Junos OSでのvSRX仮想ファイアウォールシャーシクラスターの設定

vSRX仮想ファイアウォールでのシャーシクラスタープロビジョニング

vSRX仮想ファイアウォールインスタンス上のシャーシクラスターへの接続設定は、物理SRXシリーズファイアウォールと同様です。vSRX仮想ファイアウォールVMは、仮想NICに仮想ネットワーク(またはvswitch)を使用します(VMXNET3やvirtioなど)。

シャーシクラスターでは、2つのvSRX仮想ファイアウォールインスタンス間に次の直接接続が必要です。

• 2つのvSRX仮想ファイアウォールインスタンス間のコントロールプレーントラフィックに対してアクティブ/パッシブモードで動作する制御リンク、または仮想ネットワーク

• ファブリック リンク、つまりノード間のリアルタイム セッション同期に使用される仮想ネットワーク。アクティブ/アクティブモードでは、このリンクは2つのvSRX仮想ファイアウォールインスタンス間のデータトラフィックの伝送にも使用されます。

メモ：

注: オプションで 2 つのファブリック リンクを作成して、冗長性を高めることができます。

vSRX仮想ファイアウォールクラスターは、次のインターフェイスを使用します。

• アウトオブバンド管理インターフェイス(fxp0)

• クラスター制御インターフェイス (em0)

• クラスタ ファブリック インターフェイス(ノード 0 上の fab0、ノード 1 上の fab1)

メモ：

制御インターフェイスは 2 番目の vNIC である必要があります。ファブリックリンクには、任意の収益ポート(ge-ポート)を使用できます。オプションで 2 つ目のファブリック リンクを設定して冗長性を高めることができます。

図1 は、vSRX仮想ファイアウォールインスタンスを使用したシャーシクラスターの形成を示しています。

vSRX 仮想ファイアウォールは、virtio ドライバーと SR-IOV インターフェイスを使用してシャーシクラスターをサポートしますが、以下の考慮事項があります。

• シャーシクラスターを有効にする場合は、virtio ネットワークインターフェイスのファブリックリンクをサポートするために、ジャンボフレーム (MTU サイズ = 9000) も有効にする必要があります。

• 2 つの物理ホストにまたがってシャーシ クラスタを設定する場合は、vSRX 仮想ファイアウォール制御リンクが使用する各ホスト物理インターフェイスで igmp-snooping を無効にして、シャーシ クラスタの両方のノードで制御リンクのハートビートが受信されるようにします。

  hostOS# echo 0 > /sys/devices/virtual/net/<bridge-name>/bridge/multicast_snooping

• シャーシ クラスタを有効にすると、vSRX 仮想ファイアウォール インスタンスによって 2 番目の vNIC が自動的に制御リンクにマッピングされ、その名前が ge-0/0/0 から em0 に変更されます。

• ファブリック リンク/リンクには、他の任意の vNIC を使用できます。( インターフェイスの名前付けとマッピングを参照)

virtio インターフェースの場合、リンク状況の更新はサポートされていません。virtio インターフェースのリンクステータスは、常に Up として報告されます。このため、virtio とシャーシクラスターを使用する vSRX 仮想ファイアウォールインスタンスは、virtio インターフェイスからリンクアップおよびリンクダウンメッセージを受信できません。

仮想ネットワークの MAC エージング タイムによって、エントリが MAC テーブルに残る時間が決まります。フェールオーバー中のダウンタイムを最小限に抑えるために、仮想ネットワークの MAC エージング タイムを短くすることをお勧めします。

たとえば、コマンドを使用して、 brctl setageing bridge 1 Linux ブリッジのエージングを 1 秒に設定できます。

制御リンクとファブリックリンクの仮想ネットワークを設定してから、制御インターフェイスを作成して制御仮想ネットワークに接続し、ファブリックインターフェイスをファブリック仮想ネットワークに接続します。

インターフェイスの命名とマッピング

vSRX仮想ファイアウォール用に定義された各ネットワークアダプタは、vSRX仮想ファイアウォールインスタンスがスタンドアロンVMであるか、高可用性のためのクラスタペアの1つであるかに応じて、特定のインターフェイスにマッピングされます。vSRX仮想ファイアウォールのインターフェイス名とマッピングを表1と表2に示します。

