멀티노드 고가용성

서비스 이중화 그룹

SRG(서비스 중복 그룹)는 멀티노드 고가용성 설정의 페일오버 유닛입니다. SRG에는 두 가지 유형이 있습니다.

• SRG0—IPsec VPN 서비스를 제외한 레이어 4-레이어 7의 보안 서비스를 관리합니다. SRG0은 언제든지 두 노드에서 모두 활성 모드로 작동합니다. SRG0에서 각 보안 세션은 대칭 플로우로 노드를 트래버스해야 하며, 이러한 플로우의 백업은 다른 노드와 완전히 상태 동기화됩니다.
• SRG1+ - 하이브리드 및 기본 게이트웨이 모드에 대한 IPsec 서비스 및 가상 IP를 관리하고 다른 노드에 백업합니다. SRG1은 한 노드에서는 활성 모드로 작동하고 다른 노드에서는 백업 노드로 작동합니다.

그림 10 은 멀티노드 고가용성 설정의 SRG0 및 SRG1을 보여줍니다.

그림 10: 멀티노드 고가용성(Active-Backup 모드) 에서 단일 SRG 지원

그림 11 은 멀티노드 고가용성 설정의 SRG0 및 SRG1+를 보여줍니다.

그림 11: 멀티노드 고가용성(액티브-액티브 모드) 에서 멀티 SRG 지원

Junos OS 릴리스 22.4R1부터 멀티 SRG1(SRG1+)을 지원하는 액티브-액티브 모드에서 작동하도록 멀티노드 고가용성을 구성할 수 있습니다. 이 모드에서 일부 SRG는 한 노드에서 활성 상태로 유지되고 일부 SRG는 다른 노드에서 활성 상태로 유지됩니다. 특정 SRG는 항상 액티브 백업 모드에서 작동합니다. 한 노드에서는 활성 모드로 작동하고 다른 노드에서는 백업 모드로 작동합니다. 이 경우 두 노드 모두 활성 SRG1 포워딩 스테이트풀 서비스를 가질 수 있습니다. 각 노드에는 SRG1+에 할당된 서로 다른 유동 IP 주소 세트가 있습니다.

표 3 은 멀티노드 고가용성 설정에서 SRG의 동작을 설명합니다.

Junos OS 릴리스 23.4R1부터 멀티노드 고가용성 설정은 결합 모드로 작동합니다. SRG(SRG0 또는 SRG1+) 구성을 추가하거나 삭제할 때 시스템을 재부팅할 필요가 없습니다.

적극성 결정 및 실행

멀티노드 고가용성 설정에서 활성도는 노드 수준이 아닌 서비스 수준에서 결정됩니다. 액티브/백업 상태는 SRG 수준이며 트래픽은 액티브 SRG로 향합니다. SRG0은 두 노드에서 모두 활성 상태로 유지되는 반면, SRG1은 각 노드에서 활성 또는 백업 상태로 유지될 수 있습니다

부팅 시 특정 노드가 활성 노드로 인계되도록 하려면 다음 중 하나를 수행할 수 있습니다.

• 노드가 위치한 경로에 대한 기본 설정을 포함하도록 업스트림 라우터를 구성합니다.
• 활성도 우선순위를 구성합니다.
• 노드 ID가 더 높은 노드(위의 두 옵션이 구성되지 않은 경우)가 활성 역할을 수행할 수 있도록 허용합니다.

멀티노드 고가용성 설정에서 SRX 시리즈 방화벽은 모두 처음에 유동 IP 주소의 경로를 업스트림 라우터에 보급합니다. SRX 시리즈 방화벽에서 보급하는 두 경로 사이에는 특정한 선호 사항이 없습니다. 그러나 라우터는 구성된 메트릭에 따라 경로 중 하나에서 자체 기본 설정을 가질 수 있습니다.

그림 12 는 활성도 결정 및 활성도 적용에 대한 이벤트 시퀀스를 나타냅니다.

그림 12: 적극성 결정 및 실행

1. 부팅 시 디바이스는 보류 상태로 전환되고 지속적으로 검색을 시작합니다. 디바이스는 유동 IP 주소(활성도 프로빙 소스 IP 주소)를 소스 IP 주소로 사용하고 업스트림 라우터의 IP 주소를 활성도 결정 프로브의 대상 IP 주소로 사용합니다.

