このページの内容
NATおよびステートフルファイアウォール用のシャーシ間MS-MPCおよびMS-MIC冗長性の設定の概要(リリース16.1以降)
長時間の NAT およびステートフル ステートフルファイアウォール フロー(MS-MPC、MS-MIC)のためのシャーシ間ステートフル同期の概要(リリース 16.1 以降)
長時間の NAT およびステートフル ステートフルファイアウォール フロー(MS-MPC、MS-MIC)用のシャーシ間ステートフル同期の設定(リリース 16.1 以降)
例:長時間の NAT およびステートフル ステートフルファイアウォール フロー(MS-MIC、MS-MPC)のためのシャーシ間ステートフル同期(リリース 16.1 以降)
長時間の NAT およびステートフル ステートフルファイアウォール フロー(MS-MPC、MS-MIC)のためのシャーシ間ステートフル同期(リリース 16.1 以降)
NATおよびステートフルファイアウォール用のシャーシ間MS-MPCおよびMS-MIC冗長性の設定の概要(リリース16.1以降)
このトピックは、Junos OSリリース16.1以降に適用されます。
キャリアグレードのNAT(CGN)とステートフルファイアウォールの導入では、デュアルシャーシの実装を使用して、冗長データパスとルーターの主要コンポーネントの冗長性を提供できます。AMSインターフェイスを採用することで、シャーシ内の高可用性をMXシリーズデバイスで使用できますが、この方法はサービスPICとMS-MPCまたはMS-MICカードのフル障害にローカルでしか対処しません。何らかの理由でルーターの他の障害によりトラフィックがバックアップルーターに切り替えられた場合、サービスPICからのセッション状態は失われます。シャーシ間の高可用性は、サービスPICからNATとステートフルファイアウォールのセッション状態を保持することで、より堅牢なソリューションを提供します。このテクノロジーはプライマリ/セカンダリモデルであり、アクティブ/アクティブクラスターではありません。シャーシ間の高可用性に設定されたサービスPICによってサービスされるトラフィックは、現在ペアのプライマリであるMXシリーズデバイスのみを通過します。
NATとステートフルファイアウォールのシャーシ間冗長性を設定するには、以下を設定します。
ステートフル同期は、プライマリシャーシ上のサービスPICからバックアップシャーシにセッション状態を複製します。詳細については、「長時間 のNATおよびステートフルファイアウォールフローのためのシャーシ間ステートフル同期(MS-MPC、MS-MIC)の概要(リリース16.1以降)を参照してください。
サービス冗長性デーモン:監視対象のイベントに基づいてプライマリロールの切り替えを実行できます。ほとんどのオペレーターは、サービス冗長性デーモンを実装せずにステートフル同期を採用したくないでしょう。詳細については、サービス冗長デーモンの概要を参照してください
長時間の NAT およびステートフル ステートフルファイアウォール フロー(MS-MPC、MS-MIC)のためのシャーシ間ステートフル同期の概要(リリース 16.1 以降)
このトピックは、Junos OSリリース16.1以降に適用されます。
ステートフル同期は、高可用性ペア内のプライマリとバックアップのMXシリーズシャーシ間で長時間のセッションを同期します。デフォルトでは、長時間セッションは、サービスPICで180秒間アクティブになっているステートフルファイアウォール、NAT、IDSセッションですが、これをより高い値またはより低い値に設定することができます。ステートフルファイアウォールセッション、NATセッション、IDSセッションは、同期できるセッションタイプです。
シャーシ間の高可用性は、MS-MICまたはMS-MPCインターフェイスカードに設定されたms-サービスインターフェイスで動作します。ユニット 0 以外の ms- インターフェイス ユニットは、 ip-address-owner service-plane オプションで設定する必要があります。
以下のNAT変換タイプとセッションは、ステートフル同期をサポートしています。
ベーシックNAT44
dynamic-nat44
NAPT-44
NAPT-44とエンドポイント独立マッピング(EIM)、またはエンドポイント独立フィルター(EIF)
DNAT-44
TWICE-NAT
ステートフルNAT64
以下の制限が適用されます。
ポートブロック割り当て(PBA)、エンドポイント独立マッピング(EIM)、またはエンドポイント独立フィルター(EIF)機能の状態情報の複製はサポートされていません。
ステートフル同期設定に属するNATまたはステートフルファイアウォールのサービスセットを設定する場合、サービスセットのNATおよびステートフルファイアウォールの設定は、両方のMXシリーズデバイスで同一である必要があります。
アプリケーション層ゲートウェイ(ALG)セッションは、ステートフル同期をサポートしていません。
図1 は、シャーシ間の高可用性トポロジーを示しています。
長時間の NAT およびステートフル ステートフルファイアウォール フロー(MS-MPC、MS-MIC)用のシャーシ間ステートフル同期の設定(リリース 16.1 以降)
このトピックは、Junos OSリリース16.1以降に適用されます。
MS-MICまたはMS-MPCサービスPIC上のステートフルファイアウォールおよびNAPT44のステートフル同期シャーシ間高可用性を設定するには、高可用性ペアの各シャーシで以下の設定手順を実行します。
例:長時間の NAT およびステートフル ステートフルファイアウォール フロー(MS-MIC、MS-MPC)のためのシャーシ間ステートフル同期(リリース 16.1 以降)
この例では、NAT サービスのシャーシ間高可用性を設定する方法を示しています。
要件
この例では、以下のハードウェアおよびソフトウェアコンポーネントを使用しています。
MS-MPCラインカードを搭載した2台のMX480ルーター
Junos OSリリース16.1以降
概要
2台のMXシリーズルーターは、シャーシに障害が発生した場合に、NATサービスのステートフルフェイルオーバーを容易にするために同一に構成されています。
設定
この例でシャーシ間の高可用性を設定するには、以下のタスクを実行します。
- CLIクイックコンフィグレーション
- シャーシ1のインターフェイスの設定
- シャーシ1のMXシリーズルーター間のHA同期トラフィックのルーティング情報を設定する
- シャーシ1のNATの設定
- サービスセットの設定
- シャーシ 2 のインターフェイスの設定
- シャーシ2のMXシリーズルーター間のHA同期トラフィックのルーティング情報を設定する
CLIクイックコンフィグレーション
この例をルーター上で迅速に設定するには、以下のコマンドをコピーし、改行を削除し、サイトに固有のインターフェイス情報を置換した後、ルーターの端末ウィンドウに貼り付けます。
以下の設定はシャーシ1の場合です。
