Supervisión de direcciones IP en un clúster de chasis

La supervisión de IP comprueba la conectividad de extremo a extremo de las direcciones IP configuradas y permite que un grupo de redundancia conmute por error automáticamente cuando no se puede acceder a la dirección IP supervisada a través de la interfaz Ethernet redundante (reth). Tanto el nodo principal como el secundario del clúster de chasis supervisan direcciones IP específicas para determinar si se puede acceder a un dispositivo ascendente de la red.

La supervisión de IP permite la conmutación por error en función de la accesibilidad de extremo a extremo de una dirección IP supervisada configurada. En los firewalls de la serie SRX, la prueba de accesibilidad se realiza enviando un ping a la dirección IP monitoreada desde el nodo principal y el nodo secundario a través de la interfaz reth y verificando si se devuelve una respuesta. La dirección IP monitoreada puede estar en un host conectado directamente en la misma subred que la interfaz reth o en un dispositivo remoto accesible a través de un enrutador de próximo salto.

Los estados de accesibilidad de la dirección IP monitoreada son accesibles, inalcanzables y desconocidos. El estado es "desconocido" si los motores de reenvío de paquetes aún no están en funcionamiento. El estado cambia a "accesible" o "inalcanzable", dependiendo del mensaje correspondiente del motor de reenvío de paquetes.

No se recomienda configurar la supervisión de IP del clúster de chasis en el grupo de redundancia 0 (RG0) para firewalls de la serie SRX.

La Tabla 1 proporciona detalles de diferentes combinaciones de resultados monitoreados de los nodos primario y secundario, y las acciones correspondientes del proceso del Protocolo de redundancia de servicios de Juniper (jsrpd).

• Puede configurar hasta 64 direcciones IP para la supervisión de IP en dispositivos de línea de SRX5000.

• En los dispositivos de la serie de sucursales SRX, cuando la interfaz reth tiene más de una interfaz física configurada, no se admite la supervisión de IP para grupos redundantes. El SRX utiliza la interfaz más baja del paquete para realizar el seguimiento en el nodo secundario. Si el par reenvía la respuesta en cualquier otro puerto, excepto en el que la recibió, el SRX la descarta.

• El intervalo mínimo de monitoreo IP es de 1 segundo y el máximo es de 30 segundos. El intervalo predeterminado es de 1 segundo.

• El umbral mínimo de monitoreo de IP es de 5 solicitudes y el máximo es de 15 solicitudes. Si la solicitud de supervisión de IP no recibe una respuesta para solicitudes consecutivas (que supera el valor de umbral), la supervisión de IP informa de que la IP supervisada es inaccesible. El valor predeterminado para el umbral es 5.

• Se admite la interfaz Reth no asociada con el grupo de redundancia (RG) en la configuración de CLI de monitoreo IP.

La Tabla 2 proporciona detalles sobre varias combinaciones de interfaces de IOC2 e IOC3 con números MAC máximos.

Tenga en cuenta las siguientes limitaciones para la compatibilidad con la supervisión IP en SRX5000 línea IOC2 e IOC3:

• La supervisión de IP se admite a través de la interfaz reth o RLAG. Si la configuración no especifica ninguna de estas interfaces, la búsqueda de ruta devuelve una interfaz que no es reth/RLAG, lo que da como resultado un informe de errores.

• El enrutamiento de múltiples rutas de costo (ECMP) no se admite en la supervisión de IP.

La supervisión de direcciones IP del grupo de redundancia comprueba la conectividad de extremo a extremo y permite que un grupo de redundancia conmute por error debido a la incapacidad de una interfaz Ethernet redundante (conocida como reth) para llegar a una dirección IP configurada. Los grupos de redundancia en ambos dispositivos de un clúster se pueden configurar para supervisar direcciones IP específicas a fin de determinar si se puede acceder a un dispositivo ascendente de la red. El grupo de redundancia se puede configurar de tal manera que si la dirección IP supervisada se vuelve inaccesible, el grupo de redundancia conmutará por error a su copia de seguridad para mantener el servicio. La principal diferencia entre esta función de supervisión y la supervisión de interfaz es que la supervisión de direcciones IP permite la conmutación por error cuando la interfaz aún está activa, pero el dispositivo de red al que está conectada no es accesible por algún motivo. En esas circunstancias, es posible que el otro nodo del clúster enrute el tráfico alrededor del problema.

