主动/被动机箱群集部署
了解主动/被动机箱群集部署
在这种情况下，群集中的单个设备用于路由所有流量，而另一个设备仅在发生故障时使用（请参阅 图 1）。发生故障时，备份设备将成为主设备并控制所有转发。
主动/被动 机箱群集 可以通过使用全部分配给同一冗余组的冗余以太网接口 （reth） 来实现。如果节点中活动组中的任何接口发生故障，则该组将被声明为非活动状态，并且组中的所有接口都将故障转移到另一个节点。
此配置可最大程度地减少通过交换矩阵链路的流量，因为群集中只有一个节点在任何给定时间转发流量。
参见
示例：在SRX5800防火墙上配置主动/被动机箱群集
此示例说明如何在SRX5800防火墙上设置基本的主动/被动机箱群集。
要求
准备工作：
-
您需要两个具有相同硬件配置的SRX5800防火墙，以及可选的一个 MX480 边缘路由器和一个 EX9214 以太网交换机，用于发送端到端数据流量。
-
物理连接两台设备（交换矩阵和控制端口背靠背），并确保它们的型号相同。
-
在形成群集之前，必须为每个设备配置控制端口，并为每个设备分配群集 ID 和节点 ID，然后重新启动。当系统启动时，两个节点都作为群集启动。
SRX5400、SRX5600 和 SRX5800 防火墙需要控制端口配置。
现在设备是一对。从此时开始，群集的配置将在节点成员之间同步，两个独立的设备作为一个设备运行。
概述
此示例说明如何在 SRX 系列防火墙上设置基本主动/被动机箱群集。基本的主动/被动示例是最常见的机箱群集类型。
基本主动/被动机箱群集由两台设备组成：
-
一台设备主动提供路由、防火墙、NAT、VPN 和安全服务，同时保持对机箱群集的控制。
-
另一台设备被动地维护其群集故障转移功能状态，以防活动设备变为非活动状态。
此SRX5800防火墙的主动/被动模式示例未详细描述其他配置，例如如何配置 NAT、安全策略或 VPN。它们本质上与独立配置相同。但是，如果您在机箱群集配置中执行代理 ARP，则必须将代理 ARP 配置应用于 reth 接口而不是成员接口，因为 RETH 接口包含逻辑配置。请参阅 为 NAT 配置代理 ARP（CLI 过程）。您还可以在SRX5800防火墙中使用 VLAN 和中继接口配置单独的逻辑接口配置。这些配置类似于使用 VLAN 和中继接口的独立实施。
图 2 显示了此示例中使用的拓扑。
配置
配置控制端口并启用群集模式
CLI 快速配置
要快速配置此示例，请复制以下命令，将其粘贴到文本文件中，删除所有换行符，更改与您的网络配置匹配所需的任何详细信息，将命令复制并粘贴到层次结构级别的 CLI [edit] 中，然后从配置模式进入 commit 。
在 {primary：node0} 上
[edit]
set groups node0 system host-name hostA
set groups node0 system backup-router 10.52.63.254
set groups node0 system backup-router destination 10.0.0.0/8
set groups node0 interfaces fxp0 unit 0 family inet address 10.52.43.57/19
set groups node1 system host-name hostB
set groups node1 system backup-router 10.52.63.254
set groups node1 system backup-router destination 10.0.0.0/8
set groups node1 interfaces fxp0 unit 0 family inet address 10.52.52.27/19
set apply-groups “${node}”
set chassis cluster control-ports fpc 1 port 0
set chassis cluster control-ports fpc 13 port 0
set chassis cluster control-link-recovery
set chassis cluster reth-count 2
set chassis cluster redundancy-group 0 node 0 priority 254
set chassis cluster redundancy-group 0 node 1 priority 1
set chassis cluster redundancy-group 1 node 0 priority 254
set chassis cluster redundancy-group 1 node 1 priority 1
set chassis cluster redundancy-group 1 interface-monitor xe-6/0/0 weight 255
set chassis cluster redundancy-group 1 interface-monitor xe-18/0/0 weight 255
set chassis cluster redundancy-group 1 interface-monitor xe-6/1/0 weight 255
set chassis cluster redundancy-group 1 interface-monitor xe-18/1/0 weight 255
set security policies from-zone trust to-zone untrust policy allow match source-address any
set security policies from-zone trust to-zone untrust policy allow match destination-address any
set security policies from-zone trust to-zone untrust policy allow match application any
set security policies from-zone trust to-zone untrust policy allow then permit
set security policies from-zone untrust to-zone trust policy allow match source-address any
set security policies from-zone untrust to-zone trust policy allow match destination-address any
set security policies from-zone untrust to-zone trust policy allow match application any
set security policies from-zone untrust to-zone trust policy allow then permit
set security zones security-zone trust host-inbound-traffic system-services ping
set security zones security-zone trust interfaces reth1.50
set security zones security-zone untrust host-inbound-traffic system-services ping
set security zones security-zone untrust interfaces reth0.51
set interfaces xe-6/1/0 gigether-options redundant-parent reth1
set interfaces xe-6/0/0 gigether-options redundant-parent reth0
set interfaces xe-18/1/0 gigether-options redundant-parent reth1
set interfaces xe-18/0/0 gigether-options redundant-parent reth0
set interfaces fab0 fabric-options member-interfaces xe-3/2/8
set interfaces fab1 fabric-options member-interfaces xe-15/2/8
set interfaces reth0 vlan-tagging
set interfaces reth0 redundant-ether-options redundancy-group 1
set interfaces reth0 unit 51 vlan-id 51
set interfaces reth0 unit 51 family inet address 10.1.1.1/24
set interfaces reth1 vlan-tagging