次の点に注意してください。

• スタンドアロンモードの場合:
  • fxp0 はアウトオブバンド管理インターフェイスです。
  • ge-0/0/0は、最初のトラフィック(収益)インターフェイスです。
• クラスタ モードの場合:
  • fxp0 はアウトオブバンド管理インターフェイスです。
  • em0 は、両方のノードのクラスタ制御リンクです。
  • ノード 0 の fab0 の ge-0/0/0 や、ノード 1 の fab1 の ge-7/0/0 のように、どのトラフィック インターフェイスもファブリック リンクとして指定できます。

スタンドアロンのvSRX仮想ファイアウォールVMのインターフェイス名とマッピングを 表1 に、クラスタモードのvSRX仮想ファイアウォールVMのインターフェイス名とマッピングを 表2に示します。クラスタ モードでは、em0 ポートが fxp0 の位置と ge-0/0/0 の位置の間に挿入され、収益ポート番号が 1 つの vNIC 位置上にシフトしていることがわかります。

表1:スタンドアロンvSRX仮想ファイアウォールVMのインターフェイス名

ネットワークアダプタ	インターフェイス名
1	fxp0:
2	ge-0/0/0
3	ge-0/0/1
4	ge-0/0/2
5	ge-0/0/3
6	ge-0/0/4
7	ge-0/0/5
8	ge-0/0/6

表2:vSRX仮想ファイアウォールクラスターペアのインターフェイス名

ネットワーク アダプター	インターフェイス名
1	fxp0(ノード 0 および 1)
2	em0(ノード0および1)
3	ge-0/0/0(ノード 0) ge-7/0/0(ノード1)
4	ge-0/0/1(ノード 0) ge-7/0/1(ノード1)
5	ge-0/0/2 (ノード 0) ge-7/0/2(ノード1)
6	ge-0/0/3 (ノード 0) ge-7/0/3(ノード1)
7	ge-0/0/4(ノード 0) ge-7/0/4(ノード1)
8	ge-0/0/5(ノード 0) ge-7/0/5(ノード1)

シャーシ クラスタ形成の有効化

2つのvSRX仮想ファイアウォールインスタンスを作成してシャーシクラスターを形成し、各インスタンスでクラスターIDとノードIDを設定してクラスターに参加します。vSRX仮想ファイアウォールVMがクラスターに参加すると、そのクラスターのノードになります。一意のノード設定と管理 IP アドレスを除き、クラスタ内のノードは同じ設定を共有します。

レイヤー2ドメインには、最大255のシャーシクラスターを導入できます。クラスターとノードは、次の方法で識別されます。

• クラスター ID (1 から 255 の数字) は、クラスターを識別します。

• ノード ID (0 から 1 までの数字) は、クラスター ノードを識別します。

SRXシリーズファイアウォールでは、クラスタIDとノードIDはEEPROMに書き込まれます。vSRX仮想ファイアウォールVMでは、vSRX仮想ファイアウォールが boot/loader.conf のIDを保存して読み取り、起動時にこのIDを使用してシャーシクラスタを初期化します。

シャーシクラスタリングを有効にする前に、vSRX仮想ファイアウォールインスタンスが次の前提条件を満たしていることを確認してください。

• シャーシクラスターを形成する両方のvSRX仮想ファイアウォールインスタンスに基本設定をコミットしました。 CLIを使用したvSRXの設定を参照してください。

• Junos OSで使用して、両方のvSRX仮想ファイアウォールインスタンスのソフトウェアバージョンが同じになるようにします show version 。
• Junos OSで使用して show system license 、両方のvSRX仮想ファイアウォールインスタンスに同じライセンスがインストールされていることを確認します。
• シャーシ クラスタ形成を有効にするには、各 vSRX 仮想ファイアウォール ノードに同じシャーシ クラスタ ID を設定し、vSRX 仮想ファイアウォール VM を再起動する必要があります。

ノード 0 およびノード 1 のシャーシ クラスタ形成コマンドは次のとおりです。

• vSRX仮想ファイアウォールノード0:

• vSRX仮想ファイアウォールノード1の場合:

  シャーシクラスタリングを有効にすると、vSRX仮想ファイアウォールインターフェイスの命名とvNICへのマッピングが変更されます。クラスタ内の各ノードに同じクラスタ ID 番号を使用します。

メモ：

同じ L2 ドメインに接続されている複数のクラスタを使用する場合は、クラスタごとに一意のクラスタ ID を使用する必要があります。そうしないと、cluster-id が仮想インターフェイスの MAC アドレスを形成するために使用されるため、ネットワーク上で重複する MAC アドレスを取得する可能性があります。

再起動後、ノード 0 で、リアルタイム オブジェクト (RTO) の受け渡しに使用されるクラスタのファブリック(データ)ポートを構成します。