2노드 멀티노드 고가용성

서비스 중복 그룹

서비스 중복 그룹(SRG)은 멀티노드 고가용성 설정에서 페일오버 유닛입니다. SRG에는 두 가지 유형이 있습니다.

• SRG0 - IPsec VPN 서비스를 제외한 레이어 4-레이어 7의 보안 서비스를 관리합니다. SRG0은 어떤 시점에서든 두 노드에서 활성 모드로 작동합니다. SRG0에서 각 보안 세션은 대칭 플로우에서 노드를 트래버스해야 하며, 이러한 플로우의 백업은 다른 노드와 완전히 상태 동기화됩니다.
• SRG1+ - 하이브리드 및 기본 게이트웨이 모드용 IPsec 서비스 및 가상 IP를 관리하고 다른 노드에 백업됩니다. SRG1은 한 노드의 활성 모드와 다른 노드의 백업 노드에서 작동합니다.

그림 8은 멀티노드 고가용성 설정의 SRG0 및 SRG1을 보여줍니다.

그림 8: 멀티노드 고가용성(액티브-백업 모드) 에서 단일 SRG 지원

그림 9 는 멀티노드 고가용성 설정의 SRG0 및 SRG1+를 보여줍니다.

그림 9: 멀티노드 고가용성(액티브-액티브 모드) 에서의 다중 SRG 지원

Junos OS 릴리스 22.4R1부터 멀티노드 고가용성을 구성하여 멀티 SRG1(SRG1+)을 지원하는 액티브-액티브 모드에서 작동할 수 있습니다. 이 모드에서 일부 SRG는 한 노드에서 활성 상태로 유지되고 일부 SRG는 다른 노드에서 활성 상태로 유지됩니다. 특정 SRG는 항상 액티브 백업 모드에서 작동합니다. 한 노드에서는 활성 모드로 작동하고 다른 노드에서는 백업 모드로 작동합니다. 이 경우 두 노드 모두 활성 SRG1 포워딩 스테이트풀 서비스를 가질 수 있습니다. 각 노드에는 SRG1+에 할당된 서로 다른 유동 IP 주소 집합이 있습니다.

표 1 은 멀티노드 고가용성 설정에서 SRG의 동작을 설명합니다.

Junos OS 릴리스 23.4R1부터 멀티노드 고가용성 설정은 결합 모드에서 작동합니다. SRG(SRG0 또는 SRG1+) 구성을 추가하거나 삭제할 때 시스템을 재부팅할 필요가 없습니다.

활성도 확인 및 실행

멀티노드 고가용성 설정에서 활성은 노드 수준이 아닌 서비스 수준에서 결정됩니다. 활성/백업 상태는 SRG 수준이고 트래픽은 활성 SRG로 조정됩니다. SRG0은 두 노드 모두에서 활성 상태를 유지하는 반면, SRG1은 각 노드에서 활성 또는 백업 상태로 유지될 수 있습니다

부팅 시 특정 노드가 활성 노드로 인계받기를 원할 경우, 다음 중 하나를 수행할 수 있습니다.

• 노드가 위치한 경로에 대한 기본 설정을 포함하도록 업스트림 라우터를 구성합니다.
• 활성 우선 순위를 구성합니다.
• 노드 ID가 더 높은 노드(위의 두 옵션이 구성되지 않은 경우)가 활성 역할을 수행하도록 허용합니다.

멀티노드 고가용성 설정에서 두 SRX 시리즈 방화벽 모두 처음에 업스트림 라우터에 유동 IP 주소의 경로를 보급합니다. SRX 시리즈 방화벽에서 보급하는 두 경로 사이에는 특정한 선호가 없습니다. 그러나 라우터는 구성된 메트릭에 따라 경로 중 하나에 대한 자체 기본 설정을 가질 수 있습니다.

그림 10은 활성성 결정 및 활성성 적용을 위한 일련의 이벤트를 나타냅니다.

그림 10: 활성도 확인 및 실행

1. 부팅 시 디바이스는 보류 상태로 전환되고 지속적으로 프로빙을 시작합니다. 디바이스는 유동 IP 주소(활성성 프로브 소스 IP 주소)를 소스 IP 주소로, 업스트림 라우터의 IP 주소를 활성 상태 확인 프로브의 대상 IP 주소로 사용합니다.

