Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
이 페이지의 내용
 

예: 레이어 3 네트워크에서 멀티노드 고가용성 구성

요약 이 주제를 읽으면 SRX 시리즈 방화벽에서 멀티노드 고가용성 솔루션을 구성하는 방법을 이해할 수 있습니다. 이 예에서는 SRX 시리즈 방화벽이 양쪽의 라우터에 연결된 경우의 활성/백업 모드 구성을 다룹니다.

개요

멀티 노드 고가용성에서 참여하는 SRX 시리즈 방화벽은 레이어 3 네트워크에서 독립 노드로 작동합니다. 노드는 서로 다른 네트워크에 속하는 인접 인프라에 연결됩니다. 암호화된 논리적 ICL(Interchassis Link)은 라우팅된 네트워크를 통해 노드를 연결합니다. 참여 노드는 시스템 또는 하드웨어 오류 발생 시 빠르게 동기화된 페일오버를 보장하기 위해 서로를 백업합니다.

멀티노드 고가용성에서 활성은 서비스 이중화 그룹(SRG) 수준에서 결정됩니다. SRG1이 활성화된 SRX 시리즈 방화벽은 플로팅 IP 주소를 호스팅하고 플로팅 IP 주소를 사용하여 트래픽을 스티어링합니다. 페일오버 중에 유동 IP 주소는 이전 활성 노드에서 새 활성 노드로 이동하고 클라이언트 디바이스 통신을 계속합니다.

참고:

Junos OS 릴리스 22.3R1부터 멀티노드 고가용성 솔루션에서 2노드 구성을 지원합니다.

요구 사항

이 예에서 사용되는 하드웨어 및 소프트웨어 구성 요소는 다음과 같습니다.

  • SRX 시리즈 방화벽 2개 또는 vSRX 가상 방화벽 인스턴스

  • 주니퍼 네트웍스(R) MX960 유니버설 라우팅 플랫폼 2개

  • Junos OS 릴리스 22.3R1

토폴로지

그림 1 은 이 예에서 사용된 토폴로지를 보여줍니다.

그림 1: 레이어 3 네트워크의 Multinode High Availability in Layer 3 Network 멀티노드 고가용성

토폴로지에서 볼 수 있듯이 두 개의 SRX 시리즈 방화벽은 트러스트 측과 언트러스트 측에서 인접 라우터에 연결되어 BGP 인접 라우터를 형성합니다. 암호화된 논리적 ICL(Interchassis Link)은 라우팅된 네트워크를 통해 노드를 연결합니다. 노드는 네트워크에서 라우팅 가능한 IP 주소(유동 IP 주소)를 사용하여 서로 통신합니다. 루프백 인터페이스는 SRX 시리즈 및 라우터에서 IP 주소를 호스트하는 데 사용됩니다.

일반적으로 SRX 시리즈 방화벽에서 AE(Aggregated Ethernet) 또는 수익 이더넷 포트를 사용하여 ICL 연결을 설정할 수 있습니다. 이 예에서는 ICL에 GE 포트를 사용했습니다. 또한 최대한의 세그멘테이션을 보장하기 위해 ICL 경로에 대한 라우팅 인스턴스를 구성했습니다.

일반적인 고가용성 구축에서는 네트워크의 노스바운드 및 사우스바운드 쪽에 여러 개의 라우터와 스위치가 있습니다. 이 예에서는 SRX 시리즈 방화벽의 양쪽에 있는 두 개의 라우터를 사용합니다.

이 예에서는 SRX 시리즈 방화벽 간에 고가용성을 설정하고 HA 링크 암호화를 활성화하여 터널 트래픽을 보호합니다.

다음 작업을 수행하여 멀티노드 고가용성 설정을 구축합니다.

