Configurar un clúster de chasis de firewall virtual vSRX en Junos OS

Aprovisionamiento de clústeres de chasis en el firewall virtual vSRX

La configuración de la conectividad para el clúster de chasis en instancias de firewall virtual vSRX es similar a la de los firewalls físicos de la serie SRX. La máquina virtual del firewall virtual vSRX utiliza una red virtual (o vswitch) para la NIC virtual (como VMXNET3 o virtio).

El clúster de chasis requiere las siguientes conexiones directas entre las dos instancias de vSRX Virtual Firewall:

• Vínculo de control, o red virtual, que actúa en modo activo/pasivo para el tráfico del plano de control entre las dos instancias de Firewall virtual vSRX

• Vínculo de estructura, o red virtual, que se utiliza para la sincronización de sesiones en tiempo real entre los nodos. En el modo activo/activo, este vínculo también se utiliza para transportar tráfico de datos entre las dos instancias del firewall virtual vSRX.

Nota:

Nota: Opcionalmente, puede crear dos enlaces de estructura para obtener más redundancia.

El clúster de firewall virtual vSRX utiliza las siguientes interfaces:

• Interfaz de administración fuera de banda (fxp0)

• Interfaz de control de clúster (em0)

• Interfaz de estructura de clúster (fab0 en el nodo 0, fab1 en el nodo 1)

Nota:

La interfaz de control debe ser la segunda vNIC. Para el enlace de estructura puede utilizar cualquier puerto de ingresos (ge-ports). Opcionalmente, puede configurar un segundo vínculo de estructura para aumentar la redundancia.

La figura 1 muestra la formación de clústeres de chasis con instancias de firewall virtual vSRX.

El Firewall virtual vSRX admite el clúster de chasis mediante el controlador virtio y las interfaces SR-IOV, con las siguientes consideraciones:

• Cuando habilite el clúster de chasis, también debe habilitar tramas jumbo (tamaño MTU = 9000) para admitir el vínculo de estructura en la interfaz de red virtio.

• Si configura un clúster de chasis en dos hosts físicos, desactive la supervisión igmp en cada interfaz física de host que utilice el vínculo de control del firewall virtual vSRX para asegurarse de que ambos nodos del clúster de chasis reciban el latido del vínculo de control.

  hostOS# echo 0 > /sys/devices/virtual/net/<bridge-name>/bridge/multicast_snooping

• Una vez habilitado el clúster de chasis, la instancia de Firewall virtual vSRX asigna automáticamente la segunda vNIC al vínculo de control y su nombre cambiará de ge-0/0/0 a em0.

• Puede usar cualquier otra vNIC para los vínculos o vínculos de estructura. (Consulte Nomenclatura y asignación de interfaces)

Para las interfaces virtio, no se admite la actualización del estado del vínculo. El estado del vínculo de las interfaces virtio siempre se indica como Arriba. Por este motivo, una instancia de vSRX Virtual Firewall que utiliza virtio y clúster de chasis no puede recibir mensajes de vínculo hacia arriba y hacia abajo de las interfaces de virtio.

El tiempo de caducidad de MAC de la red virtual determina la cantidad de tiempo que una entrada permanece en la tabla MAC. Se recomienda reducir el tiempo de antigüedad de MAC en las redes virtuales para minimizar el tiempo de inactividad durante la conmutación por error.

Por ejemplo, puede usar el comando para establecer antigüedad brctl setageing bridge 1 en 1 segundo para el puente de Linux.

Configure las redes virtuales para los vínculos de control y estructura y, a continuación, cree y conecte la interfaz de control a la red virtual de control y la interfaz de estructura a la red virtual de estructura.

Nomenclatura y asignación de interfaces

Cada adaptador de red definido para un firewall virtual vSRX se asigna a una interfaz específica, dependiendo de si la instancia de firewall virtual vSRX es una máquina virtual independiente o una de un par de clústeres para alta disponibilidad. Los nombres de interfaz y las asignaciones en el firewall virtual vSRX se muestran en las tablas 1 y 2.

Tenga en cuenta lo siguiente:

• En modo independiente:
  • FXP0 es la interfaz de administración fuera de banda.
  • ge-0/0/0 es la primera interfaz de tráfico (ingresos).
• En modo clúster:
  • FXP0 es la interfaz de administración fuera de banda.
  • EM0 es el vínculo de control de clúster para ambos nodos.
  • Cualquiera de las interfaces de tráfico se puede especificar como vínculos de estructura, como ge-0/0/0 para fab0 en el nodo 0 y ge-7/0/0 para fab1 en el nodo 1.