2. 프로브 대상 IP 주소를 호스팅하는 라우터는 기본 라우팅 경로에서 사용할 수 있는 SRX 시리즈 방화벽에 응답합니다. 다음 예에서 SRX-1은 업스트림 라우터로부터 응답을 받습니다.

   그림 11: 활성도 확인 및 적용

3. SRX-1은 프로브 응답을 받은 이후 활성 역할로 승격됩니다. SRX-1은 역할 변경을 다른 디바이스에 전달하고 활성 역할을 맡습니다.

4. 활성도가 결정된 후, 액티브 노드(SRX-1):

   • 할당된 유동 IP 주소를 호스팅합니다.
   • 인접한 BGP 인접 라우터에 높은 선호도 경로를 보급합니다.
   • 트래픽을 끌어오기 위해 모든 원격 및 로컬 경로에 대해 활성(더 높은) 선호 경로를 계속 보급합니다.
   • ICL을 통해 다른 노드에 활성 노드 상태를 알립니다.

5. 다른 디바이스(SRX-2)는 프로빙을 중단하고 백업 역할을 인계받습니다. 백업 노드는 기본(낮은) 우선 순위를 광고하여 업스트림 라우터가 백업 노드로 패킷을 전달하지 않도록 합니다.

멀티노드 고가용성 모듈은 노드가 활성 역할로 이동할 때 SRG에 대한 활성 및 백업 신호 경로를 라우팅 테이블에 추가합니다. 노드 실패의 경우 ICL이 다운되고 현재 활성 노드가 활성 역할을 해제하고 활성 신호 경로를 제거합니다. 이제 백업 노드는 프로브를 통해 상태를 감지하고 활성 역할로 전환합니다. 모든 트래픽을 새 활성 노드로 이동하도록 경로 기본 설정이 전환됩니다.

경로 선호 보급의 스위치는 SRX 시리즈 방화벽에서 구성된 라우팅 정책의 일부입니다. 조건과 함께 활성 신호 경로를 포함하도록 라우팅 정책을 구성해야 합니다.if-route-exists

• 기본 게이트웨이 구축의 경우
• 하이브리드 구축의 경우
• 활성, 우선 순위 및 선점
• 활성 프로브 설정 구성

복원력 및 페일오버

멀티노드 고가용성 솔루션은 서비스 수준에서 중복을 지원합니다. 서비스 레벨 중복은 노드 전반에 걸쳐 컨트롤 플레인을 동기화하는 데 필요한 노력을 최소화합니다.

멀티노드 고가용성 설정이 활성 상태를 판별한 후 ICL을 통해 후속 고가용성(HA) 상태를 협상합니다. 백업 노드는 유동 IP 주소를 사용하여 ICMP 프로브를 보냅니다. ICL이 작동 중이면 노드는 프로브에 대한 응답을 받고 백업 노드로 유지됩니다. ICL이 다운되고 프로브 응답이 없으면 백업 노드가 활성 노드로 전환됩니다.

이전 백업 노드의 SRG1은 이제 활성 상태로 전환되고 원활하게 계속 작동합니다. 전환이 발생하면 유동 IP 주소가 활성 SRG1에 할당됩니다. 이러한 방식으로 IP 주소는 활성 노드와 백업 노드 사이에 떠 있으며 연결된 모든 호스트에 도달 가능한 상태를 유지합니다. 따라서 트래픽은 중단 없이 계속 흐릅니다.

컨트롤 플레인과 데이터 플레인 상태를 모두 필요로 하는 IPsec VPN과 같은 서비스는 노드 간에 동기화됩니다. 이 서비스 기능에 대해 활성 노드에 장애가 발생할 때마다 컨트롤 플레인과 데이터 플레인이 동시에 백업 노드로 페일오버됩니다.

노드는 다음 메시지를 사용하여 데이터를 동기화합니다.

