예: 기본 게이트웨이 구축에서 멀티노드 고가용성 구성
이 항목에서는 기본 게이트웨이(레이어 2) 구축을 위해 활성/백업 모드에서 멀티노드 고가용성(MNHA)을 구성하는 방법에 대해 설명합니다. 조직은 클라이언트 통신을 중단하지 않고 활성 서비스와 트래픽 스티어링 기능을 백업 노드로 자동으로 전송하여 비즈니스 연속성을 유지할 수 있습니다.
팁:
|
읽기성 점수 |
플레쉬 읽기 쉬움: 45-50(대학 수준) Flesch-Kincaid 학년: 12-14 |
|
읽기 시간 |
15-20분(평균 읽기 속도) |
|
구성 시간 |
90-120분(테스트베드에서 숙련된 엔지니어) |
사전 요구 사항 예
|
하드웨어 요구 사항 |
SRX 시리즈 방화벽 및 EX9214 이더넷 스위치 |
|
소프트웨어 요구 사항 |
|
|
추가 요구 사항 |
|
시작하기 전에
|
이점 |
|
|
자세히 알아보기 |
|
|
실습 경험 |
|
|
자세히 알아보기 |
기능 개요
| 멀티노드 고가용성 | SRX-01 및 SRX-02 방화벽 모두에서 스위칭 모드로 구성된 액티브/패시브 MNHA 구축. SRX-01은 활성 우선 순위가 200이고 선점이 활성화된 기본으로 구성되는 반면, SRX-02는 우선 순위가 1인 백업 역할을 합니다. |
| 섀시 간 링크(ICL) 암호화 | IPSEC_VPN_ICL라는 IPsec 암호화 프로필은 두 노드 간의 고가용성(HA) 제어 링크(ge-0/0/2)에 적용됩니다. |
| 가상 IP 주소(VIP) | 페일오버를 위해 구성된 두 개의 가상 IP 주소: 두 방화벽의 신뢰할 수 있는 영역 인터페이스(ge-0/0/3.0)의 10.1.0.200/16 및 신뢰할 수 없는 영역 인터페이스(ge-0/0/4.0)의 10.2.0.200/16은 IP 주소를 변경하지 않고도 원활한 페일오버를 제공합니다. |
| 인터페이스 모니터링 | 인터페이스 장애가 감지될 때 페일오버 이벤트를 트리거하도록 인터페이스 ge-0/0/3(신뢰) 및 ge-0/0/4(untrust)에 대해 두 SRX 시리즈 방화벽 모두에서 구성된 상태 모니터링. |
| 가상 MAC 주소 | 가상 MAC 주소는 HA 페일오버 이벤트 중에 일관된 MAC 주소 지정을 보장하기 위해 두 SRX 시리즈 방화벽의 신뢰 및 신뢰할 수 없는 인터페이스에 자동으로 할당됩니다. |
| 기본 검증 작업 | SRX-01과 SRX-02 간의 MNHA 상태와 동기화를 확인합니다. 올바른 우선순위 설정으로 활성/백업 역할을 확인하고 ICL에서 IPsec 암호화를 검증합니다. |
토폴로지 일러스트레이션
그림 1 은 이 예에서 사용되는 토폴로지를 보여줍니다.
그림 1: 기본 게이트웨이 구축 
의 멀티노드 고가용성
의 멀티노드 고가용성
이 토폴로지에서 LAN의 클라이언트는 기본 게이트웨이(VIP)로 트래픽을 보냅니다. 스위치는 이 트래픽을 두 SRX 시리즈 방화벽 노드 모두에 전달하지만 해당 SRG의 활성 노드(예: 다이어그램의 SRX-01)만 VIP를 소유하고 패킷을 처리합니다. 활성 노드는 보안 검사를 수행하고, 세션을 생성하며, 트래픽을 신뢰할 수 없는 쪽으로 전달합니다. 동시에 피어가 항상 인계할 준비가 되도록 ICL 링크를 통해 백업 노드와 세션 정보를 동기화합니다.
활성 노드 또는 해당 경로에 장애가 발생하면 백업 노드가 신속하게 VIP 및 vMAC를 인계받습니다. 그런 다음 LAN 및 신뢰할 수 없는 측의 트래픽은 호스트를 변경할 필요 없이 새로운 활성 노드로 리디렉션됩니다. 세션이 이미 동기화되었기 때문에 대부분의 플로우는 중단을 최소화하면서 계속되어 네트워크에서 원활한 페일오버를 제공합니다.
이 예에서는 단순화를 위해 SRX 시리즈 방화벽과 스위치 간의 직접 연결을 사용합니다. 특히 HA 링크 영역의 ICL은 디바이스 간에 직접 ge-0/0/2.0 인터페이스를 사용하여 설정됩니다. 그러나 프로덕션 구축에서 이러한 링크는 라우팅된 중간 네트워크를 통과할 수도 있습니다.
토폴로지 개요
| 디바이스 | 인터페이스 | 영역 | IP 주소 | 구성 대상 |
|---|---|---|---|---|
| SRX-01 | ge-0/0/2.0 | 할링크 | 10.22.0.1/24 | 섀시 간 링크(ICL) |
| ge-0/0/3.0 | 신뢰 | 10.1.0.1/24 | 스위치-01에 연결 | |
| ge-0/0/4.0 | 언트러스트(untrust) | 10.2.0.1/24 | 스위치-02에 연결 | |
| SRX-02 | ge-0/0/2.0 | 할링크 | 10.22.0.2/24 | 섀시 간 링크(ICL) |
| ge-0/0/3.0 | 신뢰 | 10.1.0.2/24 | 스위치-01에 연결 | |
| ge-0/0/4.0 | 언트러스트(untrust) | 10.2.0.2/24 | 스위치-02에 연결 |
다음 작업을 수행하여 MNHA 설정을 빌드합니다.
- ID를 할당하여 한 쌍의 방화벽을 로컬 및 피어 노드로 구성합니다.
- 서비스 중복 그룹(SRG)을 구성합니다.
- 활성 상태 확인 및 적용을 위해 가상 IP 주소를 구성합니다. 이 예에서는 단일 가상 IP가 여러 문을 사용하여
ipIPv4 및 IPv6 주소로 구성되어 이중 스택 지원을 활성화합니다. - IKEv2를 사용하여 고가용성(ICL) 트래픽에 대한 VPN 프로필을 구성합니다.
- 적절한 보안 정책을 구성하여 네트워크의 트래픽을 관리합니다.
- 네트워크 요구 사항에 따라 인터페이스와 영역을 구성합니다. 링크 암호화를 위한 IKE(Internet Key Exchange) 및 구성 동기화를 위한 SSH와 같은 서비스를 ICL과 연관된 보안 영역의 호스트 인바운드 시스템 서비스로 허용해야 합니다.
구성
- 1단계: 물리적 인터페이스 구성
- 2단계: 보안 영역 구성
- 3단계: HA 링크 암호화(SRX-01 및 SRX-02)를 위한 IKE(Internet Key Exchange) 제안 구성
- 4단계: IKE(Internet Key Exchange) 정책 및 게이트웨이 구성(SRX-01 및 SRX-02)
- 5단계: IPsec 제안 및 정책 구성(SRX-01 및 SRX-02)
- 6단계: HA 링크 암호화를 위한 IPsec VPN 구성(SRX-01 및 SRX-02)
- 7단계: 보안 정책 구성(SRX-01 및 SRX-02)
- 8단계: 섀시 고가용성 로컬 ID 구성
- 9단계: 섀시 고가용성 피어 ID 구성
- 10단계: 서비스 중복 그룹 구성
- 11단계: 구성 커밋
1단계: 물리적 인터페이스 구성
HA 링크, 신뢰 영역 인터페이스 및 신뢰할 수 없는 영역 인터페이스를 포함하여 고가용성 설정에 참여할 물리적 인터페이스를 구성합니다.
