Alta disponibilidad de múltiples nodos de cuatro y tres nodos

La configuración de MNHA de cuatro nodos implica cuatro firewalls de Junos idénticos, todos con las mismas configuraciones de hardware. Estos dispositivos están organizados en dos dominios MNHA, cada uno de los cuales contiene dos firewalls.

Figura 1: Alta disponibilidad multinodo de cuatro nodos

En la topología:

• El dominio 1 consta de dos firewalls: node1.1 (nodo 1 del dominio 1) y node1.2 (nodo 2 del dominio 1).
• El dominio 2 consta de dos firewalls: node2.1 (nodo 1 del dominio 2) y node2.2 (nodo 2 del dominio 2).

Dentro de cada dominio, los dos nodos se comunican a través de un vínculo de interchasis (ICL), que es una conexión directa que permite una comunicación rápida y eficiente. En los dos dominios, los nodos se comunican a través de un vínculo entre dominios (IDL). Tanto ICL como IDL son vínculos lógicos que pueden funcionar a través de interfaces dedicadas o de tráfico en banda. Tanto ICL como IDL se pueden enrutar y usar el cifrado IPsec.

IDL es un vínculo enrutable de capa tres que permite la comunicación entre nodos en diferentes dominios. Cada IDL se configura en una interfaz de un nodo y forma parte de una instancia de enrutamiento privada. Esta configuración garantiza que solo los paquetes de comunicación interna entre los nodos de MNHA en todos los dominios puedan atravesar estos enlaces, manteniendo la seguridad y la integridad.

Los cuatro nodos están conectados a enrutadores externos de capa tres, los cuales manejan el tráfico de redes públicas y privadas. Esta configuración permite a los firewalls administrar el tráfico de red de manera eficiente.

Para configurar el MNHA de cuatro nodos, recomendamos primero establecer pares de MNHA dentro de cada dominio conectando dos nodos a través de ICL. Luego, conecte estos pares (de diferentes dominios) a través de IDL para completar la estructura completa de MNHA.

La arquitectura de cuatro nodos de MNHA está estructurada en dos dominios, cada uno de los cuales consta de dos nodos. Esta configuración permite la redundancia en dos niveles: dentro de un dominio y entre dominios.

• Redundancia dentro del dominio:

  • Cada dominio tiene dos nodos pares que se respaldan entre sí. Si un nodo del dominio falla o está fuera de servicio, el otro nodo asume sus responsabilidades.
  • Los nodos dentro de un dominio pueden funcionar en dos modos:
    • Modo de copia de seguridad activa: un nodo está activo, manejando todas las tareas, mientras que el otro está en espera, listo para tomar el control si el nodo activo falla.
    • Modo activo-activo: ambos nodos manejan tareas de forma activa, comparten la carga y proporcionan capacidades de tolerancia a fallos inmediatas.

• Redundancia entre dominios:

  • Los nodos de un dominio están respaldados por nodos del otro dominio. Si todos los nodos de un dominio fallan, los nodos del otro dominio se hacen cargo de los servicios.
  • Esta redundancia también admite los modos activo-backup y activo-activo, similar a la redundancia dentro del dominio.

• Comunicación y sincronización:

  • ICL: Este es el vínculo de comunicación entre los dos nodos dentro del mismo dominio. Les permite sincronizar sus estados y mantenerse actualizados sobre su estado.
  • IDL: Este enlace recién introducido facilita la comunicación entre nodos de diferentes dominios, lo que les permite sincronizar estados y compartir información de estado.

• Sincronización de estado:

  • Cada nodo sincroniza sus estados con su par en el mismo dominio a través de la ICL.
  • El nodo también sincroniza estados con uno de los nodos del otro dominio a través de IDL.
  • Cuando un nodo recibe información de estado de otro dominio a través de IDL, retransmite esta información a su nodo par en el mismo dominio a través de ICL.

    Ejemplo: En una configuración mostrada en la topología incluye cuatro nodos etiquetados como nodo 1.1, nodo 1.2, nodo 2.1 y nodo 2.2.