• 라우팅 엔진에서 라우팅 엔진 제어 애플리케이션 메시지
• 라우팅 엔진 구성 관련 메시지
• 데이터 플레인 RTO 메시지

섀시 간 링크(ICL) 암호화

멀티노드 고가용성에서 활성 노드와 백업 노드는 라우팅된 네트워크를 통해 연결되거나 직접 연결된 섀시 간 링크(ICL)를 사용하여 서로 통신합니다. ICL은 논리적 IP 링크이며 네트워크에서 라우팅 가능한 IP 주소를 사용하여 설정됩니다.

노드는 ICL을 사용하여 컨트롤 플레인과 데이터 플레인 상태를 동기화합니다. ICL 통신은 공유 네트워크나 신뢰할 수 없는 네트워크를 통해 전송될 수 있으며 ICL을 통해 전송된 패킷은 항상 신뢰할 수 없는 경로를 통과할 수 있습니다. 따라서 IPsec 표준을 사용하여 트래픽을 암호화하여 ICL을 통과하는 패킷을 보호해야 합니다.

IPsec은 ICL에 대한 암호화 터널을 설정하여 트래픽을 보호합니다. HA 링크 암호화를 적용하면 HA 트래픽은 안전하고 암호화된 터널을 통해서만 노드 간에 흐릅니다. HA 링크 암호화가 없으면 노드 간의 통신이 안전하지 않을 수 있습니다.

ICL에 대한 HA 링크를 암호화하려면:

• 다음 명령을 사용하여 SRX 시리즈 방화벽에 Junos IKE 패키지를 설치합니다.

  request system software add optional://junos-ike.tgz 입니다.

• HA 트래픽에 대한 VPN 프로필을 구성하고 두 노드 모두에 프로필을 적용합니다. SRX 시리즈 방화벽 간에 협상된 IPsec 터널은 IKEv2 프로토콜을 사용합니다.

• IPsec VPN 구성에 ha-link-encryption 문을 포함했는지 확인합니다. 예: user@host# 보안 ipsec vpn vpn-name ha-link-encryption을 설정합니다.

ICL을 설정하려면 다음을 권장합니다.

• 포화 상태가 될 가능성이 낮은 포트와 네트워크를 사용합니다.

• 전용 HA 포트(SRX 시리즈 방화벽에서 사용 가능한 경우 제어 및 패브릭 포트)를 사용하지 않음

• ICL을 루프백 인터페이스(lo0) 또는 어그리게이션 이더넷 인터페이스(ae0)에 바인딩하고 최고의 복원력을 위해 경로 다양성을 보장하는 둘 이상의 물리적 링크(LAG/LACP)를 보유합니다.

• SRX 시리즈 방화벽의 수익 이더넷 포트를 사용하여 ICL 연결을 설정할 수 있습니다. 수익 인터페이스의 전송 트래픽을 고가용성(HA) 트래픽과 분리해야 합니다.

• 멀티노드 고가용성 설정에서 HA 링크 암호화 터널에 대한 터널 최대 전송 단위(MTU) 구성을 제한하기 위한 검증 검사가 도입되었습니다. 검증 검사는 IPv6 암호화를 사용하는 HA 링크의 엔드투엔드 MTU가 최소 요구 사항인 2000바이트를 충족하는지 확인하여 고가용성 운영 중에 최적의 성능과 안정성을 유지하는 데 도움이 됩니다.

  예를 들어 구성에 터널-mtu가 2000 미만인 다음 스탠자가 포함된 경우 커밋 확인 오류가 발생합니다. user@host# set security ipsec vpn L3HA_IPSEC_VPN 터널-mtu <bytes>

자세한 내용은 멀티노드 고가용성 구성을 참조하십시오.

ICL을 위한 PKI 기반 링크 암호화

Junos OS 릴리스 22.3R1부터는 멀티노드 고가용성에서 섀시 간 링크(ICL)를 위한 PKI 기반 링크 암호화를 지원합니다. 이 지원의 일환으로 이제 로컬 키 쌍, 로컬 인증서 및 인증서 서명 요청과 같은 노드별 PKI 개체를 생성하고 저장할 수 있습니다. 개체는 로컬 노드에 따라 다르며 두 노드의 특정 위치에 저장됩니다.