2. 프로브 대상 IP 주소를 호스팅하는 라우터는 선호하는 라우팅 경로에서 사용할 수 있는 SRX 시리즈 방화벽에 응답합니다. 다음 예에서 SRX-1은 업스트림 라우터로부터 응답을 받습니다.

   그림 13: 활성도 결정 및 실행

3. SRX-1은 프로브 응답을 받았기 때문에 스스로를 활성 역할로 승격합니다. SRX-1은 역할 변경을 다른 디바이스에 전달하고 활성 역할을 맡습니다.

4. 활성도가 결정되면 활성 노드(SRX-1)는 다음을 수행합니다.

   • 할당된 유동 IP 주소를 호스팅합니다.
   • 인접 BGP 인접 라우터에 높은 선호 경로를 보급합니다.
   • 트래픽을 끌어들이기 위해 모든 원격 및 로컬 경로에 대한 활성(더 높은) 기본 설정 경로를 계속 보급합니다.
   • ICL을 통해 활성 노드 상태를 다른 노드에 알립니다.

5. 다른 디바이스(SRX-2)는 프로빙을 중단하고 백업 역할을 맡습니다. 백업 노드는 기본(낮은) 우선 순위를 광고하여 업스트림 라우터가 백업 노드로 패킷을 전달하지 않도록 합니다.

멀티노드 고가용성 모듈은 노드가 활성 역할로 이동할 때 SRG에 대한 활성 및 백업 신호 경로를 라우팅 테이블에 추가합니다. 노드 장애가 발생하면 ICL이 다운되고 현재 액티브 노드가 액티브 역할을 해제하고 액티브 신호 경로를 제거합니다. 이제 백업 노드가 프로브를 통해 조건을 감지하고 활성 역할로 전환합니다. 모든 트래픽을 새 액티브 노드로 이동하도록 경로 기본 설정이 스왑됩니다.

경로 선호 알림의 스위치는 SRX 시리즈 방화벽에서 구성된 라우팅 정책의 일부입니다. 조건과 함께 활성 신호 경로를 if-route-exists 포함하도록 라우팅 정책을 구성해야 합니다.

• 기본 게이트웨이 배포의 경우
• 하이브리드 배포의 경우
• Activeness Priority 및 Preemption
• Activeness 프로브 설정 구성

복원력 및 페일오버

멀티노드 고가용성(HA) 솔루션은 서비스 수준에서 중복성을 지원합니다. 서비스 레벨 이중화는 노드 간에 컨트롤 플레인을 동기화하는 데 필요한 노력을 최소화합니다.

멀티노드 고가용성 설정이 활성도를 결정한 후 ICL을 통해 후속 HA(고가용성) 상태를 협상합니다. 백업 노드는 유동 IP 주소를 사용하여 ICMP 프로브를 전송합니다. ICL이 작동하면 노드는 프로브에 대한 응답을 가져오고 백업 노드로 유지됩니다. ICL이 다운되고 프로브 응답이 없는 경우 백업 노드가 활성 노드로 전환됩니다.

이전 백업 노드의 SRG1이 이제 활성 상태로 전환되고 계속해서 원활하게 작동합니다. 전환이 발생하면 유동 IP 주소가 활성 SRG1에 할당됩니다. 이러한 방식으로 IP 주소는 활성 노드와 백업 노드 간에 부동하며 연결된 모든 호스트에 연결할 수 있습니다. 따라서 트래픽은 중단 없이 계속 흐릅니다.

컨트롤 플레인 및 데이터 플레인 상태를 모두 필요로 하는 IPSec VPN과 같은 서비스는 노드 간에 동기화됩니다. 이 서비스 기능에 대해 액티브 노드에 장애가 발생할 때마다 컨트롤 플레인과 데이터 플레인이 동시에 백업 노드로 페일오버됩니다.

노드는 다음 메시지를 사용하여 데이터를 동기화합니다.

• 라우팅 엔진-라우팅 엔진 제어 애플리케이션 메시지
• 라우팅 엔진 구성 관련 메시지
• 데이터 플레인 RTO 메시지

섀시 간 링크(ICL) 암호화

멀티노드 고가용성에서 활성 노드와 백업 노드는 라우팅된 네트워크를 통해 연결되거나 직접 연결된 섀시 간 링크(ICL)를 사용하여 서로 통신합니다. ICL은 논리 IP 링크이며 네트워크에서 라우팅 가능한 IP 주소를 사용하여 설정됩니다.