-
SRX-01
[edit] user@host# set interfaces ge-0/0/2 description ha_link user@host# set interfaces ge-0/0/2 unit 0 family inet address 10.22.0.1/24 user@host# set interfaces ge-0/0/3 description trust user@host# set interfaces ge-0/0/3 unit 0 family inet address 10.1.0.1/24 user@host# set interfaces ge-0/0/4 description untrust user@host# set interfaces ge-0/0/4 unit 0 family inet address 10.2.0.1/24
- SRX-02
[edit] user@host# set interfaces ge-0/0/2 description ha_link user@host# set interfaces ge-0/0/2 unit 0 family inet address 10.22.0.2/24 user@host# set interfaces ge-0/0/3 description trust user@host# set interfaces ge-0/0/3 unit 0 family inet address 10.1.0.2/24 user@host# set interfaces ge-0/0/4 description untrust user@host# set interfaces ge-0/0/4 unit 0 family inet address 10.2.0.2/24
인터페이스 구성은 MNHA에 대한 세 가지 중요한 네트워크 세그먼트를 설정합니다. 인터페이스 ge-0/0/2는 전용 HA 링크 역할을 합니다. 인터페이스 ge-0/0/3은 내부 네트워크 트래픽을 처리하는 신뢰 영역에 연결됩니다. 인터페이스 ge-0/0/4는 신뢰할 수 없는 영역에 연결하여 외부 네트워크 트래픽을 관리합니다.
2단계: 보안 영역 구성
보안 영역을 정의하고 필요한 호스트 인바운드 트래픽 서비스 및 프로토콜을 사용하여 적절한 영역에 인터페이스를 할당합니다.
- SRX-01
[edit] user@host# set security zones security-zone untrust host-inbound-traffic system-services ike user@host# set security zones security-zone untrust host-inbound-traffic system-services ping user@host# set security zones security-zone untrust host-inbound-traffic system-services ssh user@host# set security zones security-zone untrust host-inbound-traffic protocols bfd user@host# set security zones security-zone untrust host-inbound-traffic protocols bgp user@host# set security zones security-zone untrust interfaces ge-0/0/4.0 user@host# set security zones security-zone trust host-inbound-traffic system-services ike user@host# set security zones security-zone trust host-inbound-traffic system-services ping user@host# set security zones security-zone trust host-inbound-traffic system-services ssh user@host# set security zones security-zone trust host-inbound-traffic protocols bgp user@host# set security zones security-zone trust host-inbound-traffic protocols bfd user@host# set security zones security-zone trust interfaces ge-0/0/3.0 user@host# set security zones security-zone halink host-inbound-traffic system-services ike user@host# set security zones security-zone halink host-inbound-traffic system-services ping user@host# set security zones security-zone halink host-inbound-traffic system-services high-availability user@host# set security zones security-zone halink host-inbound-traffic system-services ssh user@host# set security zones security-zone halink host-inbound-traffic protocols bfd user@host# set security zones security-zone halink host-inbound-traffic protocols bgp user@host# set security zones security-zone halink interfaces ge-0/0/2.0
- SRX-02
[edit] user@host# set security zones security-zone untrust host-inbound-traffic system-services ike user@host# set security zones security-zone untrust host-inbound-traffic system-services ping user@host# set security zones security-zone untrust host-inbound-traffic system-services ssh user@host# set security zones security-zone untrust host-inbound-traffic protocols bfd user@host# set security zones security-zone untrust host-inbound-traffic protocols bgp user@host# set security zones security-zone untrust interfaces ge-0/0/4.0 user@host# set security zones security-zone trust host-inbound-traffic system-services ike user@host# set security zones security-zone trust host-inbound-traffic system-services ping user@host# set security zones security-zone trust host-inbound-traffic system-services ssh user@host# set security zones security-zone trust host-inbound-traffic protocols bgp user@host# set security zones security-zone trust host-inbound-traffic protocols bfd user@host# set security zones security-zone trust interfaces ge-0/0/3.0 user@host# set security zones security-zone halink host-inbound-traffic system-services ike user@host# set security zones security-zone halink host-inbound-traffic system-services ping user@host# set security zones security-zone halink host-inbound-traffic system-services high-availability user@host# set security zones security-zone halink host-inbound-traffic system-services ssh user@host# set security zones security-zone halink host-inbound-traffic protocols bfd user@host# set security zones security-zone halink host-inbound-traffic protocols bgp user@host# set security zones security-zone halink interfaces ge-0/0/2.0
보안 영역은 네트워크 트래픽을 분할하고 보안 정책을 시행합니다. 신뢰할 수 없는 영역과 신뢰할 수 있는 영역은 연결, 관리 및 라우팅을 위한 IKE, 핑, SSH 및 BGP/BFD 서비스를 허용하는 반면, halink 영역은 고가용성 전용입니다.
MNHA 설정의 경우, 이 구성에는 일반적으로 IKE, BGP 및 BFD 허용이 포함됩니다. 항상 네트워크 및 보안 요구 사항에 맞게 보안 규칙을 조정하십시오.
3단계: HA 링크 암호화(SRX-01 및 SRX-02)를 위한 IKE(Internet Key Exchange) 제안 구성
암호화된 HA 링크 터널에 대한 암호화 매개 변수를 정의하는 IKE(Internet Key Exchange) 1단계 제안을 만듭니다.
[edit] user@host# set security ike proposal MNHA_IKE_PROP description mnha_link_encr_tunnel user@host# set security ike proposal MNHA_IKE_PROP authentication-method pre-shared-keys user@host# set security ike proposal MNHA_IKE_PROP dh-group group14 user@host# set security ike proposal MNHA_IKE_PROP authentication-algorithm sha-256 user@host# set security ike proposal MNHA_IKE_PROP encryption-algorithm aes-256-cbc user@host# set security ike proposal MNHA_IKE_PROP lifetime-seconds 3600
IKE(Internet Key Exchange) 제안은 사전 공유 키, DH 그룹 14, SHA-256 및 AES-256-CBC를 사용하여 수명 1시간의 보안 HA 링크 통신을 정의합니다. 성공적인 IKE 협상을 위해서는 두 MNHA 노드에서 설정이 일치해야 합니다
4단계: IKE(Internet Key Exchange) 정책 및 게이트웨이 구성(SRX-01 및 SRX-02)
제안을 참조하는 IKE 정책을 정의하고 HA 링크 암호화를 위해 IKE 게이트웨이를 구성합니다.
[edit security ike] user@host# set security ike policy MNHA_IKE_POL description mnha_link_encr_tunnel user@host# set security ike policy MNHA_IKE_POL proposals MNHA_IKE_PROP user@host# set security ike policy MNHA_IKE_POL pre-shared-key ascii-text "$ABC123" user@host# set security ike gateway MNHA_IKE_GW ike-policy MNHA_IKE_POL user@host# set security ike gateway MNHA_IKE_GW version v2-only
IKE(Internet Key Exchange) 정책은 암호화 제안을 인증 자격 증명과 연결하는 반면, IKE(Internet Key Exchange) 게이트웨이는 안전하고 효율적인 터널 설정을 위해 IKEv2 전용을 사용합니다. 이 게이트웨이는 나중에 IPSec VPN에서 참조되어 MNHA 멤버 간의 HA 동기화 트래픽을 보호합니다.
5단계: IPsec 제안 및 정책 구성(SRX-01 및 SRX-02)
HA 링크 터널에 대한 데이터 플레인 암호화 매개 변수를 정의하는 IPsec 2단계 제안 및 정책을 만듭니다.