Si desea amortiguar las conmutaciones por error que se producen debido a errores de supervisión de direcciones IP, use la hold-down-interval instrucción.

La configuración de supervisión de direcciones IP le permite establecer no solo la dirección que desea supervisar y su peso de conmutación por error, sino también un umbral y un peso de supervisión de direcciones IP globales. Solo después de alcanzar el umbral global de supervisión de direcciones IP debido a un error acumulativo de accesibilidad de direcciones supervisadas, el valor de peso global de supervisión de direcciones IP se deducirá del umbral de conmutación por error del grupo redundante. Por lo tanto, múltiples direcciones pueden ser monitoreadas simultáneamente, así como monitoreadas para reflejar su importancia para mantener el flujo de tráfico. Además, el valor de umbral de una dirección IP a la que no se puede acceder y que vuelve a ser accesible se restaurará al umbral de supervisión. Sin embargo, esto no provocará una conmutación por recuperación a menos que se haya habilitado la opción de preferencia.

Cuando se configura, el valor de conmutación por error de monitoreo de direcciones IP (peso global) se considera junto con el monitoreo de interfaz (si está establecido) y el monitoreo de conmutación por error integrado, que incluye monitoreo de SPU, monitoreo de sincronización en frío y monitoreo de NPC (en plataformas compatibles). Las direcciones IP principales que se deben supervisar son direcciones de puerta de enlace de enrutador para garantizar que el tráfico válido que entra en la puerta de enlace de servicios se puede reenviar al enrutador de red adecuado.

A partir de Junos OS versión 12.1X46-D35 y Junos OS versión 17.3R1, para todos los firewalls serie SRX, la interfaz reth admite ARP de proxy.

Se designa una unidad de procesamiento de servicios (SPU) o un motor de reenvío de paquetes (PFE) por nodo para enviar paquetes ping del Protocolo de mensajes de control de Internet (ICMP) para las direcciones IP supervisadas en el clúster. El PFE principal envía paquetes de ping mediante solicitudes de Protocolo de resolución de direcciones (ARP) resueltas por el motor de enrutamiento (RE). El origen de estos pings son las direcciones MAC e IP de la interfaz Ethernet redundante. El PFE secundario resuelve las solicitudes ARP para la propia dirección IP supervisada. El origen de estos pings es la dirección MAC secundaria física y una dirección IP secundaria configurada en la interfaz Ethernet redundante. Para que la respuesta ping se reciba en la interfaz secundaria, la tarjeta de E/S (IOC), el procesador PFE central o la IOC flexible agregan la dirección MAC secundaria física y la dirección MAC redundante de la interfaz Ethernet a su tabla MAC. El PFE secundario responde con la dirección MAC secundaria física a las solicitudes ARP enviadas a la dirección IP secundaria configurada en la interfaz Ethernet redundante.

El intervalo predeterminado para comprobar la accesibilidad de una dirección IP supervisada es de una vez por segundo. El intervalo se puede ajustar usando el retry-interval comando. El número predeterminado de intentos de ping fallidos consecutivos permitidos es 5. El número de intentos de ping fallidos consecutivos permitidos se puede ajustar con el retry-count comando. Después de no alcanzar una dirección IP supervisada para el número configurado de intentos consecutivos, se determina que la dirección IP es inaccesible y su valor de conmutación por error se deduce del umbral global del grupo de redundancia.

En los dispositivos SRX5600 y SRX5800, solo dos de los 10 puertos de cada PIC de las tarjetas de E/S (IOC) de 1 Gigabit Ethernet de 40 puertos pueden habilitar simultáneamente la supervisión de direcciones IP. Debido a que hay cuatro PIC por IOC, esto permite monitorear un total de ocho puertos por IOC. Si se configuran más de dos puertos por PIC en IOC de 1 Gigabit Ethernet de 40 puertos para la supervisión de direcciones IP, la confirmación se realizará correctamente, pero se generará una entrada de registro y no se podrá garantizar la precisión y estabilidad de la supervisión de direcciones IP. Esta limitación no se aplica a ningún otro IOC o dispositivo.