  • ID를 할당하여 SRX 시리즈 방화벽 쌍을 로컬 및 피어 노드로 구성합니다.
  • 서비스 이중화 그룹을 구성합니다.
  • 유동 IP 주소를 호스팅하도록 루프백 인터페이스(lo0.0)를 구성합니다.
  • 활성 상태 결정 및 적용을 위한 IP 프로브 구성
  • 활성 상태 적용에 필요한 신호 경로를 구성하고 경로 존재 정책과 함께 사용합니다.
  • IKEv2를 사용하여 고가용성(ICL) 트래픽에 대한 VPN 프로필을 구성합니다.
  • BFD 모니터링 옵션 구성
  • 라우팅 정책 및 라우팅 옵션 구성
  • 네트워크의 트래픽을 관리하기 위한 적절한 보안 정책 구성
  • 네트워크 요구 사항에 따라 상태 비저장 방화벽 필터링 및 QoS(Quality of Service)를 구성합니다.

  • 네트워크 요구 사항에 따라 인터페이스와 영역을 구성합니다. 링크 암호화를 위한 IKE 및 구성 동기화를 위한 SSH와 같은 서비스를 ICL과 연결된 보안 영역에서 호스트 인바운드 시스템 서비스로 허용해야 합니다.

이 예에서는 SRX-1 및 SRX-2에서 정적 경로를 사용하고 이러한 경로를 BGP에 보급하여 메트릭을 추가하여 어떤 SRX 시리즈 방화벽이 기본 경로에 있는지 결정합니다. 또는 SRX 시리즈 방화벽에서 경로 리플렉터를 사용하여 BGP를 통해 학습된 경로를 알리고 그에 따라 BGP와 일치하도록 라우팅 정책을 구성할 수 있습니다.

SRG0 및 SRG1에서 다음 옵션을 구성할 수 있습니다.

  • SRG1: 액티브/백업 신호 경로, 구축 유형, 액티브성 우선순위, 선점, 가상 IP 주소(기본 게이트웨이 구축용), 액티브성 프로빙 및 백업 시 프로세스 패킷.

  • SRG1: SRG1의 BFD 모니터링, IP 모니터링 및 인터페이스 모니터링 옵션.

  • SRG0: 장애 시 종료 및 장애 시 설치 경로 옵션.

    SRG1에서 모니터링(BFD 또는 IP 또는 인터페이스) 옵션을 구성할 때 SRG0 아래에서 shutdown-on-failure 옵션을 구성하지 않는 것이 좋습니다.

ICL(Interchassis Link)의 경우 다음 구성 설정을 권장합니다.

  • ICL을 구축하기 위해 어그리게이션 이더넷 인터페이스(ae0) 또는 임의의 수익 이더넷 인터페이스를 사용하는 루프백(lo0) 인터페이스를 사용합니다. SRX 시리즈 방화벽에서 사용 가능한 전용 HA 포트(컨트롤 및 패브릭 포트)를 사용하지 마십시오.
  • MTU를 1514로 설정
  • ICL에 사용되는 인터페이스와 연결된 보안 영역에서 다음 서비스를 허용합니다.
    • IKE, 고가용성, SSH

    • 필요한 라우팅 프로토콜에 따라 다릅니다.

    • BFD를 사용하여 인접 경로를 모니터링할 수 있습니다.

st0.16000에서 st0.16385까지의 보안 터널 인터페이스(st0)는 멀티노드 고가용성을 위해 예약되어 있습니다. 이러한 인터페이스는 사용자가 구성할 수 없습니다. st0.0에서 st0.15999까지의 인터페이스만 사용할 수 있습니다.

구성

시작하기 전에

Junos IKE 패키지는 멀티노드 고가용성 구성을 위해 SRX 시리즈 방화벽에 필요합니다. 이 패키지는 SRX 시리즈 방화벽에서 기본 패키지 또는 옵션 패키지로 사용할 수 있습니다. 자세한 내용은 Junos IKE 패키지 지원을 참조하십시오.

패키지가 SRX 시리즈 방화벽에 기본적으로 설치되지 않는 경우 다음 명령을 사용하여 설치합니다. ICL 암호화에 이 단계가 필요합니다.