[edit] set interfaces ms-4/0/0 redundancy-options redundancy-peer ipaddress 5.5.5.2 set interfaces ms-4/0/0 redundancy-options redundancy-local data-address 5.5.5.1 set interfaces ms-4/0/0 redundancy-options routing-instance HA set interfaces ms-4/0/0 redundancy-options replication-threshold 180 set interfaces ms-4/0/0 unit 10 ip-address-owner service-plane set interfaces ms-4/0/0 unit 10 family inet address 5.5.5.1/32 set interfaces ms-4/0/0 unit 20 family inet set interfaces ms-4/0/0 unit 20 service-domain inside set interfaces ms-4/0/0 unit 30 family inet set interfaces ms-4/0/0 unit 30 service-domain outside set interfaces ge-2/0/0 vlan-tagging set interfaces ge-2/0/0 unit 0 vlan-id 100 family inet address 20.1.1.1/24 set policy-options policy-statement dummy term 1 then reject set routing-instances HA instance-type vrf set routing-instances HA interface ge-2/0/0.0 set routing-instances HA interface ms-4/0/0.10 set routing-instances HA route-distinguisher 1:1 set routing-instances HA vrf-import dummy set routing-instances HA vrf-export dummy set routing-instances HA routing-options static route route 5.5.5.1/32 next-hop ms-4/0/0.10 set routing-instances HA routing-options static route route 5.5.5.2/32 next-hop 20.1.1.2 set routing-options static-route 100.100.100.0/24 next-hop ms-4/0/0.20 set services nat pool p2 address 32.0.0.0/24 set services nat pool p2 port automatic random-allocation set services nat pool p2 address-allocation round-robin set services nat rule r2 match-direction input set services nat rule r2 term t1 from source-address 129.0.0.0/8 set services nat rule r2 term t1 from source-address 128.0.0.0/8 set services nat rule r2 term t1 then translated source-pool p2 set services nat rule r2 term t1 then translated translation-type napt-44 set services nat rule r2 term t1 then translated address-pooling paired set services nat rule r2 term t1 then syslog set services service-set ss2 nat-rules r2 set services service-set ss2 next-hop-service inside-service-interface ms-4/0/0.20 set services service-set ss2 next-hop-service outside-service-interface ms-4/0/0.30 set services service-set ss2 syslog host local class session-logs set services service-set ss2 syslog host local class nat-logs
以下の設定はシャーシ2用です。シャーシ 1 と 2 の NAT とサービス セット情報は同一である必要があります。
set interfaces ms-4/0/0 redundancy-options redundancy-peer ipaddress 5.5.5.1 set interfaces ms-4/0/0 redundancy-options redundancy-local data-address 5.5.5.2 set interfaces ms-4/0/0 redundancy-options routing-instance HA set interfaces ms-4/0/0 redundancy-options replication-threshold 180 set interfaces ms-4/0/0 unit 10 ip-address-owner service-plane set interfaces ms-4/0/0 unit 10 family inet address 5.5.5.2/32 set interfaces ms-4/0/0 unit 20 family inet set interfaces ms-4/0/0 unit 20 service-domain inside set interfaces ms-4/0/0 unit 30 family inet set interfaces ms-4/0/0 unit 30 service-domain outside set interfaces ge-2/0/0 vlan-tagging set interfaces ge-2/0/0 unit 0 vlan-id 100 family inet address 20.1.1.2/24 set policy-options policy-statement dummy term 1 then reject set routing-instances HA instance-type vrf set routing-instances HA interface ge-2/0/0.0 set routing-instances HA interface ms-4/0/0.10 