Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

예: 하이브리드 구축 환경에서 멀티노드 고가용성 구성

요약 이 주제를 읽고 SRX 시리즈 방화벽에서 멀티노드 고가용성 솔루션을 구성하는 방법에 대해 알아보십시오. 이 예에서는 SRX 시리즈 방화벽이 한쪽의 라우터에 연결되고 다른 쪽의 스위치인 경우 액티브/백업 모드에서의 구성을 다룹니다.

개요

하이브리드 구축 환경에서 참여하는 SRX 시리즈 방화벽은 한쪽에는 혼합 라우팅된 네트워크 모드, 다른 한편으로는 로컬로 연결된 네트워크에서 독립 노드로 작동합니다. 암호화된 논리적 인터섀시 링크(ICL)는 라우팅된 네트워크를 통해 노드를 연결합니다.

멀티노드 고가용성에서 활성도는 서비스 중복 그룹(SRG) 수준에서 결정됩니다. SRG1이 활성화된 SRX 시리즈 방화벽은 플로팅 IP 주소를 사용하여 플로팅 IP 주소를 호스트하고 트래픽을 유도합니다. 페일오버 중에 유동 IP 주소는 기존 활성 노드에서 새로운 활성 노드로 이동하고 통신 클라이언트 디바이스를 계속합니다.

참고:

릴리스 22.3R1 Junos OS 현재, 멀티노드 고가용성 솔루션에서 2노드 구성을 지원합니다.

이 예에서는 SRX 시리즈 방화벽 간에 고가용성을 설정하고 HA 링크 암호화를 활성화하여 터널 트래픽을 보호합니다.

요구 사항

이 예는 다음과 같은 하드웨어 및 소프트웨어 구성 요소를 사용합니다.

  • 2개의 SRX 시리즈 방화벽 또는 vSRX 가상 방화벽 인스턴스
  • 한쪽 끝에 주니퍼 네트웍스 MX960 유니버설 라우팅 플랫폼
  • 다른 쪽 끝에 있는 주니퍼 네트웍스(R) EX9214 이더넷 스위치
  • Junos OS 릴리스 22.3R1

토폴로지

그림 1은 이 예에서 사용된 토폴로지 를 보여줍니다.

그림 1: 하이브리드 네트워크의 Multinode High Availability In Hybrid Network 멀티노드 고가용성

토폴로지에서와 같이 2개의 SRX 시리즈 방화벽이 언트러스트(untrust)의 라우터와 네트워크의 스위치 트러스트 측면에 연결되었습니다. 노드는 네트워크에서 라우팅 가능한 IP 주소(부동 IP 주소)를 사용하여 서로 통신합니다. 루프백 인터페이스는 SRX 시리즈 및 업스트림 라우터에서 IP 주소를 호스팅하는 데 사용됩니다.

일반적으로 SRX 시리즈 방화벽에서 AE(어그리게이션 이더넷) 또는 수익 이더넷 포트를 사용하여 ICL 연결을 설정할 수 있습니다. 이 예에서는 ICL에 GE 포트를 사용했습니다. 또한 최대 세그먼테이션을 보장하기 위해 ICL 경로에 대한 라우팅 인스턴스를 구성했습니다.

일반적인 고가용성 구축 환경에서는 네트워크의 노스바운드 및 사우스바운드 측면에 여러 개의 라우터와 스위치가 있습니다. 이 예에서는 라우터 한 개와 스위치를 사용하고 있습니다.

멀티노드 고가용성 설정을 구축하기 위해 다음 작업을 수행합니다.

  • ID를 할당하여 SRX 시리즈 방화벽 한 쌍을 로컬 및 피어 노드로 구성합니다.
  • 서비스 중복 그룹(SRG)을 구성합니다.
  • 루프백 인터페이스(lo0.0)를 구성하여 레이어 3 측에서 떠다니는 IP 주소를 호스팅합니다.
  • 레이어 2 측에서 능동성 확인 및 적용을 위해 가상 IP 주소를 구성합니다.
  • 능동적 적용에 필요한 신호 경로를 구성하고 해당 경로와 함께 사용하려면 정책이 존재합니다.
  • IKEv2를 사용하여 고가용성(ICL) 트래픽에 대한 VPN 프로필을 구성합니다.
  • BFD 모니터링 옵션을 구성합니다.
  • 라우팅 정책 및 라우팅 옵션을 구성합니다.
  • 네트워크에서 트래픽을 관리하기 위한 적절한 보안 정책을 구성합니다.
  • 네트워크 요구 사항에 따라 스테이트리스 방화벽 필터링 및 QoS(Quality of Service)를 구성합니다.