CLI 빠른 구성

이 예를 빠르게 구성하려면, 아래 명령을 복사하여 텍스트 파일로 붙여 넣은 다음 모든 라인브레이크를 제거하고, 네트워크 구성을 일치하는 데 필요한 세부 사항을 변경하고, 계층 수준에서 명령을 CLI로 [edit] 복사해 붙여 넣은 다음, 구성 모드에서 을 입력합니다 commit .

이러한 구성은 랩 환경에서 캡처되며 참조용으로만 제공됩니다. 실제 구성은 사용자 환경의 특정 요구 사항에 따라 달라질 수 있습니다.

SRX-1 디바이스

SRX-2 디바이스

다음 섹션에서는 네트워크에서 멀티노드 고가용성 설정을 설정하는 데 필요한 라우터의 구성 조각을 보여줍니다.

라우터(VMX-1)

라우터(VMX-2)

구성

단계별 절차

단계별 절차에서 SRX-1의 구성을 보여드리고 있습니다.

다음 예제에서는 구성 계층의 다양한 수준을 탐색해야 합니다. 이를 수행하는 방법에 대한 지침은 CLI 사용자 가이드의 구성 모드에서 CLI 편집기 사용을 참조하십시오.

  1. 인터페이스를 구성합니다.

    ge-0/0/3 및 ge-0/0/4 인터페이스를 사용하여 업스트림 및 다운스트림 라우터에 연결하고 ge-0/0/2 인터페이스를 사용하여 ICL을 설정합니다.

  2. 루프백 인터페이스를 구성합니다.

    루프백 인터페이스에 할당된 IP 주소(10.11.0.1)가 유동 IP 주소로 사용됩니다.

    루프백 인터페이스를 사용하면 특정 지점에서 인접 라우터의 트래픽이 유동 IP 주소(즉, 활성 노드)로 조정됩니다.

  3. 보안 영역을 구성하고, 영역에 인터페이스를 할당하고, 보안 영역에 허용되는 시스템 서비스를 지정합니다.

    인터페이스 ge-0/0/3 및 ge-0/0/4에 각각 트러스트 존과 언트러스트 존을 할당합니다. lo0.0 인터페이스를 신뢰할 수 없는 영역에 할당하여 공용 IP 네트워크를 통해 연결합니다. 인터페이스 ge-0/0/2를 halink 영역에 할당합니다. 이 영역을 사용하여 ICL을 설정할 수 있습니다.

  4. 라우팅 옵션을 구성합니다.

  5. 노드 ID, 로컬 노드와 피어 노드의 LP 주소, 피어 노드의 인터페이스와 같은 로컬 노드와 피어 노드 세부 정보를 모두 구성합니다.

    ICL을 사용하여 피어 노드와 통신하기 위해 ge-0/0/2 인터페이스를 사용합니다.

  6. 피어 노드에 IPSEC_VPN_ICL IPsec VPN 프로필을 연결합니다.

    노드 간에 보안 ICL 링크를 설정하려면 이 구성이 필요합니다.

  7. 피어 노드에 대한 BFD(Bidirectional Forwarding Detection) 프로토콜 옵션을 구성합니다.

  8. 피어 노드 ID 2를 SRG0(Services Redundancy Group 0)에 연결합니다.

  9. 서비스 이중화 그룹 1(SRG1)을 구성합니다.

    이 단계에서는 레이어 3 네트워크에서 멀티노드 고가용성을 설정하므로 배포 유형을 라우팅으로 지정합니다.

    .

  10. SRG1에 대한 설정 활성도 결정 매개 변수.

    활성 상태 결정 프로브를 위해 부동 IP 주소를 소스 IP 주소(10.11.0.1)로 사용하고 업스트림 라우터의 IP 주소를 대상 IP 주소(10.111.0.1)로 사용합니다.

    IP 모니터링 및 활성 상태 프로빙을 위해 최대 64개의 IP 주소를 구성할 수 있습니다. 총 64개의 IP 주소는 IPv4 및 IPv6 주소 수의 합계입니다.)