set routing-instances HA route-distinguisher 1:1 set routing-instances HA vrf-import dummy set routing-instances HA vrf-export dummy set routing-instances HA routing-options static route 5.5.5.2/32 next-hop ms-4/0/0.10 set routing-instances HA routing-options static route 5.5.5.1/32 next-hop 20.1.1.1 set routing-options static-route 100.100.100.0/24 next-hop ms-4/0/0.20 set services nat pool p2 address 32.0.0.0/24 set services nat pool p2 port automatic random-allocation set services nat pool p2 address-allocation round-robin set services nat rule r2 match-direction input set services nat rule r2 term t1 from source-address 129.0.0.0/8 set services nat rule r2 term t1 from source-address 128.0.0.0/8 set services nat rule r2 term t1 then translated source-pool p2 set services nat rule r2 term t1 then translated translation-type napt-44 set services nat rule r2 term t1 then translated address-pooling paired set services nat rule r2 term t1 then syslog set services service-set ss2 nat-rules r2 set services service-set ss2 next-hop-service inside-service-interface ms-4/0/0.20 set services service-set ss2 next-hop-service outside-service-interface ms-4/0/0.30 set services service-set ss2 syslog host local class session-logs set services service-set ss2 syslog host local class nat-logs
シャーシ1のインターフェイスの設定
ステップバイステップの手順
ルーターの各HAペアのインターフェイスは、以下のサービスPICオプションを除いて、同一に設定されています。
redundancy-options redundancy-peer ipaddress addressはシャーシごとに異なり、ピアシャーシ上のredundancy-options redundancy-local data-address data-addressを指す必要があります。ip-address-owner service-planeオプションを含むユニットの0以外のunit unit-number family inet address addressは、各シャーシで異なる必要があります。
インターフェイスを設定するには:
シャーシ1に冗長サービスPICを設定します。
[edit interfaces} user@host# set interfaces ms-4/0/0 redundancy-options redundancy-peer ipaddress 5.5.5.2 user@host# set interfaces ms-4/0/0 redundancy-options redundancy-local data-address 5.5.5.1 user@host# set interfaces ms-4/0/0 redundancy-options routing-instance HA user@host# set interfaces ms-4/0/0 redundancy-options replication-threshold 180 user@host# set interfaces ms-4/0/0 unit 10 ip-address-owner service-plane user@host# set interfaces ms-4/0/0 unit 10 family inet address 5.5.5.1/32 user@host# set interfaces ms-4/0/0 unit 20 family inet user@host# set interfaces ms-4/0/0 unit 20 service-domain inside user@host# set interfaces ms-4/0/0 unit 30 family inet user@host# set interfaces ms-4/0/0 unit 30 service-domain outside
同期トラフィック用のシャーシ間リンクとして使用されるシャーシ1のインターフェイスを設定します。
user@host# set interfaces ge-2/0/0 vlan-tagging user@host# set interfaces ge-2/0/0 unit 0 vlan-id 100 family inet address 20.1.1.1/24
必要に応じて、残りのインターフェイスを設定します。
結果
user@host# show interfaces
ge-2/0/0 {
vlan-tagging;
unit 0 {
vlan-id 100;
family inet {
address 20.1.1.1/24;
}
}
}
ms-4/0/0 {
redundancy-options {
redundancy-peer {
address 5.5.5.2;
}
redundancy-local {
data-address 5.5.5.1;
}
routing-instance HA;
}
unit 10 {
ip-address-owner service-plane;
family inet {
address 5.5.5.1/32;
}
}
unit 20 {
family inet;
family inet6;
service-domain inside;
}
unit 30 {
family inet;
family inet6;
service-domain outside;
}
}
シャーシ1のMXシリーズルーター間のHA同期トラフィックのルーティング情報を設定する
ステップバイステップの手順