[edit] user@host# set security ipsec proposal MNHA_IPSEC_PROP description mnha_link_encr_tunnel user@host# set security ipsec proposal MNHA_IPSEC_PROP protocol esp user@host# set security ipsec proposal MNHA_IPSEC_PROP encryption-algorithm aes-256-gcm user@host# set security ipsec proposal MNHA_IPSEC_PROP lifetime-seconds 3600 user@host# set security ipsec policy MNHA_IPSEC_POL description mnha_link_encr_tunnel user@host# set security ipsec policy MNHA_IPSEC_POL proposals MNHA_IPSEC_PROP
IPsec 제안은 효율적인 암호화 및 무결성 보호를 위해 ESP 및 AES-256-GCM을 사용하여 고가용성(HA) 트래픽을 보호합니다. IPsec 정책은 이러한 설정을 캡슐화하고 VPN 구성에서 참조합니다.
6단계: HA 링크 암호화를 위한 IPsec VPN 구성(SRX-01 및 SRX-02)
고가용성 링크 암호화를 위해 특별히 지정된 IPsec VPN 프로필을 생성합니다.
[edit] user@host# set security ipsec vpn IPSEC_VPN_ICL ha-link-encryption user@host# set security ipsec vpn IPSEC_VPN_ICL ike gateway MNHA_IKE_GW user@host# set security ipsec vpn IPSEC_VPN_ICL ike ipsec-policy MNHA_IPSEC_POL
IPsec VPN은 IKE(Internet Key Exchange) 게이트웨이와 IPsec 정책을 결합하여 암호화된 HA 터널을 생성합니다. ha-link-encryption 이 옵션은 보안 HA 통신을 위해 VPN을 지정합니다.
7단계: 보안 정책 구성(SRX-01 및 SRX-02)
방화벽을 통과하는 트래픽 처리를 위한 기본 보안 정책을 설정합니다.
[edit security policies] user@host# set default-policy permit-all
기본 permit-all 정책은 명시적인 보안 규칙 없이 영역 간 트래픽을 허용합니다. 랩 또는 초기 배포에는 유용하지만 프로덕션 환경에서는 제한적인 정책으로 대체해야 합니다.
주의:
이 예에 표시된 보안 정책은 데모 및 테스트용으로만 사용됩니다. 네트워크 요구 사항에 따라 보안 정책을 구성해야 합니다. 보안 정책에서 신뢰할 수 있는 애플리케이션, 사용자 및 디바이스만 허용하는지 확인합니다.
8단계: 섀시 고가용성 로컬 ID 구성
고가용성 설정 내에서 로컬 디바이스의 ID를 정의합니다.
- SRX-01
[edit] user@host# set chassis high-availability local-id 1 user@host# set chassis high-availability local-id local-ip 10.22.0.1
- SRX-02
[edit] user@host# set chassis high-availability local-id 2 user@host# set chassis high-availability local-id local-ip 10.22.0.2
로컬 ID 및 로컬 IP는 이 MNHA 멤버를 고유하게 식별합니다. 로컬 ID(1)는 피어와 구별하는 반면, 로컬 IP(10.22.0.2)는 HA 통신에 사용됩니다.
9단계: 섀시 고가용성 피어 ID 구성
HA 내에서 피어 디바이스의 ID 및 연결 매개 변수를 정의합니다.
- SRX-01
[edit] user@host# set chassis high-availability peer-id 2 peer-ip 10.22.0.2 user@host# set chassis high-availability peer-id 2 interface ge-0/0/2.0 user@host# set chassis high-availability peer-id 2 vpn-profile IPSEC_VPN_ICL user@host# set chassis high-availability peer-id 2 liveness-detection minimum-interval 200 user@host# set chassis high-availability peer-id 2 liveness-detection multiplier 3
- SRX-02
[edit] user@host# set chassis high-availability peer-id 1 peer-ip 10.22.0.1 user@host# set chassis high-availability peer-id 1 interface ge-0/0/2.0 user@host# set chassis high-availability peer-id 1 vpn-profile IPSEC_VPN_ICL user@host# set chassis high-availability peer-id 1 liveness-detection minimum-interval 200 user@host# set chassis high-availability peer-id 1 liveness-detection multiplier 3
피어 구성은 원격 HA 멤버를 식별하고 전용 HA 링크를 통해 보안 HA 통신을 사용하도록 설정합니다. IPSEC_VPN_ICL IPSec VPN 프로필을 피어 노드에 연결합니다. 노드 간에 보안 ICL 링크를 설정하려면 이 구성이 필요합니다. 활성 감지는 200ms마다 하트비트를 전송하고 세 번의 하트비트를 놓친 후 피어가 다운되었음을 선언하여 빠른 장애 조치 감지를 허용합니다.
10단계: 서비스 중복 그룹 구성
가상 IP 및 장애 조치 동작을 관리하는 서비스 중복 그룹을 만들고 구성합니다.
- SRX-01
[edit] user@host# set chassis high-availability services-redundancy-group 1 deployment-type switching user@host# set chassis high-availability services-redundancy-group 1 peer-id 2 user@host# set chassis high-availability services-redundancy-group 1 preemption user@host# set chassis high-availability services-redundancy-group 1 activeness-priority 200 user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 1 ip 10.1.0.200/24 user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 1 ip 2001:db8:6700::3/64 user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 1 interface ge-0/0/3.0 user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 1 use-virtual-mac user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 2 ip 10.2.0.200/24 user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 2 ip 2001:db8:6701::7/64 user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 2 interface ge-0/0/4.0 user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 2 use-virtual-mac user@host# set chassis high-availability services-redundancy-group 1 monitor interface ge-0/0/3 user@host# set chassis high-availability services-redundancy-group 1 monitor interface ge-0/0/4
- SRX-02
[edit] user@host# set chassis high-availability services-redundancy-group 1 deployment-type switching user@host# set chassis high-availability services-redundancy-group 1 peer-id 1 user@host# set chassis high-availability services-redundancy-group 1 activeness-priority 1 user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 1 ip 10.1.0.200/24 user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 1 ip 2001:db8:6700::3/64 user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 1 interface ge-0/0/3.0 user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 1 use-virtual-mac user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 2 ip 10.2.0.200/24 user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 2 ip 2001:db8:6701::7/64 user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 2 interface ge-0/0/4.0 user@host# set chassis high-availability services-redundancy-group 1 virtual-ip 2 use-virtual-mac user@host# set chassis high-availability services-redundancy-group 1 monitor interface ge-0/0/3 user@host# set chassis high-availability services-redundancy-group 1 monitor interface ge-0/0/4
참고: 주변 인프라가 로컬 MAC 주소 외에 포트에서 활성화된 이동 가상 MAC 주소를 지원하지 않는 경우를 제외하고는 대부분의 경우 이 옵션을 구성use-virtual-mac하는 것이 권장됩니다. - 서비스 중복 그룹은 고가용성 설정에서 능동/수동 페일오버를 지원합니다.
- 스위칭 모드는 레이어 2 인접 HA 구축에 사용됩니다.
- 가상 IP(VIP)는 장애 조치 중에 HA 멤버 간에 이동합니다.
- 가상 MAC(VMAC)는 VIP와 함께 이동하여 ARP 문제를 방지하고 원활한 페일오버를 지원합니다.
- 인터페이스 모니터링은 중요한 인터페이스를 추적하고 장애가 발생하면 페일오버를 트리거합니다.
- 선점을 통해 우선 순위가 높은 디바이스가 복구 후 활성 상태를 회복할 수 있습니다.
- 활성 우선 순위 200은 MNHA 시작 및 복구 중에 이 디바이스가 활성 노드가 되도록 합니다.
