Monitoramento de endereços IP em um cluster de chassi

O monitoramento de IP verifica a conectividade de ponta a ponta de endereços IP configurados e permite que um grupo de redundância falhe automaticamente quando o endereço IP monitorado não é acessível por meio da interface Ethernet (reth) redundante. Os nós primários e secundários no cluster do chassi monitoram endereços IP específicos para determinar se um dispositivo upstream na rede é acessível.

O monitoramento de IP permite o failover com base na acessibilidade de ponta a ponta de um endereço IP monitorado configurado. Nos firewalls da Série SRX, o teste de alcance é feito enviando um ping para o endereço IP monitorado tanto do nó primário quanto do nó secundário através da interface de reth e verificando se uma resposta é devolvida. O endereço IP monitorado pode estar em um host diretamente conectado na mesma sub-rede que a interface de reth ou em um dispositivo remoto que pode ser alcançado por meio de um roteador de próximo salto.

Os estados de alcance do endereço IP monitorado são acessáveis, inalcançáveis e desconhecidos. O status é "desconhecido" se os mecanismos de encaminhamento de pacotes ainda não estiverem funcionando. O status muda para "acessável" ou "inalcançável", dependendo da mensagem correspondente do Mecanismo de encaminhamento de pacotes.

Não recomendamos configurar o monitoramento IP de cluster de chassi no Redundância Group 0 (RG0) para firewalls da Série SRX.

A Tabela 1 fornece detalhes de diferentes combinações de resultados monitorados, tanto dos nós primários quanto secundários, e das ações correspondentes do processo do Protocolo de Redundância de Serviços da Juniper (jsrpd).

• Você pode configurar até 64 endereços IP para monitoramento de IP em SRX5000 dispositivos de linha.

• Em dispositivos da Série FILIAl SRX, quando a interface de reth tem mais de uma interface física configurada, o monitoramento de IP para grupos redundantes não é suportado. O SRX usa a interface mais baixa do pacote para rastrear o nó secundário. Se o peer encaminhar a resposta em qualquer outra porta, exceto a que a recebeu, o SRX a soltará.

• O intervalo mínimo de monitoramento de IP é de 1 segundo e o máximo é de 30 segundos. O intervalo padrão é de 1 segundo.

• O limite mínimo de monitoramento de IP é de 5 solicitações e o máximo é de 15 solicitações. Se a solicitação de monitoramento de IP não receber uma resposta para solicitações consecutivas (excedendo o valor limite), o monitoramento de IP informa que o IP monitorado é inalcançável. O valor padrão para o limite é 5.

• A interface de reth não associada ao Grupo de Redundância (RG) na configuração de CLI de monitoramento de IP é suportada.

A Tabela 2 fornece detalhes sobre várias combinações de interface de IOC2 e IOC3 com números MAC máximos.

Observe as seguintes limitações para o suporte ao monitoramento ip em SRX5000 linha IOC2 e IOC3:

• O monitoramento de IP é suportado por meio da reth ou da interface RLAG. Se sua configuração não especificar nenhuma dessas interfaces, a pesquisa de rota retorna uma interface não reth/RLAG, o que resulta em um relatório de falha.

• O roteamento multicaminho de igual custo (ECMP) não é suportado no monitoramento de IP.

O monitoramento de endereço IP do grupo de redundância verifica a conectividade de ponta a ponta e permite que um grupo de redundância falhe devido à incapacidade de uma interface Ethernet redundante (conhecida como reth) de alcançar um endereço IP configurado. Grupos de redundância em ambos os dispositivos em um cluster podem ser configurados para monitorar endereços IP específicos para determinar se um dispositivo upstream na rede é acessível. O grupo de redundância pode ser configurado de forma que, se o endereço IP monitorado se tornar inalcançável, o grupo de redundância falhará em seu backup para manter o serviço. A principal diferença entre esse recurso de monitoramento e o monitoramento da interface é que o monitoramento de endereço IP permite o failover quando a interface ainda está ativa, mas o dispositivo de rede ao qual ele está conectado não é acessível por algum motivo. Pode ser possível nessas circunstâncias que o outro nó no cluster encaminhe o tráfego em torno do problema.

Se você quiser amortecer os failovers que ocorrem devido a falhas no monitoramento do endereço IP, use a hold-down-interval declaração.

A configuração de monitoramento de endereço IP permite que você defina não apenas o endereço para monitorar e seu peso de failover, mas também um limite e peso de monitoramento de endereço IP global. Somente após o monitoramento do endereço IP do limite global devido à falha cumulativa da acessibilidade do endereço monitorado será que o monitoramento do endereço IP do valor de peso global será deduzido do limiar de failover do grupo redundante. Assim, vários endereços podem ser monitorados simultaneamente e monitorados para refletir sua importância para a manutenção do fluxo de tráfego. Além disso, o valor limite de um endereço IP que é inalcançável e depois se torna acessível novamente será restabelecido ao limiar de monitoramento. No entanto, isso não causará um failback a menos que a opção de pré-requisito tenha sido habilitada.

Quando configurado, o valor de failover do monitoramento de endereço IP (peso global) é considerado juntamente com o monitoramento da interface — se definido — e o monitoramento de failover integrado, incluindo monitoramento de SPU, monitoramento de sincronização fria e monitoramento de NPC (em plataformas suportadas). Os principais endereços IP que devem ser monitorados são endereços de gateway de roteador para garantir que o tráfego válido que entra no gateway de serviços possa ser encaminhado ao roteador de rede apropriado.

A partir do Junos OS Release 12.1X46-D35 e Junos OS Release 17.3R1, para todos os firewalls da Série SRX, a interface de reth oferece suporte a proxy ARP.