set interfaces reth1 redundant-ether-options redundancy-group 1
set interfaces reth1 unit 50 vlan-id 50
set interfaces reth1 unit 50 family inet address 10.2.2.1/24
set routing-options static route 10.0.0.0/8 next-hop 10.52.63.254
set routing-options static route 172.16.1.0/24 next-hop 10.1.1.254
（可选）要快速配置 EX9214 核心交换机，请复制以下命令，将其粘贴到文本文件中，删除所有换行符，更改任何必要的详细信息以匹配您的网络配置，将命令复制并粘贴到层次结构级别的 CLI [edit] 中，然后从配置模式进入 commit 。
在 EX 设备上
[edit] set interfaces xe-1/0/0 unit 0 family ethernet-switching interface-mode trunk set interfaces xe-1/0/0 unit 0 family ethernet-switching vlan members v50 set interfaces xe-2/0/0 unit 0 family ethernet-switching interface-mode trunk set interfaces xe-2/0/0 unit 0 family ethernet-switching vlan members v50 set interfaces irb unit 50 family inet address 10.2.2.254/24 set routing-options static route 10.1.1.0/24 next-hop 10.2.2.1 set routing-options static route 172.16.1.0/24 next-hop 10.2.2.1 set vlans v50 vlan-id 50 set vlans v50 l3-interface irb.50
（可选）要快速配置 MX480 边缘路由器，请复制以下命令，将其粘贴到文本文件中，删除所有换行符，更改与您的网络配置匹配所需的任何详细信息，将命令复制并粘贴到层次结构级别的 CLI [edit] 中，然后从配置模式进入 commit 。
在 MX 设备上
[edit] set interfaces xe-1/0/0 encapsulation ethernet-bridge set interfaces xe-1/0/0 unit 0 family bridge interface-mode trunk set interfaces xe-1/0/0 unit 0 family bridge vlan-id 51 set interfaces xe-1/0/1 unit 0 family inet address 172.16.1.1/24 set interfaces xe-2/0/0 encapsulation ethernet-bridge set interfaces xe-2/0/0 unit 0 family bridge interface-mode trunk set interfaces xe-2/0/0 unit 0 family bridge vlan-id 51 set interfaces irb unit 0 family inet address 10.1.1.254/24 set routing-options static route 10.2.2.0/24 next-hop 10.1.1.1 set bridge-domains v51 domain-type bridge set bridge-domains v51 vlan-id 51 set bridge-domains v51 routing-interface irb.0
分步过程
以下示例要求您在配置层次结构中导航各个级别。
要在 SRX 系列防火墙上配置机箱群集：
在群集模式下，执行 commit 命令时，配置将通过节点之间的控制链路同步。无论命令是从哪个设备配置的，所有命令都将应用于两个节点。
-
由于 SRX5000 防火墙机箱群集配置包含在单个通用配置中，因此要将配置的某些元素仅分配给特定成员，必须使用 Junos OS 节点特定的配置方法（称为组）。该
set apply-groups ${node}命令使用 node 变量来定义如何将组应用于节点;每个节点都能识别其编号并相应地接受配置。您还必须在 SRX5000 防火墙的 fxp0 接口上配置带外管理，为群集的各个控制平面使用单独的 IP 地址。不允许将备份路由器目标地址配置为 x.x.x.0/0。
user@hostA# set groups node0 system host-name hostA user@hostA# set groups node0 system backup-router 10.52.63.254 user@hostA# set groups node0 system backup-router destination 10.0.0.0/8 user@hostA# set groups node0 interfaces fxp0 unit 0 family inet address 10.52.43.57/19
user@hostB# set groups node1 system host-name hostB user@hostB# set groups node1 system backup-router 10.52.63.254 user@hostB# set groups node1 system backup-router destination 10.0.0.0/8 user@hostB# set groups node1 interfaces fxp0 unit 0 family inet address 10.52.52.27/19
上述组 node0 和节点 1 配置已提交，但未应用。设备在群集中启动后，将使用 应用
set apply-groups “${node}”这些命令。 -
使用以下命令配置主节点 0。在提交节点配置之前，节点 1 无法访问。节点 0 将通过控制端口自动将配置同步到节点 1，不需要显式配置节点 1。
user@hostA# set apply-groups “${node}” -
为每个设备配置控制端口，然后提交配置。
确保按照配置在两个节点上的 SPC 卡之间建立物理控制链路连接。
控制端口基于 SPC 在机箱中的位置派生，偏移值基于平台。在以下示例中，SPC 位于收入插槽 1 中，由于 SRX5800 的偏移量为 12，因此控制端口为 1， 13。您可以在 shell 模式下使用命令查看
“jwhoami -c”特定平台的偏移值。您必须在两台设备上输入以下命令。例如：-
在节点 0 上：
user@hostA# set chassis cluster control-ports fpc 1 port 0 user@hostA# set chassis cluster control-ports fpc 13 port 0 user@hostA# commit
-
在节点 1 上：
user@hostB# set chassis cluster control-ports fpc 1 port 0 user@hostB# set chassis cluster control-ports fpc 13 port 0 user@hostB# commit
-
-
将两台设备设置为群集模式。设置群集 ID 和节点 ID 后，需要重新启动才能进入群集模式。您可以通过在
rebootCLI 命令行中包含参数来使系统自动引导。您必须在两台设备上输入操作模式命令。例如：-
在节点 0 上：
user@hostA> set chassis cluster cluster-id 1 node 0 reboot
-
在节点 1 上：
user@hostB> set chassis cluster cluster-id 1 node 1 reboot
群集中两台设备上的群集 ID 必须相同，但节点 ID 必须不同，因为一台设备是节点 0，另一台设备是节点 1。群集 ID 的范围为 1 到 255。将集群 ID 设置为 0 等效于禁用集群。但建议使用 从
set chassis cluster disable群集中断节点。 -
-
为机箱群集配置冗余组。每个节点在冗余组中都有接口，其中接口在活动冗余组中处于活动状态（一个冗余组中可以存在多个活动接口）。冗余组 0 控制控制平面，冗余组 1+ 控制数据平面并包括数据平面端口。对于此主动/被动模式示例，一次只有一个机箱群集成员处于活动状态，因此您只需定义冗余组 0 和 1。除了冗余组，还必须定义：
-
冗余以太网组 — 配置设备上将处于活动状态的冗余以太网接口（成员链路）数量，以便系统为其分配适当的资源。
-