11단계: 구성 커밋
디바이스 구성이 완료되면 구성 모드에서 들어갑니다 commit .
user@host# commit warning: High Availability Mode changed, please reboot the device to avoid undesirable behavior commit complete
검증
| 명령 | 검증 작업 |
| show chassis high-availability information |
HA 활성화 여부, 노드 역할, 코어 HA 상태 지표를 포함하여 활성 및 백업 노드에서 전반적인 고가용성(HA) 상태를 검증합니다. |
| show chassis high-availability peer-info |
피어 노드에 도달할 수 있는지 확인합니다. |
| show chassis high-availability services-중복-group |
중복 그룹 상태, 우선 순위, 선점 동작 및 페일오버 준비 상태를 확인합니다. |
| 인터페이스 간결 표시 |
인터페이스에 가상 IP 주소가 설치되었는지 확인합니다. |
| 보안 ipsec 보안 관련 정보 표시 ha-link-encryption 세부 정보 |
HA 링크 암호화 IPsec SA가 설정되었는지 확인합니다(HA 경로에 대해 IKE/IPsec이 작동 중임). |
- 고가용성 포메이션 및 피어 연결 확인
- HA 피어 통신 세부 정보 및 패킷 교환 확인
- 서비스 중복 그룹 상태 및 역할 할당 확인
- 인터페이스에 IP 주소 설치 확인
- HA 링크 암호화를 위한 IPsec 보안 연결 확인
고가용성 포메이션 및 피어 연결 확인
목적
두 노드가 모두 온라인 상태인 상태에서 MNHA가 올바르게 형성되었는지, 피어 검색이 성공적인지, 노드 간 암호화된 제어 채널이 작동하는지 검증합니다. 이 검증을 통해 상태 동기화 및 페일오버 기능을 포함한 모든 HA 작업의 기반이 확립됩니다.
작업
SRX-01
user@host> show chassis high-availability information
Node failure codes:
HW Hardware monitoring LB Loopback monitoring
MB Mbuf monitoring SP SPU monitoring
CS Cold Sync monitoring SU Software Upgrade
Node Status: ONLINE
Grid-id: 0
Local-id: 1
Local-IP: 10.22.0.1
HA Peer Information:
Peer Id: 2 IP address: 10.22.0.2 Interface: ge-0/0/2.0
Routing Instance: default
Encrypted: YES Conn State: UP
Configured BFD Detection Time: 3 * 200ms
Cold Sync Status: COMPLETE
SRG failure event codes:
BF BFD monitoring
IP IP monitoring
IF Interface monitoring
CP Control Plane monitoring
Services Redundancy Group: 1
Deployment Type: SWITCHING
Status: ACTIVE
Activeness Priority: 200
Preemption: ENABLED
Process Packet In Backup State: NO
Control Plane State: READY
System Integrity Check: N/A
Failure Events: NONE
Peer Information:
Peer Id: 2
Status : BACKUP
Health Status: HEALTHY
Failover Readiness: READY
SRX-02
user@host> show chassis high-availability information
Node failure codes:
HW Hardware monitoring LB Loopback monitoring
MB Mbuf monitoring SP SPU monitoring
CS Cold Sync monitoring SU Software Upgrade
Node Status: ONLINE
Grid-id: 0
Local-id: 2
Local-IP: 10.22.0.2
HA Peer Information:
Peer Id: 1 IP address: 10.22.0.1 Interface: ge-0/0/2.0
Routing Instance: default
Encrypted: YES Conn State: UP
Configured BFD Detection Time: 3 * 200ms
Cold Sync Status: COMPLETE
SRG failure event codes:
BF BFD monitoring
IP IP monitoring
IF Interface monitoring
CP Control Plane monitoring
Services Redundancy Group: 1
Deployment Type: SWITCHING
Status: BACKUP
Activeness Priority: 1
Preemption: DISABLED
Process Packet In Backup State: NO
Control Plane State: READY
System Integrity Check: COMPLETE
Failure Events: NONE
Peer Information:
Peer Id: 1
Status : ACTIVE
Health Status: HEALTHY
Failover Readiness: N/A
의미
Node Status: ONLINE로컬 노드가 작동하고 HA 설정에 참여하고 있는지 확인합니다.Local-id: 1HA 멤버십에 필요한 고유 노드 ID를 검증합니다Peer Id: 2.-
Conn State UP피어(ge-0/0/2.0을 통한 10.22.0.1 또는 10.22.0.2)에 대한 HA 링크가 설정되었음을 나타냅니다. -
Encrypted: YESIPsec 암호화가 인터페이스의 고가용성(HA) 제어 트래픽을 보호하고 있는지 확인합니다. -
Deployment Type: SWITCHING기본 게이트웨이(스위칭) 모드 구성, 즉 네트워크의 양쪽 끝(레이어 2 네트워크)에 스위치가 연결되어 있음을 나타냅니다. -
Services Redundancy Group: 1SRG의 현재 상태를 표시Status: ACTIVE하거나Status: BACKUP표시합니다. Cold Sync Status: COMPLETESRG 페일오버 준비를 위한 전제 조건인 초기 구성 동기화가 성공적으로 완료되었는지 확인합니다.
HA 피어 통신 세부 정보 및 패킷 교환 확인
목적
내부 보안 터널 매개 변수를 확인하고 HA 피어 간의 양방향 패킷 교환을 검증합니다. 이 확인을 통해 컨트롤 플레인 통신 인프라가 정상이며 상태 동기화 및 장애 조치 메시징을 지원할 수 있는지 확인합니다.
작업
SRX-01
user@host> show chassis high-availability peer-info
HA Peer Information:
Peer-ID: 2 IP address: 10.22.0.2 Interface: ge-0/0/2.0
Routing Instance: default
Encrypted: YES Conn State: UP
Cold Sync Status: COMPLETE
Internal Interface: st0.16000
Internal Local-IP: 180.100.1.1
Internal Peer-IP: 180.100.1.2
Internal Routing-instance: __juniper_private1__
Packet Statistics:
Receive Error : 0 Send Error : 0
Packet-type Sent Received
SRG Status Msg 3 5
SRG Status Ack 4 2
Attribute Msg 3 2
Attribute Ack 2 2
Pkt Req 0 0
Pkt Req Ack 0 0
SRX-02
user@host> show chassis high-availability peer-info
HA Peer Information:
Peer-ID: 1 IP address: 10.22.0.1 Interface: ge-0/0/2.0
Routing Instance: default
Encrypted: YES Conn State: UP
Cold Sync Status: COMPLETE
Internal Interface: st0.16000
Internal Local-IP: 180.100.1.2
Internal Peer-IP: 180.100.1.1
Internal Routing-instance: __juniper_private1__
Packet Statistics:
Receive Error : 0 Send Error : 0
Packet-type Sent Received
SRG Status Msg 5 2
SRG Status Ack 2 4
Attribute Msg 3 2
Attribute Ack 2 2
Pkt Req 0 0
Pkt Req Ack 0 0
의미
Conn State UPHA 피어 연결이 설정되고 정상인지 확인합니다.참고: 명령 출력에 표시된 IP 범위(180.100.1.x)는 ICL IPsec 트래픽 선택기 역할을 합니다. 시스템은 이 IP 범위를 동적으로 할당하므로 변경하거나 수정하지 않는 것이 중요합니다. 또한 더 넓은 180.x.x.x IP 범위에 대해 BFD(Bidirectional Forwarding Detection)가 자동으로 활성화됩니다.Internal Routing-instance: juniper_private1사용자 데이터 플레인에서 HA 제어 트래픽을 분리하는 시스템 생성 VRF입니다.- 0이며
Send ErrorReceive Error보고되면 깨끗한 HA 컨트롤 플레인 통신을 나타냅니다.