노드 로컬 개체를 사용하면 ICL 암호화에 사용되는 PKI 개체와 두 엔드포인트 사이에 생성된 IPsec VPN 터널에 사용되는 PKI 개체를 구별할 수 있습니다.

로컬 노드에서 실행되는 다음 명령을 사용하여 노드별 PKI 개체에 대해 작업할 수 있습니다.

멀티노드 고가용성의 보안 디바이스에서 자동 재등록 옵션을 구성한 경우 재등록 트리거 시 ICL이 다운되면 두 디바이스 모두 CA 서버에 동일한 인증서를 별도로 등록하기 시작하고 동일한 CRL 파일을 다운로드합니다. 멀티노드 고가용성이 ICL을 다시 설정하면 설정에서는 하나의 로컬 인증서만 사용됩니다. 백업 노드의 명령을 사용하여 user@host> request security pki sync-from-peer 활성 노드에서 백업 노드로 인증서를 동기화해야 합니다.

인증서를 동기화하지 않으면 피어 노드 간의 인증서 불일치 문제가 다음 재등록까지 지속됩니다.

선택적으로 노드에서 키 쌍을 생성하기 전에 두 노드에서 TPM(신뢰할 수 있는 플랫폼 모듈)을 활성화할 수 있습니다. 신뢰할 수 있는 플랫폼 모듈을 사용하여 SRX 시리즈 디바이스에서 비밀 바인딩을 참조하십시오.

ICMP 기반 스플릿 브레인 프로빙

두 개의 SRX 시리즈 디바이스가 멀티노드 고가용성 설정의 일부인 시나리오를 생각해보십시오. SRX-1을 로컬 노드로, SRX-2 원격 노드로 생각해 보겠습니다. 로컬 노드는 현재 활성 역할에 있으며 트래픽을 유도하기 위해 유동 IP 주소를 호스팅하고 있습니다. 업스트림 라우터는 로컬 노드에 대한 우선 순위가 더 높은 경로를 가집니다.

노드 간의 ICL이 다운되면 두 노드 모두 활성 상태 결정 프로브(ICMP 프로브)를 시작합니다. 노드는 플로팅 IP 주소(활성도 결정 IP 주소)를 소스 IP 주소로 사용하고 업스트림 라우터의 IP 주소를 프로브의 대상 IP 주소로 사용합니다.

사례 1: 활성 노드가 작동 중인 경우

그림 12: 활성 노드가 작동하고 ICL이 다운

• 프로브 대상 IP 주소를 호스팅하는 업스트림 라우터는 두 노드에서 ICMP 프로브를 수신합니다.
• 업스트림 라우터는 활성 노드에만 응답합니다. 구성이 활성 노드에 대한 선호 경로가 더 높기 때문입니다
• 활성 노드는 활성 역할을 유지합니다.

활성 노드가 다운된 경우:

그림 13: 활성 노드가 중단되고 ICL이 중단 됨

• 원격 노드가 활성성 판별 프로브를 다시 시작합니다.
• 프로브 대상 IP 주소를 호스팅하는 라우터가 (이전 활성 노드의) 상위 선호 경로를 잃어버렸고 원격 노드에 응답합니다.
• 프로브 결과는 원격 노드에 대해 성공하고 원격 노드가 활성 상태로 전환됩니다.
• 위의 사례에서 나타난 바와 같이, 업스트림 라우터에서 활성 상태 결정 프로브와 더 높은 경로 기본 설정을 구성하면 하나의 노드가 항상 활성 역할을 유지하고 스플릿 브레인이 발생하는 것을 방지할 수 있습니다.

BFD 기반 스플릿 브레인 프로빙

Junos OS 릴리스 23.4R1에서는 기본 게이트웨이를 위한 BFD 기반 스플릿 브레인 프로빙과 멀티노드 고가용성을 위한 하이브리드 모드 구축을 지원합니다.

섀시 간 링크(ICL) 장애는 종종 네트워크 중단 또는 일관되지 않은 구성이라는 두 가지 주요 요인에 기인할 수 있습니다. 활성 프로브를 사용하여 각 SRG1+에 대해 활성 역할을 수행할 수 있는 노드를 결정할 수 있습니다. 프로브 결과에 따라 노드 중 하나가 활성 상태로 전환되고 이 작업은 스필르트 브레인 시나리오를 방지합니다.