Una vez que se determina que la dirección IP es inalcanzable, su peso se deduce del umbral global. Si el valor de umbral global recalculado no es 0, la dirección IP se marca como inaccesible, pero el peso global no se deduce del umbral del grupo de redundancia. Si el umbral global de supervisión IP del grupo de redundancia alcanza 0 y hay direcciones IP inaccesibles, el grupo de redundancia conmutará por error y conmutará por error continuamente entre los nodos hasta que se pueda acceder a una dirección IP inalcanzable o un cambio de configuración elimine las direcciones IP inalcanzables de la supervisión. Tenga en cuenta que la amortiguación por error de intervalo de retención predeterminada y configurada sigue vigente.

Cada grupo de redundancia x tiene un valor de tolerancia umbral establecido inicialmente en 255. Cuando una dirección IP supervisada por el grupo de redundancia x deja de estar disponible, su peso se resta del umbral del grupo de redundancia x. Cuando el umbral del grupo de redundancia x alcanza 0, conmuta por error al otro nodo. Por ejemplo, si el grupo de redundancia 1 era primario en el nodo 0, en el evento de cruce de umbral, el grupo de redundancia 1 se convierte en primario en el nodo 1. En este caso, todas las interfaces secundarias de las interfaces Ethernet redundantes del grupo de redundancia 1 comienzan a controlar el tráfico.

Una conmutación por error del grupo de redundancia x se produce porque el peso acumulado de las direcciones IP supervisadas del grupo de redundancia x y otra supervisión ha llevado su valor de umbral a 0. Cuando las direcciones IP supervisadas del grupo de redundancia x en ambos nodos alcanzan sus umbrales al mismo tiempo, el grupo de redundancia x es primario en el nodo con el ID de nodo inferior, que suele ser el nodo 0.

Los firewalls de la serie SRX admiten la detección de errores de dispositivo ascendente para la función de clúster de chasis .

A partir de Junos OS versión 15.1X49-D60 y Junos OS versión 17.3R1, la configuración de la limitación de solicitudes del Protocolo de resolución de direcciones (ARP) se admite en dispositivos de línea de SRX5000. Esta función le permite omitir el tiempo predeterminado de limitación de solicitudes ARP previamente codificado de forma rígida (10 segundos por SPU para cada dirección IP) y establecer el tiempo en un valor mayor (de 10 a 100 segundos). Establecer el tiempo de limitación en un valor mayor reduce la alta utilización del motor de enrutamiento, lo que le permite trabajar de manera más eficiente. Puede configurar el tiempo de limitación de solicitudes ARP mediante el set forwarding-options next-hop arp-throttle <seconds> comando.

La supervisión solo se puede realizar si se puede acceder a la dirección IP en una interfaz Ethernet redundante (conocida como reth en comandos CLI y listas de interfaces), y las direcciones IP no se pueden supervisar a través de un túnel. Para que una dirección IP se supervise a través de una interfaz Ethernet redundante en un nodo de clúster secundario, la interfaz debe tener configurada una dirección IP secundaria. La supervisión de direcciones IP no se puede utilizar en un clúster de chasis que se ejecute en modo transparente. El número máximo de direcciones IP de supervisión que se pueden configurar por clúster es 64 para la línea SRX5000 de dispositivos, SRX1500, SRX1600, SRX2300 y SRX4000 línea de dispositivos.

La supervisión de direcciones IP del grupo de redundancia no se admite para destinos IPv6.

En este ejemplo se muestra cómo configurar la supervisión de direcciones IP del grupo de redundancia para un firewall de la serie SRX en un clúster de chasis.

En este ejemplo se muestra cómo supervisar la dirección IP en un dispositivo de línea de SRX5000 con el clúster de chasis habilitado.