    • El nodo 1.1 sincroniza su estado con el nodo 1.2 a través de ICL dentro del dominio local.
    • El nodo 1.1 también se sincroniza con el nodo 2.1 en el dominio remoto a través de IDL.
    • El nodo 2.1, al recibir este estado, lo reenvía al nodo 2.2 en el mismo dominio a través de ICL.

Siga estos pasos para actualizar el software en un MNHA de cuatro nodos

1. Asegúrese de que su configuración de alta disponibilidad multinodo sea correcta, funcional y que el vínculo de interchasis (ICL) esté activo. Este paso es necesario para asegurarse de que otro nodo dentro del mismo dominio esté listo para asumir las responsabilidades del nodo que se está actualizando.

2. Desconecte el vínculo entre dominios (IDL) para aislar el nodo del resto de la red, y así evitar posibles interrupciones durante la actualización.

3. Inicie el proceso de actualización de software en el nodo de copia de seguridad (nodo 1.2) del dominio 1 y confirme la configuración utilizando la set chassis high-availability software-upgrade instrucción.
4. Confirme que el otro dispositivo (nodo 1.1) esté en una función activa y funcione normalmente.
5. Instale el software Junos OS en el nodo 1.2 y reinicie para aplicar las actualizaciones.
6. Reinicie el dispositivo con el comando o request vmhost reboot (según su plataforma) después de una request system reboot instalación exitosa.
7. Compruebe que el nodo esté ejecutando la versión de software correcta después del reinicio con el show version command..
8. Compruebe el estado de la alta disponibilidad del multinodo en el dispositivo.
9. Elimine la instrucción en el software-upgrade nodo 1.2 y confirme la configuración. Este paso permite que el sistema vuelva a su modo de funcionamiento normal.
10. Restablezca el vínculo entre dominios para reintegrar el nodo actualizado en la red.
11. Repita los pasos para el siguiente nodo (nodo 1.1) dentro del mismo dominio, asegurándose de que cada nodo se actualice secuencialmente para mantener la estabilidad de la red.
12. Después de completar las actualizaciones en el dominio actual, pase a otro dominio (dominio 2) y siga el mismo procedimiento para garantizar un proceso de actualización coherente y ordenado en toda la red.

En una configuración de red de alta disponibilidad multinodo (MNHA), garantizar que las sesiones permanezcan consistentes en múltiples nodos es crucial para mantener operaciones de red sin interrupciones y capacidades de tolerancia a fallos. Anteriormente, existía el requisito de que todos los nodos dentro de una configuración de MNHA tuvieran que usar los mismos nombres de interfaz de entrada y salida, nombres de zona y nombres de política para una sesión determinada. Este requisito podría ser difícil de cumplir, especialmente en una configuración MNHA de cuatro nodos, ya que requiere una administración meticulosa de la configuración en todos los nodos.

El MNHA de cuatro nodos relaja algunas de estas restricciones. Específicamente, elimina la necesidad de que las interfaces de entrada y salida tengan los mismos nombres en todos los nodos dentro del dominio de MNHA. Este cambio significa que, mientras que anteriormente la misma sesión en diferentes nodos tenía que usar interfaces con nombres idénticos (como ge-0/0/0 en todos los nodos), la nueva configuración permite que estas interfaces tengan nombres diferentes en cada nodo.

Ejemplo: Una sesión en el nodo 1.1 tiene una interfaz de entrada ge-0/0/0 y una interfaz de salida ge-0/0/1, cuando la misma sesión está activa en el nodo 2.1 puede tener una interfaz de entrada ge-0/0/2 y una interfaz de salida ge-0/0/3. Pero, ge-0/0/0 y ge-0/0/2 deben estar en la misma zona, y de manera similar ge-0/0/1 y ge-0/0/3 deben estar en la misma zona.

Debe cumplir los siguientes requisitos para garantizar un manejo de sesiones seguro y confiable

1. Coherencia de zonas: las interfaces utilizadas para la misma sesión en diferentes nodos deben pertenecer a la misma zona (como se describió en la sección anterior).