BFD 기반 스플릿 브레인 프로빙을 사용하면 이제 인터페이스, 최소 간격 및 승수를 정의할 수 있으므로 프로브를 보다 세밀하게 제어할 수 있습니다. BFD 기반 스플릿 브레인 프로빙에서는 SRG가 구성되어 기능을 시작한 직후 프로빙이 시작됩니다. 기본 ICMP 기반 스플릿 브레인 프로빙에서는 ICL 링크가 다운된 후에만 프로빙이 시작됩니다.

이에 비해 BFD 기반 프로빙은 스플릿 브레인 시나리오를 방지하기 위해 더 빠른 응답을 보장하기 위해 다음과 같은 방법으로 훨씬 더 사전 예방적입니다.

• 프로빙은 SRG 구성을 포스트하여 직접 시작합니다.

• ICL BFD와 스플릿 브레인 프로브가 동시에 중단되면 백업 노드가 즉시 활성 역할을 맡아 VIP를 인계받습니다.

이를 통해 더 빠른 응답을 보장하여 분할 뇌 시나리오를 방지할 수 있습니다.

• 작동 방식
• ICMP 기반 및 BFD 기반 프로빙의 차이

show chassis 
high-availability services-redundancy-group 1 
activeness-probe
dest-ip {
    192.168.21.1; 
    src-ip 192.168.21.2;
    }

show chassis 
high-availability services-redundancy-group 1 
activeness-probe
bfd-liveliness {
    source-ip 192.168.21.1; (inet address of the local SRX sub interface) 
    destination-ip 192.168.21.2; (inet address of the peers SRX sub interface) 
    interface xe-0/0/1.0;     
}

다음 그림은 분할 뇌 감지를 위한 ICMP 기반 프로빙 및 BFD 기반 프로빙에 대한 구성 옵션을 보여줍니다.

그림 14: ICMP 기반 및 BFD 기반 프로빙을 위한 능동성 프로브 구성

하이브리드 모드 및 기본 게이트웨이 구축에서 다음 두 수준에서 활성-프로브 간격 및 임계값을 구성할 수 있습니다.

• ICMP 기반 스플릿 브레인 프로빙에 적용 가능한 글로벌 수준

• BFD-BFD 분할 뇌 프로브에 특정한 활성도 수준. BFD 기반 프로빙을 구성할 때 문 아래 activeness-probe 에서 전역 minimum-interval 및 multiplier 옵션을 구성하지 마십시오.

기본 게이트웨이 구축을 위한 활성 프로브를 구성하려면 두 노드(로컬 및 피어) 모두에서 기본 가상 IP(VIP1) 주소 인터페이스를 사용하여 활성 프로브를 설정합니다. 대상 IP는 피어 노드에서, 소스 IP는 로컬 노드에서 가져온 것입니다. 두 VIP 모두 동일한 인덱스 값을 가져야 합니다. IP 주소는 SRX 시리즈 방화벽의 LAN 인터페이스에 할당된 inet 주소여야 합니다.

분할 브레인 프로빙 구성

• 샘플 구성
• 검증

그림 15: 분할 뇌 프로빙 을 위한 멀티노드 고가용성 구성

SRX-1을 로컬 노드로, SRX-2를 원격 노드로 생각해 보겠습니다. 로컬 노드는 현재 활성 역할에 있으며 업스트림 라우터는 로컬 노드에 대한 우선 순위가 더 높은 경로를 가지고 있습니다.

activeness-probe의 경우, 다음 옵션을 구성해야 합니다:

• 소스 IP 주소: 로컬 노드의 SRG1에 대한 가상 IP 주소 1(VIP1)을 사용합니다.

• 대상 IP 주소: 피어 노드의 SRG1의 VIP1을 사용합니다.

• 인터페이스: VIP1과 연결된 인터페이스

이 예에서는 BFD 활성을 위해 가상 IP(VIP) 주소(192.168.21.1)와 인터페이스 xe-0/0/1.0을 할당합니다. 여기서는 소스 및 대상 IP 주소와 인터페이스를 지정하여 BFD 기반 스플릿 브레인 프로빙을 구성합니다.