この例では、詳細なルーティング設定は含まれていません。ルーティングインスタンスは、次のようにシャーシ間のHA同期トラフィックに必要です。
シャーシ1のルーティングインスタンスを設定するには:
ダミーのポリシーステートメントを指定します。このステートメントは、ルーティングインスタンス設定で参照されます。
user@host# set policy-options policy-statement dummy term 1 then reject
ルーティングインスタンスのオプションを指定します。
user@host# set routing-instances HA instance-type vrf user@host# set routing-instances HA interface ge-2/0/0.0 user@host# set routing-instances HA interface ms-4/0/0.10 user@host# set routing-instances HA route-distinguisher 1:1 user@host# set policy-options policy-statement dummy term 1 then reject user@host# set routing-instances HA vrf-import dummy user@host# set routing-instances HA vrf-export dummy @user@host# set routing-instances HA routing-options static route 5.5.5.1/32 next-hop ms-4/0/0.10 user@host# set routing-instances HA routing-options static route 5.5.5.2/32 next-hop 20.1.1.2
サービスセットを適用するネクストホップトラフィックを指定します。
user@host# set routing-options static-route 100.100.100.0/24 next-hop ms-4/0/0.20
結果
@user@host# show routing-instances
HA {
instance-type vrf;
interface ge-2/0/0.0;
interface ms-4/0/0.10;
route-distinguisher 1:1;
vrf-import dummy;
vrf-export dummy;
routing-options {
static {
route 5.5.5.1/32 next-hop ms-4/0/0.10;
route 5.5.5.2/32 next-hop 20.1.1.2;
}
}
}
シャーシ1のNATの設定
ステップバイステップの手順
両方のルーターで NAT を同じように設定します。
NATを設定するには:
NATプールとルール情報を指定します。
user@host# set services nat pool p2 address 32.0.0.0/24 user@host# set services nat pool p2 port automatic random-allocation user@host# set services nat pool p2 address-allocation round-robin user@host# set services nat rule r2 match-direction input user@host# set services nat rule r2 term t1 from source-address 129.0.0.0/8 user@host# set services nat rule r2 term t1 from source-address 128.0.0.0/8 user@host# set services nat rule r2 term t1 then translated source-pool p2 user@host# set services nat rule r2 term t1 then translated translation-type napt-44 user@host# set services nat rule r2 term t1 then translated address-pooling paired user@host# set services nat rule r2 term t1 then syslog
結果
user@host# show services nat
nat {
pool p2 {
address 32.0.0.0/24;
port {
automatic {
random-allocation;
}
}
address-allocation round-robin;
}
rule r2 {
match-direction input;
term t1 {
from {
source-address {
129.0.0.0/8;
128.0.0.0/8;
}
}
then {
translated {
source-pool p2;
translation-type {
napt-44;
}
address-pooling paired;
}
syslog;
}
}
}
}
サービスセットの設定
ステップバイステップの手順
両方のルーターでサービスセットを同じように設定します。サービスセットを設定するには:
(オプション)サービスセットはデフォルトでレプリケートされます。次のオプションを使用して、サービスセットをレプリケーションから除外するには。
user@host# set services service-set ss2 replicate-services disable-replication-capability
サービスセットのNATルールへの参照を設定します。
user@host# set services service-set ss2 nat-rules r2
MS-PICでネクストホップサービスインターフェイスを設定します。
user@host# set services service-set ss2 next-hop-service inside-service-interface ms-4/0/0.20 user@host# set services service-set ss2 next-hop-service outside-service-interface ms-4/0/0.30
目的のロギングオプションを設定します。
user@host# set services service-set ss2 syslog host local class session-logs user@host# set services service-set ss2 syslog host local class nat-logs
結果
user@host# show services service-set ss2
syslog {
host local {
class {