서비스 중복 그룹 상태 및 역할 할당 확인
목적
두 HA 노드 전반에서 SRG 작동 상태, 활성/백업 역할 할당 및 페일오버 준비 상태를 검증합니다. 이 검증을 통해 적절한 리소스 소유권을 확인하고 HA가 필요할 때 페일오버를 실행할 수 있는지 확인합니다.
작업
SRX-01
user@host> show chassis high-availability services-redundancy-group 1
SRG failure event codes:
BF BFD monitoring
IP IP monitoring
IF Interface monitoring
CP Control Plane monitoring
Services Redundancy Group: 1
Deployment Type: SWITCHING
Status: ACTIVE
Activeness Priority: 200
Preemption: ENABLED
Process Packet In Backup State: NO
Control Plane State: READY
System Integrity Check: N/A
Failure Events: NONE
Peer Information:
Peer Id: 2
Status : BACKUP
Health Status: HEALTHY
Failover Readiness: READY
Virtual IP Info:
Index: 2
IP: 2001:db8:6701::7/64
IP2: 10.2.0.200/24
VMAC: 00:10:db:fe:01:02
Interface: ge-0/0/4.0
Status: INSTALLED
Index: 1
IP: 2001:db8:6700::3/64
IP2: 10.1.0.200/24
VMAC: 00:10:db:fe:01:01
Interface: ge-0/0/3.0
Status: INSTALLED
Split-brain Prevention Probe Info:
DST-IP: 2001:db8:6700::3
Routing Instance: default
Type: ICMP Probe
Status: NOT RUNNING
Result: N/A Reason: N/A
DST-IP: 10.1.0.200
Routing Instance: default
Type: ICMP Probe
Status: NOT RUNNING
Result: N/A Reason: N/A
Interface Monitoring:
Status: UP
IF Name: ge-0/0/4 State: Up
IF Name: ge-0/0/3 State: Up
IP SRGID Table:
SRGID IP Prefix Routing Table
1 10.2.0.200/32 default
1 2001:db8:6701::7/128 default
1 10.1.0.200/32 default
1 2001:db8:6700::3/128 default
SRX-02
user@host> show chassis high-availability services-redundancy-group 1
SRG failure event codes:
BF BFD monitoring
IP IP monitoring
IF Interface monitoring
CP Control Plane monitoring
Services Redundancy Group: 1
Deployment Type: SWITCHING
Status: BACKUP
Activeness Priority: 1
Preemption: DISABLED
Process Packet In Backup State: NO
Control Plane State: READY
System Integrity Check: COMPLETE
Failure Events: NONE
Peer Information:
Peer Id: 1
Status : ACTIVE
Health Status: HEALTHY
Failover Readiness: N/A
Virtual IP Info:
Index: 2
IP: 2001:db8:6701::7/64
IP2: 10.2.0.200/24
VMAC: N/A
Interface: ge-0/0/4.0
Status: NOT INSTALLED
Index: 1
IP: 2001:db8:6700::3/64
IP2: 10.1.0.200/24
VMAC: 00:10:db:fe:01:01
Interface: ge-0/0/3.0
Status: NOT INSTALLED
Split-brain Prevention Probe Info:
DST-IP: 2001:db8:6700::3
Routing Instance: default
Type: ICMP Probe
Status: NOT RUNNING
Result: N/A Reason: N/A
DST-IP: 10.1.0.200
Routing Instance: default
Type: ICMP Probe
Status: NOT RUNNING
Result: N/A Reason: N/A
Interface Monitoring:
Status: UP
IF Name: ge-0/0/4 State: Up
IF Name: ge-0/0/3 State: Up
IP SRGID Table:
SRGID IP Prefix Routing Table
1 10.2.0.200/32 default
1 2001:db8:6701::7/128 default
1 10.1.0.200/32 default
1 2001:db8:6700::3/128 default
의미
Status: ACTIVE노드 1 및Status: BACKUP노드 2에서 SRG 1에 대한 적절한 역할 할당을 확인합니다. 이는 피어가 정상이고 백업 준비 상태임을 나타내며 페일오버 기능을 나타냅니다.Virtual IP Info: INSTALLEDVIP가 활성 노드에 표시됨을 나타냅니다. 백업 노드 노드에서와 같이 가Virtual IP Info: NOT INSTALLED표시됩니다.VMAC: 00:10:db:fe:01:02활성VMAC: 00:10:db:fe:01:01노드의 가상 IP와 연결됩니다.Virtual IP Info: IP: 2001:db8:6701::7/64IP2: 10.2.0.200/24IPv4 및 IPv6 VIP가 모두 존재하는 이중 스택 지원을 확인합니다.Preemption: ENABLED노드 1에서 장애에서 복구한 후 활성 상태를 회복한다는 것을 의미합니다Preemption: DISABLED노드 1이 온라인으로 돌아올 때 노드 2에서 불필요한 페일오버를 방지합니다.Failure Events: NONE두 노드 모두에서 모니터링 실패가 없음을 확인합니다(BFD, IP, 인터페이스, 컨트롤 플레인).Health Status: HEALTHY필요한Failover Readiness: READY경우 백업 노드가 즉시 활성 역할을 수행할 수 있음을 나타냅니다.System Integrity Check: COMPLETE백업 시 구성 및 상태 동기화가 최신인지 확인합니다.Interface Monitoring Status: UP모니터링 하위 시스템이 인터페이스 상태를 적극적으로 추적하고 있는지 확인합니다State: Up모니터링되는 두 인터페이스 모두에 대해 SRG 페일오버를 트리거할 링크 장애가 감지되지 않는다는 것을 의미합니다
인터페이스에 IP 주소 설치 확인
목적인터페이스에 가상 IP 주소가 설치되었는지 확인합니다.
작업운영 모드에서 다음 명령을 실행합니다.
SRX-01
user@host> show interfaces terse | no-more
Interface Admin Link Proto Local Remote
ge-0/0/0 up up
gr-0/0/0 up up
ip-0/0/0 up up
lsq-0/0/0 up up
lt-0/0/0 up up
mt-0/0/0 up up
sp-0/0/0 up up
sp-0/0/0.0 up up inet
inet6
sp-0/0/0.16383 up up inet
ge-0/0/1 up up
ge-0/0/2 up up
ge-0/0/2.0 up up inet 10.22.0.1/24
ge-0/0/3 up up
ge-0/0/3.0 up up inet 10.1.0.1/24
10.1.0.200/24
inet6 2001:db8:6700::3/64
fe80::5604:1aff:fe00:4882/64
ge-0/0/4 up up
ge-0/0/4.0 up up inet 10.2.0.1/24
10.2.0.200/24
inet6 2001:db8:6701::7/64
fe80::5604:1aff:fe00:7541/64
...
SRX-02
user@host> show interfaces terse | no-more
Interface Admin Link Proto Local Remote
ge-0/0/0 up up
gr-0/0/0 up up
ip-0/0/0 up up
lsq-0/0/0 up up
lt-0/0/0 up up
mt-0/0/0 up up
sp-0/0/0 up up
sp-0/0/0.0 up up inet
inet6
sp-0/0/0.16383 up up inet
ge-0/0/1 up up
ge-0/0/2 up up
ge-0/0/2.0 up up inet 10.22.0.2/24
ge-0/0/3 up up
ge-0/0/3.0 up up inet 10.1.0.2/24
ge-0/0/4 up up
ge-0/0/4.0 up up inet 10.2.0.2/24
dsc up up
...
간결성을 위해 show 명령 출력은 몇 개의 샘플만 표시하도록 잘립니다.