控制平面和数据平面的优先级 — 定义哪个设备对控制平面具有优先级（对于机箱群集，首选高优先级），以及哪个设备优先处于活动状态对于数据平面。
-
在主动/被动或主动/主动模式下，控制平面（冗余组 0）可以在不同于数据平面（冗余组 1+ 和组）机箱的机箱上处于活动状态。但是，对于此示例，我们建议在同一机箱构件上同时激活控制平面和数据平面。当流量通过交换矩阵链路转到另一个成员节点时，会引入延迟（z 线路模式流量）。
-
在 SRX 系列防火墙（SRX5000 系列）上，Z 模式下的主动/主动机箱群集配置（即，当有多个 RG1+ 冗余组时）不支持 IPsec VPN。
-
user@hostA# set chassis cluster reth-count 2 user@hostA# set chassis cluster redundancy-group 1 node 0 priority 254 user@hostA# set chassis cluster redundancy-group 1 node 1 priority 1 user@hostA# set chassis cluster redundancy-group 0 node 0 priority 254 user@hostA# set chassis cluster redundancy-group 0 node 1 priority 1
-
-
配置群集的结构（数据）端口，用于在主动/被动模式下传递 RTO。对于此示例，请使用其中一个收入端口。定义两个交换矩阵接口（每个机箱一个）以连接在一起。
在平台上配置数据接口，以便在发生数据平面故障切换时，其他机箱群集成员可以无缝接管连接。数据平面故障转移将无缝过渡到新的活动节点。在发生控制平面故障切换时，所有守护程序都将在新节点上重新启动，从而实现平稳重启，以避免失去与对等方的邻接关系（ospf、bgp）。这有助于无缝过渡到新节点，而不会丢失任何数据包。
必须定义以下项：
-
定义成员接口的成员资格信息到reth接口。
-
定义 reth 接口所属的冗余组。对于此主动/被动示例，它始终为 1。
-
定义接口信息，例如接口的 IP 地址。
{primary:node0}[edit]user@hostA# set interfaces xe-6/1/0 gigether-options redundant-parent reth1 user@hostA# set interfaces xe-6/0/0 gigether-options redundant-parent reth0 user@hostA# set interfaces xe-18/1/0 gigether-options redundant-parent reth1 user@hostA# set interfaces xe-18/0/0 gigether-options redundant-parent reth0 user@hostA# set interfaces reth0 vlan-tagging user@hostA# set interfaces reth0 redundant-ether-options redundancy-group 1 user@hostA# set interfaces reth0 unit 51 vlan-id 51 user@hostA# set interfaces reth0 unit 51 family inet address 10.1.1.1/24 user@hostA# set interfaces reth1 vlan-tagging user@hostA# set interfaces reth1 redundant-ether-options redundancy-group 1 user@hostA# set interfaces reth1 unit 50 vlan-id 50 user@hostA# set interfaces reth1 unit 50 family inet address 10.2.2.1/24 user@hostA# set interfaces fab0 fabric-options member-interfaces xe-3/2/8 user@hostA# set interfaces fab1 fabric-options member-interfaces xe-15/2/8 -
-
（可选）配置发生故障时的机箱群集行为。对于SRX5800防火墙，故障转移阈值设置为 255。您可以更改权重以确定对机箱故障切换的影响。您还必须配置控制链路恢复。如果控制链路出现故障，恢复会自动使辅助节点重新启动，然后重新联机。在节点 0 上输入这些命令。
{primary:node0}[edit]user@hostA# set chassis cluster redundancy-group 1 interface-monitor xe-6/0/0 weight 255 user@hostA# set chassis cluster redundancy-group 1 interface-monitor xe-6/1/0 weight 255 user@hostA# set chassis cluster redundancy-group 1 interface-monitor xe-18/0/0 weight 255 user@hostA# set chassis cluster redundancy-group 1 interface-monitor xe-18/1/0 weight 255 user@hostA# set chassis cluster control-link-recovery此步骤将完成 SRX5800 防火墙的主动/被动模式示例的机箱群集配置部分。此过程的其余部分介绍如何配置区域、虚拟路由器、路由、EX9214 核心交换机和 MX480 边缘路由器以完成部署方案。
-
（可选）配置 reth 接口并将其连接到相应的区域和虚拟路由器。对于此示例，请将 reth0 和 reth1 接口保留在默认虚拟路由器 inet.0 中，这不需要任何其他配置。
{primary:node0}[edit]user@hostA# set security zones security-zone trust host-inbound-traffic system-services ping user@hostA# set security zones security-zone trust interfaces reth1.50 user@hostA# set security zones security-zone untrust host-inbound-traffic system-services ping user@hostA# set security zones security-zone untrust interfaces reth0.51 创建安全策略以允许从信任区域到不信任区域的流量。
user@hostA# set security policies from-zone trust to-zone untrust policy allow match source-address any user@hostA# set security policies from-zone trust to-zone untrust policy allow match destination-address any user@hostA# set security policies from-zone trust to-zone untrust policy allow match application any user@hostA# set security policies from-zone trust to-zone untrust policy allow then permit user@hostA# set security policies from-zone untrust to-zone trust policy allow match source-address any user@hostA# set security policies from-zone untrust to-zone trust policy allow match destination-address any user@hostA# set security policies from-zone untrust to-zone trust policy allow match application any user@hostA# set security policies from-zone untrust to-zone trust policy allow then permit-
（可选）对于 EX9214 以太网交换机，以下命令仅提供适用配置的概要，因为它与 SRX5800 防火墙的主动/被动模式示例有关;最值得注意的是 VLAN、路由和接口配置。