Uma unidade de processamento de serviços (SPU) ou mecanismo de encaminhamento de pacotes (PFE) por nó é designado para enviar pacotes de ping do Protocolo de Mensagem de Controle de Internet (ICMP) para os endereços IP monitorados no cluster. O PFE primário envia pacotes de ping usando solicitações de protocolo de resolução de endereços (ARP) resolvidas pelo Mecanismo de Roteamento (RE). A fonte para esses pings são os endereços MAC e IP da interface Ethernet redundantes. O PFE secundário resolve solicitações de ARP para o próprio endereço IP monitorado. A fonte para esses pings é o endereço MAC físico para crianças e um endereço IP secundário configurado na interface Ethernet redundante. Para que a resposta de ping seja recebida na interface secundária, a placa de E/S (IOC), processador PFE central ou Flex IOC adiciona tanto o endereço MAC físico infantil quanto o endereço MAC da interface Ethernet redundante à sua tabela MAC. O PFE secundário responde com o endereço MAC físico infantil às solicitações de ARP enviadas ao endereço IP secundário configurado na interface Ethernet redundante.

O intervalo padrão para verificar a acessibilidade de um endereço IP monitorado é uma vez por segundo. O intervalo pode ser ajustado usando o retry-interval comando. O número padrão de tentativas de ping consecutivas permitidas é 5. O número de tentativas de ping com falha consecutiva permitidas pode ser ajustado usando o retry-count comando. Depois de não alcançar um endereço IP monitorado para o número configurado de tentativas consecutivas, o endereço IP é determinado como inalcançável e seu valor de failover é deduzido do limiar global do grupo de redundância.

Em SRX5600 e SRX5800 dispositivos, apenas duas das 10 portas em cada PIC de placas de Ethernet de 1 Gigabit (IOCs) de 40 portas podem habilitar simultaneamente o monitoramento de endereços IP. Como existem quatro PICs por IOC, isso permite que um total de oito portas por IOC sejam monitoradas. Se mais de duas portas por PIC em IOCs Ethernet de 1 Gigabit de 40 portas estiverem configuradas para monitoramento de endereço IP, o commit terá sucesso, mas uma entrada de log será gerada, e a precisão e a estabilidade do monitoramento de endereços IP não podem ser garantidas. Essa limitação não se aplica a nenhum outro IOCs ou dispositivos.

Uma vez que o endereço IP é determinado como inalcançável, seu peso é deduzido do limiar global. Se o valor de limite global recalculado não for 0, o endereço IP será marcado como inalcançável, mas o peso global não é deduzido do limiar do grupo de redundância. Se o limite global de monitoramento de IP do grupo de redundância atingir 0 e houver endereços IP inalcançáveis, o grupo de redundância falhará continuamente e falhará entre os nós até que um endereço IP inalcançável se torne acessível ou uma mudança de configuração remova endereços IP inalcançáveis do monitoramento. Observe que o amortecimento de failover com intervalo de espera configurado e padrão ainda está em vigor.

Cada grupo de redundância x tem um valor de tolerância de limiar inicialmente definido para 255. Quando um endereço IP monitorado pelo grupo de redundância x fica indisponível, seu peso é subtraído do limiar do grupo de redundância x. Quando o limite do grupo x de redundância chega a 0, ele falha no outro nó. Por exemplo, se a redundância do grupo 1 foi primária no nó 0, no evento de travessia de limiar, o grupo de redundância 1 se tornará primário no nó 1. Neste caso, todas as interfaces infantis das interfaces Ethernet redundantes do Grupo 1 de redundância começam a lidar com o tráfego.

Um grupo de redundância x failover ocorre porque o peso cumulativo dos endereços IP monitorados do grupo x de redundância x e outros monitoramentos levou seu valor limite para 0. Quando os endereços IP monitorados do grupo de redundância x em ambos os nós atingem seus limites ao mesmo tempo, o grupo de redundância x é primário no nó com o ID de nó inferior, que normalmente é nó 0.

A detecção de falhas de dispositivo upstream para o recurso de cluster do chassi é suportada em firewalls da Série SRX.

A partir do Junos OS Release 15.1X49-D60 e Junos OS Release 17.3R1, a configuração do estrangulamento da solicitação do Protocolo de Resolução de Endereços (ARP) é suportada em dispositivos de linha SRX5000. Esse recurso permite que você contorne o padrão de tempo de estrangulamento de solicitação de ARP previamente codificado (10 segundos por SPU para cada endereço IP) e definir o tempo para um valor maior (de 10 a 100 segundos). Definir o tempo de estrangulamento para um valor maior reduz a alta utilização do Mecanismo de Roteamento, permitindo que ele funcione de forma mais eficiente. Você pode configurar o tempo de estrangulamento da solicitação de ARP usando o set forwarding-options next-hop arp-throttle <seconds> comando.

O monitoramento só pode ser realizado se o endereço IP for acessível em uma interface Ethernet redundante (conhecida como um novo th em comandos CLI e listagens de interface), e os endereços IP não podem ser monitorados por um túnel. Para que um endereço IP seja monitorado por meio de uma interface Ethernet redundante em um nó de cluster secundário, a interface deve ter um endereço IP secundário configurado. O monitoramento de endereços IP não pode ser usado em um cluster de chassi em execução no modo transparente. O número máximo de endereços IP de monitoramento que podem ser configurados por cluster é de 64 para a linha SRX5000 de dispositivos, SRX1500, SRX1600, SRX2300 e SRX4000 linha de dispositivos.

O monitoramento de endereços IP do grupo de redundância não é suportado para destinos IPv6.

Este exemplo mostra como configurar o monitoramento de endereços IP de grupo de redundância para um firewall da Série SRX em um cluster de chassi.

Este exemplo mostra como monitorar o endereço IP em um dispositivo de linha SRX5000 com cluster de chassi habilitado.