを示しています。ノードの状態とプローブの結果に応じて、マルチノード高可用性システムは、アクティブなロールを引き受けるノードを選択します。

この例では、ノード 1 の SRG1 のアクティブ優先度が高いと仮定しています。

• show chassis high-availability services-redundancy-group 1 コマンドを使用して、デバイスに設定されているスプリットブレインプローブのタイプを確認します。

  (BFDベースのプローブ) (ICMPベースのプローブ)

• show bfd session コマンドを使用して、BFD ベースのプローブ ステータスかどうかを確認します。

  このサンプルでは、BFD ベースのスプリットブレインプローブがインターフェイス xe-0/0/1.0 に対して実行されていることがわかります。

• BFD ベースのプローブの詳細を取得するには、 show chassis high-availability services-redundancy-group 1 コマンドを使用します。