  11. SRG1에 대한 BFD 모니터링 매개 변수를 구성하여 네트워크 장애를 감지합니다.

  12. 능동성 적용에 필요한 능동 신호 경로를 구성합니다.

    이 단계에서 활성 SRX 시리즈 방화벽은 구성에 따라 IP 주소 10.39.1.1의 경로를 생성하고 백업 SRX 시리즈 방화벽은 IP 주소 10.39.1.2의 경로를 생성합니다. 이 예에서 SRX-1에 대한 정책은 10.39.1.1(활성 이후)과 일치하며 메트릭 10으로 정적/직접 경로를 보급합니다. SRX-2에 대한 정책은 10.39.1.2(백업 이후)와 일치하며 메트릭 20으로 정적/직접 경로를 보급하므로 선호 순위가 낮아집니다.

    할당한 활성 신호 경로 IP 주소는 경로 선호 광고에 사용됩니다.

    참고:

    문에서 policy-options 정책과 route-exists 함께 활성 신호 경로를 지정해야 합니다. 조건으로 if-route-exists active-signal-route를 구성하면 HA 모듈은 이 경로를 라우팅 테이블에 추가합니다

  13. 정책 옵션을 구성합니다.

    경로 일치 조건(if-route-exists)으로 활성 신호 경로 10.39.1.1을 구성합니다.

  14. 보안 정책을 구성합니다.

    네트워크 요구 사항에 따라 보안 정책을 구성했는지 확인합니다.

  15. 요구 사항에 따라 CA 인증서를 구성합니다.

  16. 멀티노드 고가용성을 위한 IKE(Internet Key Exchange) 구성을 정의합니다. IKE(Internet Key Exchange) 구성은 보안 연결을 설정하는 데 사용되는 알고리즘과 키를 정의합니다.

    멀티노드 고가용성 기능의 경우 IKE(Internet Key Exchange) 버전을 로 구성해야 합니다. v2-only

  17. IPsec 제안 프로토콜 및 암호화 알고리즘을 지정합니다. VPN 통신을 보호하기 위해 두 참가자 디바이스 사이에 IPsec 터널을 생성하는 IPsec 옵션을 지정합니다.

    옵션을 지정하면 ICL이 ha-link-encryption 암호화되어 노드 간의 고가용성 트래픽 플로우를 보장합니다.

    섀시 고가용성 구성에서 동일한 VPN 이름 IPSEC_VPN_ICL 언급 vpn_profile 해야 합니다.

  18. BFD 피어링 세션 옵션을 구성하고 활동 감지 타이머를 지정합니다.

소프트웨어 업그레이드를 위한 구성 옵션(옵션)

멀티노드 고가용성에서는 소프트웨어 업그레이드 중에 경로를 변경하여 트래픽을 우회할 수 있습니다. 다음 단계를 사용하여 실패 시 설치 경로 구성을 추가합니다. 여기서 트래픽은 여전히 노드를 통과할 수 있으며 인터페이스는 작동 상태로 유지됩니다.

자세한 내용은 멀티노드 고가용성의 소프트웨어 업그레이드를 확인하십시오.

  1. 업그레이드하는 동안 트래픽을 전환하는 데 사용되는 경로에 대한 전용 사용자 지정 가상 라우터를 생성합니다.

  2. SRG0에 대한 설치 실패 시 경로 문을 구성합니다.

    라우팅 테이블은 노드가 실패할 때 명령문에 언급된 경로를 설치합니다.

  3. 속성을 가진 route-exists 조건으로 경로를 참조하는 일치하는 라우팅 정책을 생성합니다.

    예: 다음 구성 코드 조각은 SRG0에 대한 IP 주소 10.39.1.3으로 경로를 실패 시 설치 경로로 구성했음을 보여줍니다. 라우팅 정책 문에는 경로 10.39.1.3이 조건으로 if-route-exists 포함되어 있으며, 정책 문은 조건을 일치하는 용어 중 하나로 참조합니다.