2. Coherencia de las políticas: las políticas aplicadas a estas zonas deben seguir siendo coherentes en todos los nodos. Esta configuración garantiza que los comportamientos de seguridad y enrutamiento sigan siendo los mismos, incluso si las interfaces físicas difieren.

3. Coherencia de instancias de enrutamiento/VRF: Del mismo modo, los nombres de VR deben permanecer iguales en todos los nodos para garantizar un comportamiento de enrutamiento coherente.

Los siguientes fragmentos de configuración describen los pasos de alto nivel necesarios para configurar un sistema MNHA de cuatro nodos

1. Configuración del dominio local y del ID del nodo:

   • Establezca el ID y el tamaño del dominio local:

     • domain-id: identificador único para el dominio local (ya sea 1 o 2).
     • size: Número de nodos en el dominio (1 o 2). Para una MNHA de cuatro nodos, el tamaño del dominio es 2.

   • Establezca el ID del nodo local:

     local-node-id: identificador único para el nodo local dentro de su dominio (del 1 al 10).

2. Configuración del vínculo entre chasis (ICL):

   Esta configuración sirve para conectar el nodo local a un nodo par dentro del mismo dominio.

   • Establecer IP de nodo local:

3. Configuración de nodos pares:

4. Configuración de vínculo entre dominios (IDL): esta configuración sirve para conectar nodos de diferentes dominios.
5. Configuración del grupo de redundancia de servicio (SRG0):

   • Establezca el nodo par en el mismo dominio (del 1 al 10):

   • Establezca el nodo par en un dominio diferente:

     Nota: Asegúrese de que se cumplan los siguientes criterios:

     • Cada ID de dominio debe ser único y el ID solo puede ser 1 o 2.
     • Los ID de nodo son únicos dentro del mismo dominio.
     • La infraestructura de MNHA admite configuraciones de cuatro nodos para SRG0 solo si se configura a peer-domain-id . Sin él, la configuración admite una configuración de 2 nodos.
     • Reinicie el dispositivo una vez que configure el ID de dominio local, el ID de nodo local, el ID de dominio par, el ID de nodo par y el tamaño de dominio.

     Use los comandos como show chassis high-availability information y show chassis high-availability peer-info para comprobar si la configuración funciona según lo esperado.

La alta disponibilidad multinodo (MNHA) de cuatro nodos con enlace entre dominios (IDL) mejora la alta disponibilidad al extenderla a todos los dominios del centro de datos. IDL facilita la comunicación entre nodos de diferentes dominios, lo que permite a los nodos sincronizar estados y compartir información de estado.

IDL es un vínculo IP lógico y se establece mediante direcciones IP que se pueden enrutar en la red.

Los nodos de los dominios utilizan IDL para sincronizar los estados del plano de control y del plano de datos entre ellos. La comunicación IDL podría pasar por una red compartida o no confiable, y los paquetes enviados a través de la IDL podrían atravesar una ruta que no siempre es de confianza. Por lo tanto, debe proteger los paquetes que atraviesan la IDL cifrando el tráfico mediante los estándares IPsec.

IPsec protege el tráfico mediante el establecimiento de un túnel de cifrado para la IDL. Cuando se aplica el cifrado de vínculo de alta disponibilidad, el tráfico de alta disponibilidad fluye entre los nodos a través de los dominios solo a través del túnel seguro y cifrado. Sin el cifrado del vínculo de alta disponibilidad, es posible que la comunicación entre los nodos no sea segura.

IDL admite IKEv2 y una implementación Multi-SA personalizada para intercambiar datos cifrados de forma segura entre dominios a través de VPN IPsec. El sistema admite cifrado AES-GCM-256 robusto y autenticación PSK y PKI, lo que garantiza comunicaciones seguras entre dominios.