노드는 SRG1의 가상 IP 주소(VIP1)와 연결된 인터페이스의 패밀리 inet 주소를 사용합니다.

두 노드 모두 SRG가 작동을 시작하자마자 능동성 결정 프로브(BFD 기반 프로브)를 시작합니다.

다음 표는 멀티노드 고가용성 설정이 ICL이 다운될 때 BFD 기반 프로빙으로 분할 브레인 상황을 해결하는 방법을 보여줍니다. 노드 상태 및 프로브 결과에 따라 멀티노드 고가용성 시스템은 활성 역할을 수행할 노드를 선택합니다.

표 4는 멀티노드 고가용성 설정이 ICL이 다운되었을 때 BFD 기반 프로빙으로 분할 브레인 상황을 해결하는 방법을 보여줍니다. 노드 상태 및 프로브 결과에 따라 멀티노드 고가용성 시스템은 활성 역할을 수행할 노드를 선택합니다.

이 예에서는 노드 1의 SRG1이 더 높은 활성 우선 순위를 갖는다고 가정합니다.

• 명령을 사용하여 show chassis high-availability services-redundancy-group 1 디바이스에 구성된 분할 브레인 프로브 유형을 확인합니다.

  (BFD 기반 프로빙) (ICMP 기반 프로빙)

• 명령을 사용하여 show bfd session BFD 기반 프로브 상태를 확인합니다.

  샘플에서 인터페이스 xe-0/0/1.0에 대해 BFD 기반 스플릿 브레인 프로빙이 실행되고 있음을 알 수 있습니다.

• 명령을 사용하여 show chassis high-availability services-redundancy-group 1 BFD 기반 프로브의 세부 정보를 가져옵니다.

논리적 시스템 및 테넌트 시스템 지원

SRX 시리즈 방화벽을 위한 논리적 시스템을 사용하면 단일 디바이스를 보안 컨텍스트로 분할할 수 있으며, 테넌트 시스템은 물리적 방화벽을 별도의 격리된 논리적 방화벽으로 논리적으로 분할합니다.

테넌트 시스템은 물리적 방화벽을 별도의 격리된 논리적 방화벽으로 논리적으로 분할합니다. 논리적 시스템과 비슷하지만 테넌트 시스템은 확장성이 훨씬 높고 라우팅 기능은 적습니다.

멀티노드 고가용성 설정의 SRX 시리즈 방화벽은 SRG0(Services 중복 Group 0)에서 논리적 시스템과 테넌트 시스템을 지원합니다.

논리적 시스템을 실행하는 SRX 시리즈 방화벽으로 설정된 멀티노드 고가용성 설정의 동작은 SRX 시리즈 노드가 논리적 시스템을 실행하지 않는 설정의 동작과 동일합니다. 노드 장애 조치를 트리거하는 이벤트에는 차이가 없습니다. 특히, 인터페이스 모니터링이 SRG0에서 활성화되고 단일 논리적 시스템과 연결된 링크가 실패하면(모니터링 중) 디바이스가 다른 노드로 페일오버됩니다. 이 페일오버는 멀티노드 고가용성 설정에서 경로 선호 보급을 통해 발생합니다.

논리적 또는 테넌트 시스템을 설정하기 전에 멀티노드 고가용성을 구성해야 합니다. 고가용성 설정의 각 노드는 동일한 구성을 가져야 합니다. 논리적 시스템 또는 테넌트 시스템의 이름, 프로필 및 해당 보안 기능, 또는 논리적 시스템 또는 테넌트 시스템 내의 인터페이스가 동일한지 확인합니다. 모든 논리적 또는 테넌트 시스템 구성은 두 노드 간에 동기화되고 복제됩니다.

멀티노드 고가용성에서 논리적 시스템과 함께 SRX 시리즈 방화벽을 사용하는 경우, 설정의 각 노드에 대해 동일한 수의 라이선스를 구매하고 설치해야 합니다.

자세한 정보는 보안 디바이스에 대한 논리적 시스템 및 테넌트 시스템 사용자 가이드를 참조하십시오.