  • 네트워크 요구 사항에 따라 인터페이스 및 영역을 구성합니다. 링크 암호화를 위한 IKE(Internet Area Network) 및 ICL과 연결된 보안 영역의 호스트 인바운드 시스템 서비스로 구성 동기화를 위한 SSH와 같은 서비스를 허용해야 합니다.

이 예에서 SRX-1 및 SRX-2에서 정적 경로를 사용하고 이러한 경로를 BGP에 보급하여 메트릭을 추가하여 방화벽이 선호 경로에 있는 SRX 시리즈 판별합니다. 또는 SRX 시리즈 방화벽의 경로 리플렉터를 사용하여 BGP를 통해 학습한 경로를 보급하고 그에 따라 BGP에 일치하도록 라우팅 정책 구성할 수 있습니다.

SRG0 및 SRG1에서 다음 옵션을 구성할 수 있습니다.

  • SRG1: 액티브/백업 신호 경로, 구축 유형, 액티브니스 우선 순위, 선점, 가상 IP 주소(기본 게이트웨이 구축용), 액티브니스 조사 및 백업 패킷 처리.

  • SRG1: SRG1에서 BFD 모니터링, IP 모니터링 및 인터페이스 모니터링 옵션.

  • SRG0: 장애 시 종료 및 장애 경로 옵션에 설치.

    SRG1에서 모니터링(BFD 또는 IP 또는 인터페이스) 옵션을 구성할 때 SRG0에 따라 shutdown-on-failure 옵션을 구성하지 않는 것이 좋습니다.

ICL(interchassis link)의 경우 다음 구성 설정을 권장합니다.

  • 어그리게이션 이더넷 인터페이스(ae0) 또는 모든 수익 이더넷 인터페이스를 사용하여 루프백(lo0) 인터페이스를 사용하여 ICL을 설정합니다. SRX 시리즈 방화벽에서 사용 가능한 경우 전용 HA 포트(제어 및 패브릭 포트)를 사용하지 마십시오.
  • 1514 MTU 설정
  • ICL에 사용되는 인터페이스와 연결된 보안 영역에서 다음 서비스를 허용합니다.
    • IKE(Internet Internet Internet) 고가용성(SSH)

    • 프로토콜은 필요한 라우팅 프로토콜에 따라 다릅니다.

    • 이웃 경로를 모니터링하는 BFD

구성

시작하기 전에

Junos IKE 패키지는 멀티노드 고가용성 구성을 위해 SRX 시리즈 방화벽에서 필요합니다. 이 패키지는 기본 패키지로 제공되거나 SRX 시리즈 방화벽에서 옵션 패키지로 제공됩니다. 자세한 내용은 Junos IKE 패키지 지원을 참조하십시오.

패키지가 기본적으로 SRX 시리즈 방화벽에 설치되지 않은 경우 다음 명령을 사용하여 설치합니다. ICL 암호화를 위해 이 단계가 필요합니다.

CLI 빠른 구성

이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브러브를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 바꾸고 계층 수준에서 명령을 CLI [edit] 로 복사해 붙여 넣은 다음, 구성 모드에서 을(를) 입력 commit 합니다.

이러한 구성은 랩 환경에서 캡처되며 참조 전용으로 제공됩니다. 실제 구성은 환경의 특정 요구 사항에 따라 다를 수 있습니다.

SRX-1 디바이스

SRX-2 디바이스

다음 섹션에는 네트워크에서 멀티노드 고가용성 설정 설정에 필요한 라우터 및 스위치의 구성 조각이 표시됩니다.

라우터에서(MX960)

스위치에서(EX9214)

구성

단계별 절차

단계별 절차에서 SRX-01 구성을 보여 겠습니다.

다음 예제에서는 구성 계층에서 다양한 수준의 탐색이 필요합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.

  1. 인터페이스를 구성합니다.

    인터페이스 ge-0/0/3은 스위치에 연결하고, ge-0/0/4는 라우터를 연결하며, ge-0/0/2 인터페이스는 ICL에 사용됩니다.

  2. 루프백 인터페이스를 구성합니다.

    IP 주소(10.11.0.1)를 루프백 인터페이스에 할당합니다. 이 IP 주소는 부동 IP 주소로 작동합니다.