결과(SRX-1)

구성 모드에서 다음 명령을 입력하여 구성을 확인합니다.

출력이 의도한 구성을 표시하지 않으면, 이 예의 구성 지침을 반복하여 수정합니다.

디바이스 구성을 마쳤으면 구성 모드에서 을 입력합니다 commit .

결과(SRX-2)

구성 모드에서 다음 명령을 입력하여 구성을 확인합니다. 출력이 의도한 구성을 표시하지 않으면, 이 예의 구성 지침을 반복하여 수정합니다.

디바이스 구성을 마쳤으면 구성 모드에서 을 입력합니다 commit .

보안 디바이스에서 디바이스를 재부팅하라는 다음 메시지가 표시됩니다.

user@host# commit
warning: High Availability Mode changed, please reboot the device to avoid undesirable behavior
commit complete

확인

구성이 올바르게 작동하고 있는지 확인합니다.

멀티노드 고가용성 세부 정보 확인

목적

보안 디바이스에 구성된 멀티노드 고가용성 설정의 세부 정보를 보고 확인합니다.

작업

운영 모드에서 다음 명령을 실행합니다.

SRX-1에서

SRX-2에서

의미

명령 출력에서 다음 세부 정보를 확인합니다.

  • 로컬 노드 및 피어 노드 세부 정보(예: IP 주소 및 ID).

  • 필드는 Encrypted: YES 트래픽이 보호되고 있음을 나타냅니다.

  • 필드는 Deployment Type: ROUTING 레이어 3 모드 구성, 즉 네트워크의 양쪽에 라우터가 있음을 나타냅니다.

  • 필드는 Services Redundancy Group: 1 해당 노드의 SRG1(ACTIVE 또는 BACKUP)의 상태를 나타냅니다.

멀티노드 고가용성 피어 노드 상태 확인

목적

피어 노드 세부 정보를 보고 확인합니다.

작업

운영 모드에서 다음 명령을 실행합니다.

SRX-1

SRX-2 시리즈

의미

명령 출력에서 다음 세부 정보를 확인합니다.

  • 사용된 인터페이스, IP 주소 및 ID와 같은 피어 노드 세부 정보

  • 암호화 상태, 연결 상태 및 콜드 동기화 상태

  • 노드 전체의 패킷 통계.

멀티노드 고가용성 서비스 이중화 그룹 확인

목적

SRG가 구성되어 올바르게 작동하는지 확인합니다.

작업

운영 모드에서 다음 명령을 실행합니다.

SRG0의 경우:

SRG1의 경우:

의미

명령 출력에서 다음 세부 정보를 확인합니다.

  • 구축 유형, 상태, 활성 및 백업 신호 경로와 같은 피어 노드 세부 정보.

  • IP 주소 및 가상 MAC 주소와 같은 가상 IP 정보입니다.

  • IP 모니터링 및 BFD 모니터링 상태.

페일오버 전후의 멀티노드 고가용성 상태 확인

목적

멀티노드 고가용성 설정에서 페일오버 전후의 노드 상태 변화를 확인합니다.

작업

백업 노드(SRX-2)에서 멀티노드 고가용성 상태를 확인하려면 운영 모드에서 다음 명령을 실행합니다.

Services Redundancy Group: 1 섹션에서 필드를 볼 Status: BACKUP 수 있습니다. 이 필드 값은 SRG 1의 상태가 백업임을 나타냅니다.

액티브 노드(SRX-1 디바이스)에서 페일오버를 시작하고 백업 노드(SRX-2 디바이스)에서 명령을 다시 실행합니다.

섹션 아래에서 Services Redundancy Group: 1 SRG1의 상태가 BACKUP 에서 ACTIVE로 변경되었습니다.

섹션에서 피어 노드 세부 정보도 볼 수 있습니다 Peer Information . 출력은 피어의 상태를 BACKUP으로 보여줍니다.