[edit]user@switch# set interfaces xe-1/0/0 unit 0 family ethernet-switching interface-mode trunk user@switch# set interfaces xe-1/0/0 unit 0 family ethernet-switching vlan members v50 user@switch# set interfaces xe-2/0/0 unit 0 family ethernet-switching interface-mode trunk user@switch# set interfaces xe-2/0/0 unit 0 family ethernet-switching vlan members v50 user@switch# set interfaces irb unit 50 family inet address 10.2.2.254/24 user@switch# set routing-options static route 10.1.1.0/24 next-hop 10.2.2.1 user@switch# set routing-options static route 172.16.1.0/24 next-hop 10.2.2.1 user@switch# set vlans v50 vlan-id 50 user@switch# set vlans v50 l3-interface irb.50 -
（可选）对于 MX480 边缘路由器，以下命令仅提供适用配置的概要，因为它与 SRX5800 防火墙的主动/被动模式示例有关;最值得注意的是，您必须在交换机上的虚拟交换机实例中使用 IRB 接口。
[edit]user@router# set interfaces xe-1/0/0 encapsulation ethernet-bridge user@router# set interfaces xe-1/0/0 unit 0 family bridge interface-mode trunk user@router# set interfaces xe-1/0/0 unit 0 family bridge vlan-id 51 user@router# set interfaces xe-1/0/1 unit 0 family inet address 172.16.1.1/24 user@router# set interfaces xe-2/0/0 encapsulation ethernet-bridge user@router# set interfaces xe-2/0/0 unit 0 family bridge interface-mode trunk user@router# set interfaces xe-2/0/0 unit 0 family bridge vlan-id 51 user@router# set interfaces irb unit 0 family inet address 10.1.1.254/24 user@router# set routing-options static route 10.2.2.0/24 next-hop 10.1.1.1 user@router# set bridge-domains v51 domain-type bridge user@router# set bridge-domains v51 vlan-id 51 user@router# set bridge-domains v51 routing-interface irb.0
验证
确认配置工作正常。
验证机箱群集状态
目的
验证机箱群集状态、故障切换状态和冗余组信息。
行动
在操作模式下，输入 show chassis cluster status 命令。
{primary:node0}
user@hostA> show chassis cluster status
Monitor Failure codes:
CS Cold Sync monitoring FL Fabric Connection monitoring
GR GRES monitoring HW Hardware monitoring
IF Interface monitoring IP IP monitoring
LB Loopback monitoring MB Mbuf monitoring
NH Nexthop monitoring NP NPC monitoring
SP SPU monitoring SM Schedule monitoring
CF Config Sync monitoring RE Relinquish monitoring
IS IRQ storm
Cluster ID: 1
Node Priority Status Preempt Manual Monitor-failures
Redundancy group: 0 , Failover count: 1
node0 254 primary no no None
node1 1 secondary no no None
Redundancy group: 1 , Failover count: 1
node0 254 primary no no None
node1 1 secondary no no None
验证机箱群集接口
目的
验证有关机箱群集接口的信息。
行动
在操作模式下，输入 show chassis cluster interfaces 命令。
{primary:node0}
user@hostA> show chassis cluster interfaces
Control link status: Up
Control interfaces:
Index Interface Monitored-Status Internal-SA Security
0 em0 Up Disabled Disabled
Fabric link status: Up
Fabric interfaces:
Name Child-interface Status Security
(Physical/Monitored)
fab0 xe-3/2/8 Up / Up Disabled
fab0
fab1 xe-15/2/8 Up / Up Disabled
fab1
Redundant-ethernet Information:
Name Status Redundancy-group
reth0 Up 1
reth1 Up 1
Redundant-pseudo-interface Information:
Name Status Redundancy-group
lo0 Up 0
Interface Monitoring:
Interface Weight Status Redundancy-group
(Physical/Monitored)
xe-18/1/0 255 Up / Up 1
xe-6/1/0 255 Up / Up 1
xe-18/0/0 255 Up / Up 1
xe-6/0/0 255 Up / Up 1
验证机箱群集统计信息
目的
验证有关机箱群集服务和控制链路统计信息（发送和接收的心跳）、结构链路统计信息（发送和接收的探测）以及为服务发送和接收的 RTO 数量的信息。
行动
在操作模式下，输入 show chassis cluster statistics 命令。
{primary:node0}
user@hostA> show chassis cluster statistics
Control link statistics:
Control link 0:
Heartbeat packets sent: 229414
Heartbeat packets received: 229385
Heartbeat packet errors: 0
Fabric link statistics:
Child link 0
Probes sent: 459691
Probes received: 459679
Child link 1
Probes sent: 0
Probes received: 0
Services Synchronized:
Service name RTOs sent RTOs received
Translation context 0 0
Incoming NAT 0 0
Resource manager 0 0
DS-LITE create 0 0
Session create 0 0
IPv6 session create 0 0
IPv4/6 session RTO ACK 0 0
Session close 0 0
IPv6 session close 0 0
Session change 0 0
IPv6 session change 0 0
ALG Support Library 0 0
Gate create 0 0
Session ageout refresh requests 0 0
IPv6 session ageout refresh requests 0 0
Session ageout refresh replies 0 0
IPv6 session ageout refresh replies 0 0