La alta disponibilidad multinodo (MNHA) de cuatro nodos ahora admite SRG 1+ dentro de cada dominio y agrega túneles IPsec locales de dominio. En una configuración de MNHA de cuatro nodos que se divide en dos dominios, cada túnel VPN de IPsec es local para su dominio. Este diseño permite que un par remoto configure túneles redundantes independientes para cada dominio, de modo que la tolerancia a fallos permanezca dentro de ese dominio en lugar de afectar a toda la configuración.

En la siguiente ilustración se muestran los túneles VPN de IPsec en una configuración de MNHA de cuatro nodos.

Figura 2: Túnel VPN IPsec de dominio local en una alta disponibilidad de múltiples nodos de cuatro nodos

Como se muestra en la topología, un par VPN establece un túnel IPsec por dominio. Por ejemplo, el túnel T1 termina en el dominio 1 y se sincroniza con el nodo de respaldo dentro del dominio 1, mientras que el túnel T2 termina en el dominio 2 y se sincroniza dentro del dominio 2.

El dispositivo par mantiene un único túnel hacia cada dominio. La línea de puntos representa el túnel IPsec de respaldo, que se utiliza durante la tolerancia a fallos dentro del mismo dominio. No hay uso compartido de estado de túnel entre dominios.

Dentro de un dominio, el nodo activo establece las SA de IKE y las SA secundarias con el par y sincroniza el estado del plano de control del túnel solo con el nodo de respaldo del mismo dominio. Los nodos en espera de otros dominios no reciben ni procesan el estado de los túneles de los que no pueden asumir la propiedad. Si se produce un error en un dominio, el nodo de respaldo de ese dominio toma el control mediante el estado de túnel sincronizado localmente.

De forma predeterminada, cuando se configuran varios dominios, los túneles VPN de IPsec utilizan el ámbito local del dominio y su estado solo se replica en los nodos de respaldo del mismo dominio. Este diseño permite que un par remoto mantenga túneles independientes por dominio y garantiza un comportamiento predecible de tolerancia a fallos por dominio.

La configuración de MNHA de tres nodos implica tres firewalls de Junos idénticos, todos con las mismas configuraciones de hardware. Estos dispositivos están organizados en dos dominios de MNHA, con un dominio que contiene dos firewalls y otro dominio que contiene un firewall.

Figura 3: Alta disponibilidad multinodo de tres nodos

En una configuración de MNHA de tres nodos, el nodo 1.1 y el nodo 1.2 pertenecen al dominio 1, mientras que el nodo 2.1 está en el dominio 2. Para una configuración de MNHA de cuatro nodos, cada nodo está equipado con un vínculo entre clústeres (ICL) y un vínculo entre dominios (IDL). En una configuración de MNHA de tres nodos, los dos nodos del dominio 1 tienen cada uno una ICL y una IDL, mientras que el nodo del dominio 2 tiene dos IDL y ninguna ICL.

sincronización de estado

• En el dominio 1, el nodo 1.1 sincroniza sus estados con su par (nodo 1.2) a través de ICL.
• El nodo 1.1 también sincroniza los estados con el nodo 2.1 en el otro dominio a través de IDL.
• El nodo 2.1 sincroniza los estados con el nodo 1.1 y el nodo 1.2 a través de IDL.
• Cuando un nodo recibe información de estado de otro dominio a través de IDL, no transmite esta información a su nodo par dentro del mismo dominio a través de ICL. Este enfoque evita la duplicación innecesaria de la transmisión de datos dentro del dominio.

En caso de una sola falla de IDL, específicamente, si el vínculo directo entre el nodo 1.1 y el nodo 2.1 está inactivo, se emplea el enrutamiento para mantener la conectividad. El nodo 1.1 aún puede comunicarse con el nodo 2.1 mediante una ruta predefinida a través del nodo 1.2. Este enrutamiento garantiza que el IDL entre el nodo 1.1 y el nodo 2.1 permanezca operativo, lo que elimina la necesidad de reenviar paquetes de IDL a pares ICL, ya sea para procesos de sincronización en caliente o en frío.