의미
명령 출력은 다음 정보를 제공합니다.
- 활성 노드에서 인터페이스는 듀얼 스택 가상 IP
10.1.0.200/16를 모두 보여주며22001:db8:6700::3/64VIP 인덱스 110.2.0.200/16의 경우 인터페이스 ge-0/0/3.0에 설치되며2001:db8:6701::7/64VIP 인덱스 2의 경우 인터페이스 ge-0/0/4.0에 설치됩니다. - 백업 노드에는 로컬 인터페이스 IP 주소만 있고 VIP는 설치되지 않습니다.
이 출력은 활성 노드만 트래픽을 처리하도록 보장합니다. 페일오버 중에 VIP는 활성 노드에서 백업 노드로 이동하여 IPv4 및 IPv6 트래픽 모두에 대한 서비스 연속성을 유지합니다
HA 링크 암호화를 위한 IPsec 보안 연결 확인
목적
HA 제어 트래픽을 보호하는 IPsec 터널이 올바른 암호화 매개 변수로 설정되었고 트래픽을 적극적으로 처리하고 있는지 검증합니다. 이 검증은 HA 노드 간 구성 동기화 및 상태 업데이트의 기밀성과 무결성을 보장합니다.
작업
user@host> show security ipsec security-associations ha-link-encryption detail
ID: 495005 Virtual-system: root, VPN Name: IPSEC_VPN_ICL
Local Gateway: 10.22.0.1, Remote Gateway: 10.22.0.2
Traffic Selector Name: __IPSEC_VPN_ICL__ICL__2__0__multi_node__
Local Identity: ipv4(180.100.1.1-180.100.1.1)
Remote Identity: ipv4(180.100.1.2-180.100.1.2)
TS Type: traffic-selector
Version: IKEv2
Quantum Secured: No
Hardware Offloaded: No
PFS group: N/A, Packet Encapsulation: None, Dest port: 0
Passive mode tunneling: Disabled
DF-bit: clear, Copy-Outer-DSCP: Disabled, Bind-interface: st0.16000, Policy-name: MNHA_IPSEC_POL
Port: 500, Nego#: 0, Fail#: 0, Def-Del#: 0 Flag: 0
HA Link Encryption Mode: Inter-Chassis-Link
Location: FPC -, PIC -
Anchorship: Thread -
Distribution-Profile: default-profile
Direction: inbound, SPI: 0x0008a5a8, AUX-SPI: 0
, VPN Monitoring: UP Mode: Always-Send Interval: 10secs Threshold: 10
Hard lifetime: Expires in 3392 seconds
Lifesize Remaining: Unlimited
Soft lifetime: Expires in 2774 seconds
Mode: Tunnel(0 0), Type: dynamic, State: installed
Protocol: ESP, Authentication: aes256-gcm, Encryption: aes-gcm (256 bits)
Anti-replay service: counter-based enabled, Replay window size: 64
Extended-Sequence-Number: Disabled
tunnel-establishment: establish-tunnels-immediately
Location: FPC 0, PIC 0
Anchorship: Thread 0
IKE SA Index: 16776197
Direction: outbound, SPI: 0x00065b1f, AUX-SPI: 0
, VPN Monitoring: UP Mode: Always-Send Interval: 10secs Threshold: 10
Hard lifetime: Expires in 3392 seconds
Lifesize Remaining: Unlimited
Soft lifetime: Expires in 2774 seconds
Mode: Tunnel(0 0), Type: dynamic, State: installed
Protocol: ESP, Authentication: aes256-gcm, Encryption: aes-gcm (256 bits)
Anti-replay service: counter-based enabled, Replay window size: 64
Extended-Sequence-Number: Disabled
tunnel-establishment: establish-tunnels-immediately
Location: FPC 0, PIC 0
Anchorship: Thread 0
IKE SA Index: 16776197
의미
Local Gateway: 10.22.0.1Remote Gateway: 10.22.0.2터널 엔드포인트가 HA 피어 주소와 일치하는지 확인합니다.HA Link Encryption Mode: Inter-Chassis-Link전용 HA 암호화 터널임을 확인합니다.IPSEC_VPN_ICL사용된 IPsec VPN 프로필의 이름을 표시합니다.주의:명령 출력에 표시된 IP 범위(180.100.1.x)는 ICL IPsec 트래픽 선택기 역할을 합니다. 시스템은 이 IP 범위를 동적으로 할당하므로 변경하거나 수정하지 않는 것이 중요합니다. 또한 더 넓은 180.x.x.x IP 범위에 대해 BFD(Bidirectional Forwarding Detection)가 자동으로 활성화됩니다.
부록 1: 모든 디바이스에서 명령 설정
이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 변경합니다. 그런 다음 계층 수준에서 [edit] 명령을 복사하여 CLI에 붙여넣은 다음 구성 모드에서 들어갑니다 commit .
이러한 구성은 랩 환경에서 캡처되었으며 참조용으로만 제공됩니다. 실제 구성은 사용자 환경의 요구 사항에 따라 다를 수 있습니다.
SRX-01에서
set chassis high-availability local-id 1 set chassis high-availability local-id local-ip 10.22.0.1 set chassis high-availability peer-id 2 peer-ip 10.22.0.2 set chassis high-availability peer-id 2 interface ge-0/0/2.0 set chassis high-availability peer-id 2 vpn-profile IPSEC_VPN_ICL set chassis high-availability peer-id 2 liveness-detection minimum-interval 200 set chassis high-availability peer-id 2 liveness-detection multiplier 3 set chassis high-availability services-redundancy-group 1 deployment-type switching set chassis high-availability services-redundancy-group 1 peer-id 2 set chassis high-availability services-redundancy-group 1 virtual-ip 1 ip 10.1.0.200/24 set chassis high-availability services-redundancy-group 1 virtual-ip 1 ip 2001:db8:6700::3/64 set chassis high-availability services-redundancy-group 1 virtual-ip 1 interface ge-0/0/3.0 set chassis high-availability services-redundancy-group 1 virtual-ip 1 use-virtual-mac set chassis high-availability services-redundancy-group 1 virtual-ip 2 ip 10.2.0.200/24 set chassis high-availability services-redundancy-group 1 virtual-ip 2 ip 2001:db8:6701::7/64 set chassis high-availability services-redundancy-group 1 virtual-ip 2 interface ge-0/0/4.0 set chassis high-availability services-redundancy-group 1 virtual-ip 2 use-virtual-mac set chassis high-availability services-redundancy-group 1 monitor interface ge-0/0/3 set chassis high-availability services-redundancy-group 1 monitor interface ge-0/0/4 set chassis high-availability services-redundancy-group 1 preemption set chassis high-availability services-redundancy-group 1 activeness-priority 200 set security ike proposal MNHA_IKE_PROP description mnha_link_encr_tunnel set security ike proposal MNHA_IKE_PROP authentication-method pre-shared-keys set security ike proposal MNHA_IKE_PROP dh-group group14 set security ike proposal MNHA_IKE_PROP authentication-algorithm sha-256 set security ike proposal MNHA_IKE_PROP encryption-algorithm aes-256-cbc set security ike proposal MNHA_IKE_PROP lifetime-seconds 3600 set security ike policy MNHA_IKE_POL description mnha_link_encr_tunnel set security ike policy MNHA_IKE_POL proposals MNHA_IKE_PROP set security ike policy MNHA_IKE_POL pre-shared-key ascii-text "$ABC123" set security ike gateway MNHA_IKE_GW ike-policy MNHA_IKE_POL set security ike gateway MNHA_IKE_GW version v2-only set security ipsec proposal MNHA_IPSEC_PROP description mnha_link_encr_tunnel set security ipsec proposal MNHA_IPSEC_PROP protocol esp set security ipsec proposal MNHA_IPSEC_PROP encryption-algorithm aes-256-gcm set security ipsec proposal MNHA_IPSEC_PROP lifetime-seconds 3600 set security ipsec policy MNHA_IPSEC_POL description mnha_link_encr_tunnel set security ipsec policy MNHA_IPSEC_POL proposals MNHA_IPSEC_PROP set security ipsec vpn IPSEC_VPN_ICL ha-link-encryption set security ipsec vpn IPSEC_VPN_ICL ike gateway MNHA_IKE_GW set security ipsec vpn IPSEC_VPN_ICL ike ipsec-policy MNHA_IPSEC_POL set security zones security-zone untrust host-inbound-traffic system-services ike set security zones security-zone untrust host-inbound-traffic system-services ping set security zones security-zone untrust host-inbound-traffic system-services ssh set security zones security-zone untrust host-inbound-traffic protocols bfd set security zones security-zone untrust host-inbound-traffic protocols