IPSec VPN 0 0
Firewall user authentication 0 0
MGCP ALG 0 0
H323 ALG 0 0
SIP ALG 0 0
SCCP ALG 0 0
PPTP ALG 0 0
JSF PPTP ALG 0 0
RPC ALG 0 0
RTSP ALG 0 0
RAS ALG 0 0
MAC address learning 0 0
GPRS GTP 0 0
GPRS SCTP 0 0
GPRS FRAMEWORK 0 0
JSF RTSP ALG 0 0
JSF SUNRPC MAP 0 0
JSF MSRPC MAP 0 0
DS-LITE delete 0 0
JSF SLB 0 0
APPID 0 0
JSF MGCP MAP 0 0
JSF H323 ALG 0 0
JSF RAS ALG 0 0
JSF SCCP MAP 0 0
JSF SIP MAP 0 0
PST_NAT_CREATE 0 0
PST_NAT_CLOSE 0 0
PST_NAT_UPDATE 0 0
JSF TCP STACK 0 0
JSF IKE ALG 0 0
Packet stats Pkts sent Pkts received
ICD Data 0 0
验证机箱群集控制平面统计信息
目的
验证有关机箱群集控制平面统计信息（发送和接收的检测信号）和结构链路统计信息（发送和接收的探测）的信息。
行动
在操作模式下，输入 show chassis cluster control-plane statistics 命令。
{primary:node0}
user@hostA> show chassis cluster control-plane statistics
Control link statistics:
Control link 0:
Heartbeat packets sent: 229474
Heartbeat packets received: 229445
Heartbeat packet errors: 0
Fabric link statistics:
Child link 0
Probes sent: 459809
Probes received: 459797
Child link 1
Probes sent: 0
Probes received: 0
验证机箱群集数据平面统计信息
目的
验证有关为服务发送和接收的 RTO 数量的信息。
行动
在操作模式下，输入 show chassis cluster data-plane statistics 命令。
{primary:node0}
user@hostA> show chassis cluster data-plane statistics
Services Synchronized:
Service name RTOs sent RTOs received
Translation context 0 0
Incoming NAT 0 0
Resource manager 0 0
DS-LITE create 0 0
Session create 0 0
IPv6 session create 0 0
Session close 0 0
IPv6 session close 0 0
Session change 0 0
IPv6 session change 0 0
ALG Support Library 0 0
Gate create 0 0
Session ageout refresh requests 0 0
IPv6 session ageout refresh requests 0 0
Session ageout refresh replies 0 0
IPv6 session ageout refresh replies 0 0
IPSec VPN 0 0
Firewall user authentication 0 0
MGCP ALG 0 0
H323 ALG 0 0
SIP ALG 0 0
SCCP ALG 0 0
PPTP ALG 0 0
JSF PPTP ALG 0 0
RPC ALG 0 0
RTSP ALG 0 0
RAS ALG 0 0
MAC address learning 0 0
GPRS GTP 0 0
GPRS SCTP 0 0
GPRS FRAMEWORK 0 0
JSF RTSP ALG 0 0
JSF SUNRPC MAP 0 0
JSF MSRPC MAP 0 0
DS-LITE delete 0 0
JSF SLB 0 0
APPID 0 0
JSF MGCP MAP 0 0
JSF H323 ALG 0 0
JSF RAS ALG 0 0
JSF SCCP MAP 0 0
JSF SIP MAP 0 0
PST_NAT_CREATE 0 0
PST_NAT_CLOSE 0 0
PST_NAT_UPDATE 0 0
JSF TCP STACK 0 0
JSF IKE ALG 0 0
验证来自 EX 设备的 Ping
目的
从 EX 设备验证连接状态。
行动
在操作模式下，输入 ping 172.16.1.254 count 2 命令。
user@EX9214> ping 172.16.1.254 count 2 PING 172.16.1.254 (172.16.1.254): 56 data bytes 64 bytes from 172.16.1.254: icmp_seq=0 ttl=62 time=4.599 ms 64 bytes from 172.16.1.254: icmp_seq=1 ttl=62 time=3.192 ms --- 172.16.1.254 ping statistics --- 2 packets transmitted, 2 packets received, 0% packet loss round-trip min/avg/max/stddev = 3.192/3.896/4.599/0.704 ms
验证机箱群集冗余组状态
目的
验证群集中两个节点的状态和优先级，以及有关主节点是否已被抢占或是否存在手动故障转移的信息。
行动
在操作模式下，输入 chassis cluster status redundancy-group 命令。
{primary:node0}
user@hostA> show chassis cluster status redundancy-group 1
Monitor Failure codes:
CS Cold Sync monitoring FL Fabric Connection monitoring
GR GRES monitoring HW Hardware monitoring
IF Interface monitoring IP IP monitoring
LB Loopback monitoring MB Mbuf monitoring
NH Nexthop monitoring NP NPC monitoring
SP SPU monitoring SM Schedule monitoring
CF Config Sync monitoring RE Relinquish monitoring
Cluster ID: 1
Node Priority Status Preempt Manual Monitor-failures
Redundancy group: 1 , Failover count: 1
node0 254 primary no no None
node1 1 secondary no no None
示例：配置主动/被动机箱群集对（SRX1500 或 SRX1600）
此示例说明如何为SRX1500或SRX1600设备配置主动/被动机箱群集。
要求
准备工作：
将一对设备物理连接在一起，确保它们的型号相同。
通过将一台设备上的千兆以太网接口连接到另一台设备上的另一个千兆以太网接口来创建结构链路。
通过连接两个SRX1500设备的控制端口来创建控制链路。
使用控制台端口连接到其中一台设备。（这是构成群集的节点。并设置集群 ID 和节点号。
user@host> set chassis cluster cluster-id 1 node 0 reboot
使用控制台端口连接到其他设备，并设置群集 ID 和节点号。
user@host> set chassis cluster cluster-id 1 node 1 reboot
概述
在此示例中，群集中的单个设备用于路由所有流量，而另一台设备仅在发生故障时使用。（请参阅 图 3。发生故障时，备份设备将成为主设备并控制所有转发。
您可以通过配置全部分配给同一冗余组的冗余以太网接口 （reth） 来创建主动/被动机箱群集。此配置可最大程度地减少通过交换矩阵链路的流量，因为群集中只有一个节点在任何给定时间转发流量。
在此示例中，您将配置组（使用命令应用 apply-groups 配置）和机箱群集信息。然后配置安全区域和安全策略。请参阅 表 1 至 表 4。
特征 |
名字 |
配置参数 |
|---|---|---|
组 |
节点0 |
|
|
节点 1 |
|
特征 |
名字 |
配置参数 |
|---|---|---|
结构链路 |