노드는 ICL을 사용하여 노드 간에 컨트롤 플레인과 데이터 플레인 상태를 동기화합니다. ICL 통신은 공유되거나 신뢰할 수 없는 네트워크를 통해 전송될 수 있으며 ICL을 통해 전송된 패킷은 항상 신뢰할 수 없는 경로를 통과할 수 있습니다. 따라서 IPsec 표준을 사용하여 트래픽을 암호화하여 ICL을 통과하는 패킷을 보호해야 합니다.

IPsec은 ICL에 대한 암호화 터널을 설정하여 트래픽을 보호합니다. HA 링크 암호화를 적용하면 HA 트래픽은 안전하고 암호화된 터널을 통해서만 노드 간에 흐릅니다. HA 링크 암호화가 없으면 노드 간 통신이 안전하지 않을 수 있습니다.

ICL에 대한 HA 링크를 암호화하려면 다음을 수행합니다.

• 다음 명령을 사용하여 SRX 시리즈 방화벽에 Junos IKE 패키지를 설치합니다.

  request system software add optional://junos-ike.tgz .

• HA 트래픽에 대한 VPN 프로필을 구성하고 두 노드에 대한 프로필을 적용합니다. SRX 시리즈 방화벽 간에 협상된 IPsec 터널은 IKEv2 프로토콜을 사용합니다.

• IPSec VPN 구성에서 명령문 ha-link-encryption을 포함했는지 확인합니다. 예: user@host# set security ipsec vpn vpn-name ha-link-encryption.

ICL을 설정하려면 다음을 수행하는 것이 좋습니다.

• 포화 가능성이 낮은 포트 및 네트워크 사용
• 전용 HA 포트(SRX 시리즈 방화벽에서 사용 가능한 경우 제어 및 패브릭 포트)를 사용하지 않습니다

• ICL을 루프백 인터페이스(lo0) 또는 어그리게이션 이더넷 인터페이스(ae0)에 바인딩하고 가장 높은 복원력을 위해 경로 다양성을 보장하는 두 개 이상의 물리적 링크(LAG/LACP)를 보유해야 합니다.

• SRX 시리즈 방화벽의 수익 이더넷 포트를 사용하여 ICL 연결을 설정할 수 있습니다. 수익 인터페이스의 전송 트래픽을 고가용성(HA) 트래픽과 분리해야 합니다.

자세한 내용은 멀티노드 고가용성 구성을 참조하십시오.

ICL을 위한 PKI 기반 링크 암호화

Junos OS 릴리스 22.3R1부터 주니퍼는 멀티노드 고가용성에서 섀시 간 링크(ICL)를 위한 PKI 기반 링크 암호화를 지원합니다. 이 지원의 일환으로 이제 두 노드 모두에서 로컬 키 쌍, 로컬 인증서 및 인증서 서명 요청과 같은 노드별 PKI 개체를 생성하고 저장할 수 있습니다. 개체는 로컬 노드와 관련이 있으며 두 노드의 특정 위치에 저장됩니다.

노드 로컬 개체를 사용하면 ICL 암호화에 사용되는 PKI 개체와 두 끝점 간에 생성된 IPsec VPN 터널에 사용되는 PKI 개체를 구별할 수 있습니다.

로컬 노드에서 실행되는 다음 명령을 사용하여 노드별 PKI 개체로 작업할 수 있습니다.

멀티노드 고가용성의 보안 디바이스에서 자동 재등록 옵션을 구성한 경우 재등록 트리거 시 ICL이 다운되면 두 디바이스 모두 CA 서버에 동일한 인증서를 별도로 등록하기 시작하고 동일한 CRL 파일을 다운로드합니다. 멀티노드 고가용성이 ICL을 다시 설정하면 설치 시 하나의 로컬 인증서만 사용합니다. 백업 노드에서 명령을 사용하여 user@host> request security pki sync-from-peer 활성 노드의 인증서를 백업 노드로 동기화해야 합니다.

인증서를 동기화하지 않으면 피어 노드 간의 인증서 불일치 문제가 다음에 다시 등록할 때까지 지속됩니다.

필요에 따라 노드에서 키 쌍을 생성하기 전에 두 노드에서 TPM(신뢰할 수 있는 플랫폼 모듈)을 사용하도록 설정할 수 있습니다. 신뢰할 수 있는 플랫폼 모듈을 사용하여 SRX 시리즈 디바이스의 비밀 바인딩을 참조하십시오.