bgp set security zones security-zone untrust interfaces lo0.0 set security zones security-zone untrust interfaces ge-0/0/4.0 set security zones security-zone trust host-inbound-traffic system-services ike set security zones security-zone trust host-inbound-traffic system-services ping set security zones security-zone trust host-inbound-traffic system-services ssh set security zones security-zone trust host-inbound-traffic protocols bgp set security zones security-zone trust host-inbound-traffic protocols bfd set security zones security-zone trust interfaces ge-0/0/3.0 set security zones security-zone halink host-inbound-traffic system-services ike set security zones security-zone halink host-inbound-traffic system-services ping set security zones security-zone halink host-inbound-traffic system-services high-availability set security zones security-zone halink host-inbound-traffic system-services ssh set security zones security-zone halink host-inbound-traffic protocols bfd set security zones security-zone halink host-inbound-traffic protocols bgp set security zones security-zone halink interfaces ge-0/0/2.0 set security policies default-policy permit-all set interfaces ge-0/0/2 description ha_link set interfaces ge-0/0/2 unit 0 family inet address 10.22.0.1/24 set interfaces ge-0/0/3 description trust set interfaces ge-0/0/3 unit 0 family inet address 10.1.0.1/24 set interfaces ge-0/0/4 description untrust set interfaces ge-0/0/4 unit 0 family inet address 10.2.0.1/24
SRX-02에서
set chassis high-availability local-id 2 set chassis high-availability local-id local-ip 10.22.0.2 set chassis high-availability peer-id 1 peer-ip 10.22.0.1 set chassis high-availability peer-id 1 interface ge-0/0/2.0 set chassis high-availability peer-id 1 vpn-profile IPSEC_VPN_ICL set chassis high-availability peer-id 1 liveness-detection minimum-interval 200 set chassis high-availability peer-id 1 liveness-detection multiplier 3 set chassis high-availability services-redundancy-group 1 deployment-type switching set chassis high-availability services-redundancy-group 1 peer-id 1 set chassis high-availability services-redundancy-group 1 virtual-ip 1 ip 10.1.0.200/24 set chassis high-availability services-redundancy-group 1 virtual-ip 1 ip 2001:db8:6700::3/64 set chassis high-availability services-redundancy-group 1 virtual-ip 1 interface ge-0/0/3.0 set chassis high-availability services-redundancy-group 1 virtual-ip 1 use-virtual-mac set chassis high-availability services-redundancy-group 1 virtual-ip 2 ip 10.2.0.200/24 set chassis high-availability services-redundancy-group 1 virtual-ip 2 ip 2001:db8:6701::7/64 set chassis high-availability services-redundancy-group 1 virtual-ip 2 interface ge-0/0/4.0 set chassis high-availability services-redundancy-group 1 monitor interface ge-0/0/3 set chassis high-availability services-redundancy-group 1 monitor interface ge-0/0/4 set chassis high-availability services-redundancy-group 1 activeness-priority 1 set security ike proposal MNHA_IKE_PROP description mnha_link_encr_tunnel set security ike proposal MNHA_IKE_PROP authentication-method pre-shared-keys set security ike proposal MNHA_IKE_PROP dh-group group14 set security ike proposal MNHA_IKE_PROP authentication-algorithm sha-256 set security ike proposal MNHA_IKE_PROP encryption-algorithm aes-256-cbc set security ike proposal MNHA_IKE_PROP lifetime-seconds 3600 set security ike policy MNHA_IKE_POL description mnha_link_encr_tunnel set security ike policy MNHA_IKE_POL proposals MNHA_IKE_PROP set security ike policy MNHA_IKE_POL pre-shared-key ascii-text "$ABC123" set security ike gateway MNHA_IKE_GW ike-policy MNHA_IKE_POL set security ike gateway MNHA_IKE_GW version v2-only set security ipsec proposal MNHA_IPSEC_PROP description mnha_link_encr_tunnel set security ipsec proposal MNHA_IPSEC_PROP protocol esp set security ipsec proposal MNHA_IPSEC_PROP encryption-algorithm aes-256-gcm set security ipsec proposal MNHA_IPSEC_PROP lifetime-seconds 3600 set security ipsec policy MNHA_IPSEC_POL description mnha_link_encr_tunnel set security ipsec policy MNHA_IPSEC_POL proposals MNHA_IPSEC_PROP set security ipsec vpn IPSEC_VPN_ICL ha-link-encryption set security ipsec vpn IPSEC_VPN_ICL ike gateway MNHA_IKE_GW set security ipsec vpn IPSEC_VPN_ICL ike ipsec-policy MNHA_IPSEC_POL set security zones security-zone untrust host-inbound-traffic system-services ike set security zones security-zone untrust host-inbound-traffic system-services ping set security zones security-zone untrust host-inbound-traffic system-services ssh set security zones security-zone untrust host-inbound-traffic protocols bfd set security zones security-zone untrust host-inbound-traffic protocols bgp set security zones security-zone untrust interfaces lo0.0 set security zones security-zone untrust interfaces ge-0/0/4.0 set security zones security-zone trust host-inbound-traffic system-services ike set security zones security-zone trust host-inbound-traffic system-services ping set security zones security-zone trust host-inbound-traffic system-services ssh set security zones security-zone trust host-inbound-traffic system-services all set security zones security-zone trust host-inbound-traffic protocols bgp set security zones security-zone trust host-inbound-traffic protocols bfd set security zones security-zone trust host-inbound-traffic protocols all set security zones security-zone trust interfaces ge-0/0/3.0 set security zones security-zone halink host-inbound-traffic system-services ike set security zones security-zone halink host-inbound-traffic system-services ping set security zones security-zone halink host-inbound-traffic system-services high-availability set security zones security-zone halink host-inbound-traffic system-services ssh set security zones security-zone halink host-inbound-traffic protocols bfd set security zones security-zone halink host-inbound-traffic protocols bgp set security zones security-zone halink interfaces ge-0/0/2.0 set security policies default-policy permit-all set interfaces ge-0/0/2 description ha_link set interfaces ge-0/0/2 unit 0 family inet address 10.22.0.2/24 set interfaces ge-0/0/3 description trust set interfaces ge-0/0/3 unit 0 family inet address 10.1.0.2/24 set interfaces ge-0/0/4 description untrust set interfaces ge-0/0/4 unit 0 family inet address 10.2.0.2/24
다음 섹션에서는 네트워크에서 MNHA 설정을 설정하는 데 필요한 스위치의 구성 코드 조각을 보여줍니다.