晶圆厂0 |
接口：ge-0/0/1 |
|
晶圆厂1 |
接口：ge-7/0/1 |
检测信号间隔 |
– |
1000 |
检测信号阈值 |
– |
3 |
冗余组 |
0 |
|
|
1 |
|
|
|
接口监控
|
冗余以太网接口数量 |
– |
2 |
接口 |
ge-0/0/4 |
冗余父级：reth0 |
GE-7/0/4 |
冗余父级：reth0 |
|
ge-0/0/5 |
冗余父级：reth1 |
|
GE-7/0/5 |
冗余父级：reth1 |
|
reth0 |
冗余组：1 |
|
|
||
RETH1 |
冗余组：1 |
|
|
名字 |
配置参数 |
|---|---|
信任 |
reth1.0 接口绑定到此区域。 |
不信任 |
reth0.0 接口绑定到此区域。 |
目的 |
名字 |
配置参数 |
|---|---|---|
此安全策略允许从信任区域到不信任区域的流量。 |
任何 |
|
配置
程序
CLI 快速配置
要快速配置此示例，请复制以下命令，将其粘贴到文本文件中，删除所有换行符，更改与您的网络配置匹配所需的任何详细信息，将命令复制并粘贴到层次结构级别的 CLI [edit] 中，然后从配置模式进入 commit 。
[edit]
set groups node0 system host-name srx1500-A
set groups node0 interfaces fxp0 unit 0 family inet address 192.0.2.110/24
set groups node1 system host-name srx1500-B
set groups node1 interfaces fxp0 unit 0 family inet address 192.0.2.111/24
set apply-groups “${node}”
set interfaces fab0 fabric-options member-interfaces ge-0/0/1
set interfaces fab1 fabric-options member-interfaces ge-7/0/1
set chassis cluster heartbeat-interval 1000
set chassis cluster heartbeat-threshold 3
set chassis cluster redundancy-group 0 node 0 priority 100
set chassis cluster redundancy-group 0 node 1 priority 1
set chassis cluster redundancy-group 1 node 0 priority 100
set chassis cluster redundancy-group 1 node 1 priority 1
set chassis cluster redundancy-group 1 interface-monitor ge-0/0/4 weight 255
set chassis cluster redundancy-group 1 interface-monitor ge-7/0/4 weight 255
set chassis cluster redundancy-group 1 interface-monitor ge-0/0/5 weight 255
set chassis cluster redundancy-group 1 interface-monitor ge-7/0/5 weight 255
set chassis cluster reth-count 2
set interfaces ge-0/0/5 gigether-options redundant-parent reth1
set interfaces ge-7/0/5 gigether-options redundant-parent reth1
set interfaces ge-0/0/4 gigether-options redundant-parent reth0
set interfaces ge-7/0/4 gigether-options redundant-parent reth0
set interfaces reth0 redundant-ether-options redundancy-group 1
set interfaces reth0 unit 0 family inet address 198.51.100.1/24
set interfaces reth1 redundant-ether-options redundancy-group 1
set interfaces reth1 unit 0 family inet address 203.0.113.233/24
set security zones security-zone untrust interfaces reth1.0
set security zones security-zone trust interfaces reth0.0
set security policies from-zone trust to-zone untrust policy ANY match source-address any
set security policies from-zone trust to-zone untrust policy ANY match destination-address any
set security policies from-zone trust to-zone untrust policy ANY match application any
set security policies from-zone trust to-zone untrust policy ANY then permit
分步过程
要配置主动/被动机箱群集：
配置管理接口。
{primary:node0}[edit] user@host# set groups node0 system host-name srx1500-A user@host# set groups node0 interfaces fxp0 unit 0 family inet address 192.0.2.110/24 user@host# set groups node1 system host-name srx1500-B user@host# set groups node1 interfaces fxp0 unit 0 family inet address 192.0.2.111/24 user@host# set apply-groups “${node}”配置结构接口。
{primary:node0}[edit] user@host# set interfaces fab0 fabric-options member-interfaces ge-0/0/1 user@host# set interfaces fab1 fabric-options member-interfaces ge-7/0/1配置检测信号设置。
{primary:node0}[edit] user@host# set chassis cluster heartbeat-interval 1000 user@host# set chassis cluster heartbeat-threshold 3配置冗余组。
{primary:node0}[edit] user@host# set chassis cluster redundancy-group 0 node 0 priority 100 user@host# set chassis cluster redundancy-group 0 node 1 priority 1 user@host# set chassis cluster redundancy-group 1 node 0 priority 100 user@host# set chassis cluster redundancy-group 1 node 1 priority 1 user@host# set chassis cluster redundancy-group 1 interface-monitor ge-0/0/4 weight 255 user@host# set chassis cluster redundancy-group 1 interface-monitor ge-7/0/4 weight 255 user@host# set chassis cluster redundancy-group 1 interface-monitor ge-0/0/5 weight 255 user@host# set chassis cluster redundancy-group 1 interface-monitor ge-7/0/5 weight 255配置冗余以太网接口。