ICMP 기반 스플릿 브레인 프로빙

2개의 SRX 시리즈 디바이스가 멀티노드 고가용성 설정의 일부인 시나리오를 생각해보겠습니다. SRX-1을 로컬 노드로, SRX-2 원격 노드로 간주해 보겠습니다. 로컬 노드는 현재 활성 상태이며 트래픽을 조정하기 위해 유동 IP 주소를 호스팅하고 있습니다. 업스트림 라우터는 로컬 노드에 대해 더 높은 우선 순위 경로를 갖습니다.

노드 간의 ICL이 다운되면 두 노드 모두 ICMP 프로브(activeness determination probe)를 시작합니다. 노드는 유동 IP 주소(활성도 결정 IP 주소)를 소스 IP 주소로 사용하고 업스트림 라우터의 IP 주소를 프로브의 대상 IP 주소로 사용합니다.

사례 1: 액티브 노드가 작동 중인 경우

그림 14: 액티브 노드가 작동 중이고 ICL이 다운 됨

• 프로브 대상 IP 주소를 호스팅하는 업스트림 라우터는 두 노드로부터 ICMP 프로브를 수신합니다.
• 업스트림 라우터는 활성 노드에만 응답합니다. 구성이 활성 노드에 대한 더 높은 선호 경로를 가지기 때문입니다.
• 활성 노드는 활성 역할을 유지합니다.

액티브 노드가 다운된 경우:

그림 15: 액티브 노드가 다운되고 ICL이 다운 됨

• 원격 노드가 활성도 결정 프로브를 다시 시작합니다.
• 프로브 대상 IP 주소를 호스팅하는 라우터가 더 높은 선호 경로(이전 액티브 노드)를 잃어버리고 원격 노드에 응답합니다.
• 프로브 결과는 원격 노드에 대해 성공이며 원격 노드는 활성 상태로 전환됩니다.
• 위의 사례에서 나타난 바와 같이, 활성도 결정 프로브와 업스트림 라우터의 상위 경로 선호 구성은 하나의 노드가 항상 활성 역할을 유지하고 분할 브레인이 발생하는 것을 방지합니다.

BFD 기반 스플릿 브레인 프로빙

Junos OS 릴리스 23.4R1에서는 기본 게이트웨이를 위한 BFD 기반 분할 브레인 프로빙과 멀티노드 고가용성을 위한 하이브리드 모드 구축을 지원합니다.

ICL(Interchassis Link) 장애는 종종 네트워크 중단 또는 일관되지 않은 구성이라는 두 가지 주요 요인에 기인할 수 있습니다. activeness 프로브를 사용하여 각 SRG1+에 대해 활성 역할을 수행할 수 있는 노드를 결정할 수 있습니다. 프로브 결과에 따라 노드 중 하나가 활성 상태로 전환되고 이 작업은 스필트 브레인 시나리오를 방지합니다.

BFD 기반 스플릿 브레인 프로빙을 사용하면 인터페이스, 최소 간격 및 승수를 정의할 수 있으므로 프로브를 보다 세밀하게 제어할 수 있습니다. BFD 기반 스플릿 브레인 프로빙에서 프로빙은 SRG가 구성되고 기능을 시작한 직후 시작됩니다. 기본 ICMP 기반 스플릿 브레인 프로빙에서는 ICL 링크가 다운된 후에만 프로빙이 시작됩니다.

이에 비해 BFD 기반 프로빙은 다음과 같은 방식으로 훨씬 더 사전 예방적이므로 더 빠른 대응을 보장하여 분할 브레인 시나리오를 방지할 수 있습니다.

• 프로빙 이니시에이트는 SRG 구성을 직접 게시합니다.

• ICL BFD와 스플릿 브레인 프로브가 동시에 중단되면 백업 노드가 즉시 활성 역할을 맡고 VIP를 인수합니다.

이렇게 하면 더 빠른 응답을 보장하여 분할 브레인 시나리오를 방지할 수 있습니다.

• 어떻게 작동합니까?
• ICMP 기반 프로빙과 BFD 기반 프로빙의 차이

show chassis 
high-availability services-redundancy-group 1 
activeness-probe
dest-ip {
    192.168.21.1; 
    src-ip 192.168.21.2;
    }

show chassis 
high-availability services-redundancy-group 1 
activeness-probe
bfd-liveliness {
    source-ip 192.168.21.1; (inet address of the local SRX sub interface) 
    destination-ip 192.168.21.2; (inet address of the peers SRX sub interface) 
    interface xe-0/0/1.0;     
}

다음 그림에서는 스플릿 브레인 감지를 위한 ICMP 기반 프로빙 및 BFD 기반 프로빙의 구성 옵션을 보여줍니다.