스위치 -01에서
set interfaces ge-0/0/0 description to-vsrx-1 set interfaces ge-0/0/0 mtu 9192 set interfaces ge-0/0/0 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/0 unit 0 family ethernet-switching vlan members lan set interfaces ge-0/0/1 description to-vsrx-2 set interfaces ge-0/0/1 mtu 9192 set interfaces ge-0/0/1 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/1 unit 0 family ethernet-switching vlan members lan set interfaces ge-0/0/2 description lan set interfaces ge-0/0/2 mtu 9192 set interfaces ge-0/0/2 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/2 unit 0 family ethernet-switching vlan members lan set vlans lan vlan-id 1001
스위치 -02에서
set interfaces ge-0/0/0 description to-vsrx-1 set interfaces ge-0/0/0 mtu 9192 set interfaces ge-0/0/0 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/0 unit 0 family ethernet-switching vlan members lan set interfaces ge-0/0/1 description to-vsrx-2 set interfaces ge-0/0/1 mtu 9192 set interfaces ge-0/0/1 unit 0 family ethernet-switching interface-mode access set interfaces ge-0/0/1 unit 0 family ethernet-switching vlan members lan set vlans lan vlan-id 1001
부록 2: 구성 출력 표시
결과(SRX-01)
구성 모드에서 다음 명령을 입력하여 구성을 확인합니다. 출력에 의도한 구성이 표시되지 않으면 이 예의 구성 지침을 반복하여 수정합니다.
[edit]
user@host# show chassis high-availability
local-id {
1;
local-ip 10.22.0.1;
}
peer-id 2 {
peer-ip 10.22.0.2;
interface ge-0/0/2.0;
vpn-profile IPSEC_VPN_ICL;
liveness-detection {
minimum-interval 200;
multiplier 3;
}
}
services-redundancy-group 1 {
deployment-type switching;
peer-id {
2;
}
virtual-ip 1 {
ip 2001:db8:6700::3/64;
ip 10.1.0.200/24;
interface ge-0/0/3.0;
use-virtual-mac;
}
virtual-ip 2 {
ip 2001:db8:6701::7/64;
ip 10.2.0.200/24;
interface ge-0/0/4.0;
use-virtual-mac;
}
monitor {
interface {
ge-0/0/3;
ge-0/0/4;
}
}
preemption;
activeness-priority 200;
}
[edit]
user@host# show security ike
proposal MNHA_IKE_PROP {
description "mnha_link_encr_tunnel";
authentication-method pre-shared-keys;
dh-group group14;
authentication-algorithm sha-256;
encryption-algorithm aes-256-cbc;
lifetime-seconds 3600;
}
policy MNHA_IKE_POL {
description "mnha_link_encr_tunnel";
proposals MNHA_IKE_PROP;
pre-shared-key {
ascii-text "$ABC123";
}
}
gateway MNHA_IKE_GW {
ike-policy MNHA_IKE_POL;
version v2-only;
}
}
[edit]
user@host# show security ipsec
proposal MNHA_IPSEC_PROP {
description "mnha_link_encr_tunnel";
protocol esp;
encryption-algorithm aes-256-gcm;
lifetime-seconds 3600;
}
policy MNHA_IPSEC_POL {
description "mnha_link_encr_tunnel";
proposals MNHA_IPSEC_PROP;
}
vpn IPSEC_VPN_ICL {
ha-link-encryption;
ike {
gateway MNHA_IKE_GW;
ipsec-policy MNHA_IPSEC_POL;
}
}
[edit]
user@host# show security zones
security-zone untrust {
host-inbound-traffic {
system-services {
ike;
ping;
ssh;
}
protocols {
bfd;
bgp;
}
}
interfaces {
ge-0/0/4.0;
}
}
security-zone trust {
host-inbound-traffic {
system-services {
ike;
ping;
ssh;
}
protocols {
bgp;
bfd;
}
}
interfaces {
ge-0/0/3.0;
}
}
security-zone halink {
host-inbound-traffic {
system-services {
ike;
ping;
high-availability;
ssh;
}
protocols {
bfd;
bgp;
}
}
interfaces {
ge-0/0/2.0;
}
}
[edit]
user@host# show interfaces
ge-0/0/2 {
description ha_link;
unit 0 {
family inet {
address 10.22.0.1/24;
}
}
}
ge-0/0/3 {
description trust;
unit 0 {
family inet {
address 10.1.0.1/24;
}
}
}
ge-0/0/4 {
description untrust;
unit 0 {
family inet {
address 10.2.0.1/24;
}
}
}
디바이스 구성이 완료되면 구성 모드에서 들어갑니다 commit .
결과 (SRX-02)
구성 모드에서 다음 명령을 입력하여 구성을 확인합니다. 출력에 의도한 구성이 표시되지 않으면 이 예의 구성 지침을 반복하여 수정합니다.
[edit]
user@host# show chassis high-availability
local-id {
2;
local-ip 10.22.0.1;
}
peer-id 1 {
peer-ip 10.22.0.2;
interface ge-0/0/2.0;
vpn-profile IPSEC_VPN_ICL;
liveness-detection {
minimum-interval 200;
multiplier 3;
}
}
services-redundancy-group 1 {
deployment-type switching;
peer-id {
1;
}
virtual-ip 1 {
ip 10.1.0.200/16;
ip 2001:db8:6700::3/64;
interface ge-0/0/3.0;
use-virtual-mac;
}
virtual-ip 2 {
ip 10.2.0.200/16;
ip 2001:db8:6701::7/64;
interface ge-0/0/4.0;
use-virtual-mac;
}
monitor {
interface {
ge-0/0/3;
ge-0/0/4;
}
}
activeness-priority 1;
}
[edit]
user@host# show security ike
proposal MNHA_IKE_PROP {
description "mnha_link_encr_tunnel";
authentication-method pre-shared-keys;
dh-group group14;
authentication-algorithm sha-256;
encryption-algorithm aes-256-cbc;
lifetime-seconds 3600;
}
policy MNHA_IKE_POL {
description "mnha_link_encr_tunnel";
proposals MNHA_IKE_PROP;
pre-shared-key {
ascii-text "$ABC123";
}
}
gateway MNHA_IKE_GW {
ike-policy MNHA_IKE_POL;
version v2-only;
}
[edit]
user@host# show security ipsec
proposal MNHA_IPSEC_PROP {
description "mnha_link_encr_tunnel";
protocol esp;
encryption-algorithm aes-256-gcm;
lifetime-seconds 3600;
}
policy MNHA_IPSEC_POL {
description "mnha_link_encr_tunnel";
proposals MNHA_IPSEC_PROP;
}
vpn IPSEC_VPN_ICL {
ha-link-encryption;
ike {
gateway MNHA_IKE_GW;
ipsec-policy MNHA_IPSEC_POL;
}
}
[edit]
user@host# show security zones
security-zone untrust {
host-inbound-traffic {
system-services {
ike;
ping;
ssh;
}
protocols {
bfd;
bgp;
}
}
interfaces {
ge-0/0/4.0;
}
}
security-zone trust {
host-inbound-traffic {
system-services {
ike;
ping;
ssh;
all;
}
protocols {
bgp;
bfd;
all;
}
}
interfaces {
ge-0/0/3.0;
}
}
security-zone halink {
host-inbound-traffic {
system-services {
ike;
ping;
high-availability;
ssh;
}
protocols {
bfd;
bgp;
}
}
interfaces {
ge-0/0/2.0;
}
}
[edit]
user@host# show interfaces
ge-0/0/2 {
description ha_link;
unit 0 {
family inet {
address 10.22.0.2/24;
}
}
}
ge-0/0/3 {
description trust;
unit 0 {
family inet {
address 10.1.0.2/24;
}
}
}
ge-0/0/4 {
description untrust;
unit 0 {
family inet {
address 10.2.0.2/24;
}
}
}