{primary:node0}[edit] user@host# set chassis cluster reth-count 2 user@host# set interfaces ge-0/0/5 gigether-options redundant-parent reth1 user@host# set interfaces ge-7/0/5 gigether-options redundant-parent reth1 user@host# set interfaces ge-0/0/4 gigether-options redundant-parent reth0 user@host# set interfaces ge-7/0/4 gigether-options redundant-parent reth0 user@host# set interfaces reth0 redundant-ether-options redundancy-group 1 user@host# set interfaces reth0 unit 0 family inet address 198.51.100.1/24 user@host# set interfaces reth1 redundant-ether-options redundancy-group 1 user@host# set interfaces reth1 unit 0 family inet address 203.0.113.233/24配置安全区域。
{primary:node0}[edit] user@host# set security zones security-zone untrust interfaces reth1.0 user@host# set security zones security-zone trust interfaces reth0.0配置安全策略。
{primary:node0}[edit] user@host# set security policies from-zone trust to-zone untrust policy ANY match source-address any user@host# set security policies from-zone trust to-zone untrust policy ANY match destination-address any user@host# set security policies from-zone trust to-zone untrust policy ANY match application any user@host# set security policies from-zone trust to-zone untrust policy ANY then permit
结果
在配置模式下，输入 show configuration 命令确认您的配置。如果输出未显示预期的配置，请重复此示例中的配置说明以进行更正。
为简洁起见，此 show 命令输出仅包含与此示例相关的配置。系统上的任何其他配置都已替换为省略号 （...）。
user@host> show configuration
version x.xx.x;
groups {
node0 {
system {
host-name srx1500-A;
}
interfaces {
fxp0 {
unit 0 {
family inet {
address 192.0.2.110/24;
}
}
}
}
}
node1 {
system {
host-name srx1500-B;
interfaces {
fxp0 {
unit 0 {
family inet {
address 192.0.2.110/24;
}
}
}
}
}
}
apply-groups "${node}";
chassis {
cluster {
reth-count 2;
heartbeat-interval 1000;
heartbeat-threshold 3;
redundancy-group 0 {
node 0 priority 100;
node 1 priority 1;
}
redundancy-group 1 {
node 0 priority 100;
node 1 priority 1;
interface-monitor {
ge–0/0/4 weight 255;
ge–7/0/4 weight 255;
ge–0/0/5 weight 255;
ge–7/0/5 weight 255;
}
}
}
}
interfaces {
ge–0/0/4 {
gigether–options {
redundant–parent reth0;
}
}
ge–7/0/4{
gigether–options {
redundant–parent reth0;
}
}
ge–0/0/5 {
gigether–options {
redundant–parent reth1;
}
}
ge–7/0/5 {
gigether–options {
redundant–parent reth1;
}
}
fab0 {
fabric–options {
member–interfaces {
ge–0/0/1;
}
}
}
fab1 {
fabric–options {
member–interfaces {
ge–7/0/1;
}
}
}
reth0 {
redundant–ether–options {
redundancy–group 1;
}
unit 0 {
family inet {
address 198.51.100.1/24;
}
}
}
reth1 {
redundant–ether–options {
redundancy–group 1;
}
unit 0 {
family inet {
address 203.0.113.233/24;
}
}
}
}
...
security {
zones {
security–zone untrust {
interfaces {
reth1.0;
}
}
security–zone trust {
interfaces {
reth0.0;
}
}
}
policies {
from-zone trust to-zone untrust {
policy ANY {
match {
source-address any;
destination-address any;
application any;
}
then {
permit;
}
}
}
}
}
如果完成设备配置，请从配置模式输入 commit 。
验证
确认配置工作正常。
验证机箱群集状态
目的
验证机箱群集状态、故障切换状态和冗余组信息。
行动
在操作模式下，输入 show chassis cluster status 命令。
{primary:node0}
user@host> show chassis cluster status
Cluster ID: 1
Node Priority Status Preempt Manual failover
Redundancy group: 0 , Failover count: 1
node0 100 primary no no
node1 1 secondary no no
Redundancy group: 1 , Failover count: 1
node0 100 primary no no
node1 1 secondary no no
验证机箱群集接口
目的
验证有关机箱群集接口的信息。
行动
在操作模式下，输入 show chassis cluster interfaces 命令。
{primary:node0}
user@host> show chassis cluster interfaces
Control link status: Up
Control interfaces:
Index Interface Monitored-Status Security
0 em0 Up Disabled
1 em1 Down Disabled
Fabric link status: Up
Fabric interfaces:
Name Child-interface Status Security
fab0 ge-0/0/1 Up Disabled
fab0
fab1 ge-7/0/1 Up Disabled
fab1
Redundant-ethernet Information:
Name Status Redundancy-group
reth0 Up 1
reth1 Up 1
Redundant-pseudo-interface Information:
Name Status Redundancy-group
lo0 Up 1
Interface Monitoring:
Interface Weight Status Redundancy-group
ge-0/0/4 255 Up 1
ge-7/0/4 255 Up 1
ge-0/0/5 255 Up 1
ge-7/0/5 255 Up 1
验证机箱群集统计信息
目的
验证有关正在同步的不同对象的统计信息、结构和控制接口问候以及集群中受监控接口的状态的信息。
行动