그림 16: ICMP 기반 및 BFD 기반 프로빙 을 위한 Activeness-Probes 구성

하이브리드 모드 및 기본 게이트웨이 구축에서는 다음 두 가지 수준에서 activeness-probe 간격과 임계값을 구성할 수 있습니다.

• ICMP 기반 스플릿 브레인 프로빙에 적용할 수 있는 글로벌 수준

• BFD-Liveliness 수준은 BFD 분할 뇌 프로브에만 해당됩니다. BFD 기반 프로빙을 구성할 때 문 아래에 activeness-probe 전역 minimum-interval 및 multiplier 옵션을 구성하지 마십시오.

기본 게이트웨이 배포에 대한 활성도 프로브를 구성하려면 두 노드(로컬 및 피어) 모두에서 기본 VIP1(가상 IP) 주소 인터페이스를 사용하여 활성성 프로브를 설정합니다. 대상 IP는 피어 노드에서 가져오고 소스 IP는 로컬 노드에서 가져옵니다. 두 VIP의 인덱스 값은 동일해야 합니다. IP 주소는 SRX 시리즈 방화벽의 LAN 인터페이스에 할당된 inet 주소여야 합니다.

스플릿 브레인 프로빙 구성

• 샘플 구성
• 확인

그림 17: 스플릿 브레인 프로빙 을 위한 멀티노드 고가용성 구성

SRX-1을 로컬 노드로, SRX-2를 원격 노드로 간주해 보겠습니다. 로컬 노드가 현재 활성 상태이며 업스트림 라우터의 로컬 노드에 대해 더 높은 우선 순위 경로가 있습니다.

activeness-probe의 경우 다음 옵션을 구성해야 합니다.

• 소스 IP 주소: 로컬 노드의 SRG1에 대한 가상 IP 주소 1(VIP1)을 사용합니다.

• 대상 IP 주소: 피어 노드의 SRG1의 VIP1을 사용합니다.

• 인터페이스: VIP1과 연결된 인터페이스

이 예에서는 BFD 활성화를 위해 VIP(가상 IP) 주소(192.168.21.1)와 인터페이스 xe-0/0/1.0을 할당합니다. 여기서는 소스 및 대상 IP 주소와 인터페이스를 지정하여 BFD 기반 스플릿 브레인 프로빙을 구성합니다.

노드는 SRG1의 가상 IP 주소(VIP1)에 연결된 인터페이스의 패밀리 인터넷 주소를 사용합니다.

두 노드 모두 SRG가 작동을 시작하자마자 활성도 결정 프로브(BFD 기반 프로브)를 시작합니다.

다음 표에서는 ICL이 다운되었을 때 멀티노드 고가용성 설정이 BFD 기반 프로빙을 통해 분할 브레인 상황을 해결하는 방법을 보여줍니다. 노드 상태 및 프로브 결과에 따라 멀티노드 고가용성 시스템은 활성 역할을 수행할 노드를 선택합니다.

표 6 은 ICL이 다운되었을 때 멀티노드 고가용성 설정이 BFD 기반 프로빙을 통해 분할 브레인 상황을 해결하는 방법을 보여줍니다. 노드 상태 및 프로브 결과에 따라 멀티노드 고가용성 시스템은 활성 역할을 수행할 노드를 선택합니다.

이 예에서는 노드 1의 SRG1이 더 높은 activeness-priority를 갖는다고 가정합니다.

• show chassis high-availability services-redundancy-group 1 명령을 사용하여 디바이스에 구성된 스플릿 브레인 프로브의 유형을 확인할 수 있습니다.

  (BFD 기반 프로빙) (ICMP 기반 프로빙)

• show bfd session 명령을 사용하여 BFD 기반 프로브 상태를 확인합니다.

  샘플에서 BFD 기반 스플릿 브레인 프로빙이 인터페이스 xe-0/0/1.0에 대해 실행 중임을 알 수 있습니다.

• show chassis high-availability services-redundancy-group 1 명령을 사용하여 BFD 기반 프로브에 대한 세부 정보를 얻을 수 있습니다.