Los nombres y las asignaciones de interfaz para una máquina virtual de vSRX virtual independiente se pueden ver en la tabla 1 y para una máquina virtual de firewall virtual vSRX en modo de clúster, lo mismo se muestra en la tabla 2. Puede ver que en el modo de clúster, el puerto em0 se inserta entre las posiciones fxp0 y ge-0/0/0, lo que hace que los números de los puertos de ingresos suban una ubicación vNIC.

Tabla 1: Nombres de interfaz para una máquina virtual de firewall virtual vSRX independiente

Adaptador de red	Nombres de interfaz
1	fxp0
2	ge-0/0/0
3	ge-0/0/1
4	ge-0/0/2
5	ge-0/0/3
6	ge-0/0/4
7	GE-0/0/5
8	GE-0/0/6

Tabla 2: Nombres de interfaz para un par de clústeres de firewall virtual vSRX

Nombres de interfaz	de adaptador de red
1	FXP0 (nodo 0 y 1)
2	EM0 (nodo 0 y 1)
3	ge-0/0/0 (nodo 0) GE-7/0/0 (Nodo 1)
4	ge-0/0/1 (nodo 0) GE-7/0/1 (Nodo 1)
5	ge-0/0/2 (nodo 0) GE-7/0/2 (Nodo 1)
6	ge-0/0/3 (nodo 0) GE-7/0/3 (Nodo 1)
7	ge-0/0/4 (nodo 0) GE-7/0/4 (Nodo 1)
8	ge-0/0/5 (nodo 0) GE-7/0/5 (nodo 1)

Habilitación de la formación de clústeres de chasis

Cree dos instancias de vSRX Virtual Firewall para formar un clúster de chasis y, a continuación, establezca el ID de clúster y el ID de nodo en cada instancia para unirse al clúster. Cuando una máquina virtual vSRX Virtual Firewall se une a un clúster, se convierte en un nodo de ese clúster. Con la excepción de la configuración de nodo único y las direcciones IP de administración, los nodos de un clúster comparten la misma configuración.

Puede desplegar hasta 255 clústeres de chasis en un dominio de capa 2 . Los clústeres y nodos se identifican de las siguientes maneras:

• El ID de clúster (un número del 1 al 255) identifica el clúster.

• El ID de nodo (un número de 0 a 1) identifica el nodo del clúster.

En los firewalls de la serie SRX, el ID de clúster y el ID de nodo se escriben en EEPROM. En la máquina virtual del firewall virtual vSRX, el firewall virtual vSRX almacena y lee los ID de boot/loader.conf y utiliza los ID para inicializar el clúster de chasis durante el inicio.

Asegúrese de que las instancias de vSRX Virtual Firewall cumplan los siguientes requisitos previos antes de habilitar la agrupación en clústeres de chasis:

• Ha confirmado una configuración básica para las dos instancias de vSRX Virtual Firewall que forman el clúster de chasis. Consulte Configuración de vSRX mediante la CLI.

• Utilícelo show version en Junos OS para asegurarse de que ambas instancias del firewall virtual de vSRX tengan la misma versión de software.
• Utilícelo show system license en Junos OS para asegurarse de que ambas instancias de firewall virtual vSRX tengan instaladas las mismas licencias.
• Debe establecer el mismo ID de clúster de chasis en cada nodo de vSRX Virtual Firewall y reiniciar la máquina virtual de vSRX Virtual Firewall para habilitar la formación de clústeres de chasis.

Los comandos de formación de clústeres de chasis para el nodo 0 y el nodo 1 son los siguientes:

• En el nodo 0 del firewall virtual vSRX:

• En el nodo 1 del firewall virtual vSRX:

  La nomenclatura y la asignación de la interfaz del firewall virtual vSRX a las vNIC cambian cuando se habilita la agrupación en clústeres del chasis. Utilice el mismo número de ID de clúster para cada nodo del clúster.

Nota:

Cuando se utilizan varios clústeres conectados al mismo dominio L2, es necesario utilizar un identificador de clúster único para cada clúster. De lo contrario, puede obtener direcciones MAC duplicadas en la red, ya que el identificador de clúster se utiliza para formar las direcciones MAC de la interfaz virtual.

Después del reinicio, en el nodo 0, configure los puertos de estructura (datos) del clúster que se usan para pasar objetos en tiempo real (RTO):