    루프백 인터페이스를 사용하면 특정 시점에서 인접 라우터의 트래픽이 플로팅 IP 주소(즉, 활성 노드)로 스티어링됩니다.

  3. 보안 정책을 구성합니다.

    네트워크 요구 사항에 따라 보안 정책을 구성되었는지 확인합니다. 이 예에서는 모든 트래픽을 허용하는 정책을 구성합니다.

  4. 보안 영역을 구성하고, 영역에 인터페이스를 할당하고, 보안 영역에 허용되는 시스템 서비스를 지정합니다.

    인터페이스 ge-0/0/3 및 ge-0/0/4를 trust 각각 및 untrust 영역에 할당합니다. 공용 IP 네트워크를 통해 연결할 신뢰할 수 없는 영역에 lo0.0 인터페이스를 할당합니다. 인터페이스 ge-0/0/2를 halink 영역에 할당합니다. 이 영역을 사용하여 ICL을 설정합니다.

  5. 라우팅 옵션을 구성합니다.

  6. 노드 ID, 로컬 노드 및 피어 노드의 lP 주소, 피어 노드의 인터페이스와 같은 로컬 노드 및 피어 노드 세부 정보를 모두 구성합니다.

    ICL을 사용하여 피어 노드와 통신하기 위해 ge-0/0/2 인터페이스를 사용합니다.

  7. IPsec VPN 프로필 IPSEC_VPN_ICL 피어 노드에 연결합니다.

    노드 간에 안전한 ICL 링크를 설정하려면 이 구성이 필요합니다.

  8. 피어 노드에 대한 BFD(Bidirectional Forwarding Detection) 프로토콜 옵션을 구성합니다.

  9. 피어 노드 ID 2를 서비스 중복 그룹 0(SRG0)에 연결합니다.

  10. 서비스 중복 그룹 1(SRG1)을 구성합니다.

    이 단계에서는 레이어 3 및 레이어 2 네트워크에서 멀티노드 고가용성을 설정하기 때문에 구축 유형을 하이브리드로 지정합니다.

    가상 IP(VIP) 주소와 SRG1에 대한 인터페이스를 할당합니다.

  11. SRG1에 대한 IP 및 BFD 모니터링 매개 변수를 구성하여 IP 주소의 도달 가능성을 확인하고 네트워크의 실패를 감지합니다.

    소스 및 대상 IP 주소와 피어 디바이스에 연결된 인터페이스를 지정하여 BFD 라이브라인을 구성할 수 있습니다.

    IP 모니터링의 경우, 이웃 라우터와 스위치를 연결하는 데 사용되는 인터페이스를 지정합니다.
  12. 능동적 적용에 필요한 활성 신호 경로를 구성합니다.

    이 단계에서 활성 SRX 시리즈 방화벽은 IP 주소 10.39.1.1과 함께 경로를 생성하고 백업 SRX 시리즈 방화벽은 구성에 따라 IP 주소 10.39.1.2로 경로를 만듭니다. 이 예에서 SRX-1의 정책은 10.39.1.1(활성 이후)과 일치하며, 정적/직접 경로를 선호하는 메트릭 10으로 보급합니다. SRX-2의 정책은 10.39.1.2(백업 이후)와 일치하며 메트릭 20으로 정적/직접 경로를 보급하여 선호도가 낮습니다.

    할당하는 활성 신호 경로 IP 주소는 경로 선호 광고에 사용됩니다. 문에서 정책과 policy-options 함께 route-exists 활성 신호 경로를 지정해야 합니다.

  13. 정책 옵션을 구성합니다.

  14. BFD 피어링 세션 옵션을 구성하고 활기 감지 타이머를 지정합니다.

  15. 요구 사항에 따라 CA 인증서를 구성합니다.

  16. 멀티노드 고가용성을 위한 Internet Key Exchange(IKE) 구성을 정의합니다. IKE(Internet Key Exchange) 구성은 보안 연결을 설정하는 데 사용되는 알고리즘과 키를 정의합니다.

    멀티노드 고가용성 기능의 경우 IKE 버전을 v2-only로 구성해야 합니다.
  17. IPsec 제안 프로토콜 및 암호화 알고리즘을 지정합니다. VPN 통신을 보호하기 위해 두 참가자 디바이스 간에 IPsec 터널을 생성하도록 IPsec 옵션을 지정합니다.

    섀시 고가용성 구성에서는 동일한 VPN 이름 IPSEC_VPN_ICL 언급 vpn_profile 해야 합니다. 옵션을 지정하면 ha-link-encryption ICL을 암호화하여 노드 간의 고가용성 트래픽 흐름을 보호합니다.