session-logs;
inactive:
nat-logs;
}
}
replicate-services {
replication-threshold 180;
inactive: disable-replication-capability;
}
nat-rules r2;
next-hop-service {
inside-service-interface ms-3/0/0.20;
outside-service-interface ms-3/0/0.30;
}
}
シャーシ 2 のインターフェイスの設定
ステップバイステップの手順
ルーターの各HAペアのインターフェイスは、以下のサービスPICオプションを除いて、同一に設定されています。
redundancy-options redundancy-peer ipaddress addressunit unit-number family inet address address0以外のユニットのうち、ip-address-owner service-planeオプションを含む
シャーシ2に冗長サービスPICを設定します。
この
redundancy-peer ipaddressは、ip-address-owner service-planeステートメントを含むシャーシ1のシャーシ上のms-4/0/0上のユニット(ユニット10)のアドレスを指します。[edit interfaces} set interfaces ms-4/0/0 redundancy-options redundancy-peer ipaddress 5.5.5.1 user@host# set interfaces ms-4/0/0 redundancy-options redundancy-local data-address 5.5.5.2 user@host# set interfaces ms-4/0/0 redundancy-options replication-threshold 180 user@host# set interfaces ms-4/0/0 redundancy-options routing-instance HA user@host# set interfaces ms-4/0/0 unit 10 ip-address-owner service-plane user@host# set interfaces ms-4/0/0 unit 10 family inet address 5.5.5.2/32 user@host# set interfaces ms-4/0/0 unit 20 family inet user@host# set interfaces ms-4/0/0 unit 20 service-domain inside user@host# set interfaces ms-4/0/0 unit 30 family inet user@host# set interfaces ms-4/0/0 unit 30 service-domain outside
同期トラフィック用のシャーシ間リンクとして使用されるシャーシ2のインターフェイスを設定します
user@host# set interfaces ge-2/0/0 vlan-tagging user@host# set interfaces ge-2/0/0 unit 0 vlan-id 100 family inet address 20.1.1.2/24
必要に応じて、シャーシ2の残りのインターフェイスを設定します。
結果
user@host# show interfaces
ms-4/0/0 {
redundancy-options {
redundancy-peer {
address 5.5.5.1;
}
redundancy-local {
data-address 5.5.5.2;
}
routing-instance HA;
}
unit 0 {
family inet;
}
unit 10 {
ip-address-owner service-plane;
family inet {
address 5.5.5.2/32;
}
}
}
ge-2/0/0 {
vlan-tagging;
unit 0 {
vlan-id 100;
family inet {
address 20.1.1.2/24;
}
}
unit 10 {
vlan-id 10;
family inet {
address 2.10.1.2/24;
}
}
}
シャーシ2のMXシリーズルーター間のHA同期トラフィックのルーティング情報を設定する
ステップバイステップの手順
この例では、詳細なルーティング設定は含まれていません。ルーティングインスタンスは、2つのシャーシ間のHA同期トラフィックに必要であり、ここに含まれています。
シャーシ 2 のルーティングインスタンスを設定します。
user@host# set routing-instances HA instance-type vrf user@host# set routing-instances HA interface ge-2/0/0.0 user@host# set routing-instances HA interface ms-4/0/0.10 user@host# set routing-instances HA route-distinguisher 1:1 user@host# set policy-options policy-statement dummy term 1 then reject user@host# set routing-instances HA vrf-import dummy user@host# set routing-instances HA vrf-export dummy user@host# set routing-instances HA routing-options static route 5.5.5.2/32 next-hop ms-4/0/0.10 user@host# set routing-instances HA routing-options static route 5.5.5.1/32 next-hop 20.1.1.1 user@host# set routing-options static-route 100.100.100.0/24 next-hop ms-4/0/0.20
注:以下の設定 手順は、 シャーシ 1 に示す手順と同じです。
NATの設定
サービスセットの設定
結果
@user@host# show services routing-instances
HA {
instance-type vrf;
interface xe-2/2/0.0;
interface ms-4/0/0.10;
route-distinguisher 1:1;
vrf-import dummy;
vrf-export dummy;
routing-options {
static {
route 5.5.5.2/32 next-hop ms-4/0/0.10;
route 5.5.5.1/32 next-hop 20.1.1.1;
}
}
}