소프트웨어 업그레이드를 위한 구성 옵션

멀티노드 고가용성에서는 소프트웨어 업그레이드 중에 노드의 인터페이스를 폐쇄하여 트래픽을 전환할 수 있습니다. 여기서 트래픽은 노드를 통과할 수 없습니다. 자세한 내용은 멀티노드 고가용성 소프트웨어 업그레이드 를 참조하십시오.

  1. "shutdown-on-failure" 옵션 아래에 모든 트래픽 인터페이스를 구성합니다. 예제:
    주의:

    섀시 간 링크(ICL)에 할당된 인터페이스를 사용하지 마십시오.

결과(SRX-1)

구성 모드에서 다음 명령을 입력하여 구성을 확인합니다. 출력에 의도한 구성이 표시되지 않으면 이 예의 구성 지침을 반복하여 수정합니다.

디바이스 구성이 완료되면 구성 모드에서 을(를) 입력합니다 commit .

결과(SRX-2)

구성 모드에서 다음 명령을 입력하여 구성을 확인합니다. 출력에 의도한 구성이 표시되지 않으면 이 예의 구성 지침을 반복하여 수정합니다.

디바이스 구성이 완료되면 구성 모드에서 을(를) 입력합니다 commit .

보안 디바이스에서는 디바이스 재부팅을 요청하는 다음 메시지가 표시됩니다.

확인

구성이 제대로 작동하는지 확인합니다.

멀티노드 고가용성 세부 정보 확인

목적

보안 디바이스에 구성된 멀티노드 고가용성 설정의 세부 정보를 보고 확인합니다.

작업

운영 모드에서 다음 명령을 실행합니다.

SRX-1에서

On SRX-2

의미

명령 출력에서 이러한 세부 정보를 확인합니다.

  • IP 주소 및 ID와 같은 로컬 노드 및 피어 노드 세부 정보.

  • 필드는 Encrypted: YES 트래픽이 보호되었음을 나타냅니다.

  • 필드는 Deployment Type: HYBRID 하이브리드 모드 구성을 나타냅니다. 즉, 네트워크에는 한쪽에는 라우터, 다른 쪽에는 스위치가 있습니다.

  • 필드는 Services Redundancy Group: 1 해당 노드의 SRG1(ACTIVE 또는 BACKUP) 상태를 나타냅니다.

멀티노드 고가용성 피어 노드 상태 확인

목적

피어 노드 세부 정보를 보고 확인합니다.

작업

운영 모드에서 다음 명령을 실행합니다.

SRX-1

SRX-2

의미

명령 출력에서 이러한 세부 정보를 확인합니다.

  • 사용된 인터페이스, IP 주소 및 ID와 같은 피어 노드 세부 정보

  • 암호화 상태, 연결 상태 및 콜드 동기화 상태

  • 노드 전반의 패킷 통계.

멀티노드 고가용성 서비스 이중화 그룹 확인

목적

SRG가 올바르게 구성되고 작동하는지 확인합니다.

작업

운영 모드에서 다음 명령을 실행합니다.

SRG0의 경우:

For SRG1:

의미

명령 출력에서 이러한 세부 정보를 확인합니다.

  • 구축 유형, 상태, 액티브 및 백업 신호 경로와 같은 피어 노드 세부 정보.

  • IP 주소 및 가상 MAC 주소 같은 가상 IP 정보.

  • - IP 모니터링 및 BFD 모니터링 상태.

페일오버 전후 멀티노드 고가용성 상태 확인

목적

멀티노드 고가용성 설정에서 페일오버 전후 노드 상태 변경을 확인합니다.

작업

백업 노드(SRX-2)에서 멀티노드 고가용성 상태를 확인하려면 운영 모드에서 다음 명령을 실행합니다.

Services Redundancy Group: 1 섹션에서 필드를 볼 Status: BACKUP 수 있습니다. 이 필드 값은 SRG 1의 상태가 백업임을 나타냅니다.

활성 노드(SRX-1 디바이스)에서 페일오버를 시작하고 백업 노드(SRX-2)에서 명령을 다시 실행합니다.

Services Redundancy Group: 1 섹션에서 SRG1의 상태가 백업에서 ACTIVE로 변경되었습니다.

섹션 아래에서 Peer Information 피어 노드 세부 정보도 볼 수 있습니다. 출력은 피어의 상태를 BACKUP로 표시합니다.