在操作模式下，输入 show chassis cluster statistics 命令。
{primary:node0}
user@host> show chassis cluster statistics
Control link statistics:
Control link 0:
Heartbeat packets sent: 2276
Heartbeat packets received: 2280
Heartbeat packets errors: 0
Fabric link statistics:
Child link 0
Probes sent: 2272
Probes received: 597
Services Synchronized:
Service name RTOs sent RTOs received
Translation context 0 0
Incoming NAT 0 0
Resource manager 6 0
Session create 161 0
Session close 148 0
Session change 0 0
Gate create 0 0
Session ageout refresh requests 0 0
Session ageout refresh replies 0 0
IPSec VPN 0 0
Firewall user authentication 0 0
MGCP ALG 0 0
H323 ALG 0 0
SIP ALG 0 0
SCCP ALG 0 0
PPTP ALG 0 0
RPC ALG 0 0
RTSP ALG 0 0
RAS ALG 0 0
MAC address learning 0 0
GPRS GTP 0 0
验证机箱群集控制平面统计信息
目的
验证有关机箱群集控制平面统计信息（发送和接收的检测信号）和结构链路统计信息（发送和接收的探测）的信息。
行动
在操作模式下，输入 show chassis cluster control-plane statistics 命令。
{primary:node0}
user@host> show chassis cluster control-plane statistics
Control link statistics:
Control link 0:
Heartbeat packets sent: 258689
Heartbeat packets received: 258684
Heartbeat packets errors: 0
Fabric link statistics:
Child link 0
Probes sent: 258681
Probes received: 258681
验证机箱群集数据平面统计信息
目的
验证有关为服务发送和接收的 RTO 数量的信息。
行动
在操作模式下，输入 show chassis cluster data-plane statistics 命令。
{primary:node0}
user@host> show chassis cluster data-plane statistics
Services Synchronized:
Service name RTOs sent RTOs received
Translation context 0 0
Incoming NAT 0 0
Resource manager 6 0
Session create 161 0
Session close 148 0
Session change 0 0
Gate create 0 0
Session ageout refresh requests 0 0
Session ageout refresh replies 0 0
IPSec VPN 0 0
Firewall user authentication 0 0
MGCP ALG 0 0
H323 ALG 0 0
SIP ALG 0 0
SCCP ALG 0 0
PPTP ALG 0 0
RPC ALG 0 0
RTSP ALG 0 0
RAS ALG 0 0
MAC address learning 0 0
GPRS GTP 0 0
验证机箱群集冗余组状态
目的
验证群集中两个节点的状态和优先级，以及有关主节点是否已被抢占或是否存在手动故障转移的信息。
行动
在操作模式下，输入 chassis cluster status redundancy-group 命令。
{primary:node0}
user@host> show chassis cluster status redundancy-group 1
Cluster ID: 1
Node Priority Status Preempt Manual failover
Redundancy-Group: 1, Failover count: 1
node0 100 primary no no
node1 1 secondary no no
示例：配置主动/被动机箱群集对 （J-Web）
启用群集。请参阅 示例：配置主动/被动机箱群集对 （CLI） 中的步骤 1。
配置管理接口。请参阅 示例：配置主动/被动机箱群集对 （CLI） 中的步骤 2。
配置结构接口。请参阅 示例：配置主动/被动机箱群集对 （CLI） 中的步骤 3。
配置冗余组。
选择
Configure>Chassis Cluster。输入以下信息，然后单击
Apply：冗余以太网接口计数：
2心跳间隔：
1000检测信号阈值：
3节点：
0组号：
0优先 级：
100
输入以下信息，然后单击
Apply：节点：
0组号：
1优先 级：
1
输入以下信息，然后单击
Apply：节点：
1组号：
0优先 级：
100
配置冗余以太网接口。
选择
Configure>Chassis Cluster。选择
ge-0/0/4。在“冗余父项”框中输入
reth1。单击
Apply。选择
ge-7/0/4。在“冗余父项”框中输入
reth1。单击
Apply。选择
ge-0/0/5。在“冗余父项”框中输入
reth0。单击
Apply。选择
ge-7/0/5。在“冗余父项”框中输入
reth0。单击
Apply。有关最后四个配置设置，请参阅 示例：配置主动/被动机箱群集对 （CLI） 中的步骤 5。
配置安全区域。请参阅 示例：配置主动/被动机箱群集对 （CLI） 中的步骤 6。
配置安全策略。请参阅 示例：配置主动/被动机箱群集对 （CLI） 中的步骤 7。
单击
OK以检查配置并将其另存为候选配置，然后单击>Commit OptionsCommit。
参见
了解使用 IPsec 隧道的主动/被动机箱群集部署
在这种情况下，群集中的单个设备在 IPsec 隧道中终止并用于处理所有流量，而另一台设备仅在发生故障时使用（请参阅 图 4）。发生故障时，备份设备将成为主设备并控制所有转发。
主动/被动 机箱群集 可以通过使用全部分配给同一冗余组的冗余以太网接口 （reth） 来实现。如果节点中活动组中的任何接口发生故障，则该组将被声明为非活动状态，并且组中的所有接口都将故障转移到另一个节点。
此配置为站点到站点 IPsec 隧道提供了一种在主动/被动群集中终止的方法，其中冗余以太网接口用作隧道端点。发生故障时，备份 SRX 系列防火墙中的冗余以太网接口将变为活动状态，从而强制隧道更改端点以在新的活动 SRX 系列防火墙中终止。由于隧道密钥和会话信息在机箱群集成员之间同步，因此故障切换不需要重新协商隧道，并且会维护所有已建立的会话。
如果 RG0（路由引擎）发生故障，需要在新的主节点上重新建立路由协议。如果配置了 VPN 监控或失效对等体检测，并且其计时器在路由重新收敛到新的 RG0 主节点之前过期，则 VPN 隧道将被关闭并重新协商。
动态隧道无法在不同的 SPC 之间进行负载平衡。
参见
示例：使用 IPsec 隧道配置主动/被动机箱群集对
此示例说明如何使用 IPsec 隧道为 SRX 系列防火墙配置主动/被动机箱群集。
要求
准备工作：
获取两种具有相同硬件配置的 SRX5000 型号、一台SRX1500或SRX1600设备以及四台 EX 系列以太网交换机。
物理连接两台设备（交换矩阵和控制端口背靠背），并确保它们的型号相同。您可以在SRX5000线上配置结构和控制端口。
将两台设备设置为群集模式并重新启动设备。例如，您必须在两台设备上输入以下操作模式命令：
在节点 0 上：
user@host> set chassis cluster cluster-id 1 node 0 reboot
在节点 1 上：
user@host> set chassis cluster cluster-id 1 node 1 reboot
两台设备上的群集 ID 相同，但节点 ID 必须不同，因为一台设备是节点 0，另一台设备是节点 1。群集 ID 的范围为 1 到 255。将集群 ID 设置为 0 等效于禁用集群。
仅当结构和控制链路接口背对背连接时，才能设置大于 15 的群集 ID。
获取两种具有相同硬件配置的 SRX5000 型号、一台SRX1500边缘路由器和四台 EX 系列以太网交换机。
物理连接两台设备（交换矩阵和控制端口背靠背），并确保它们的型号相同。您可以在SRX5000线上配置结构和控制端口。
从此时开始，群集的配置将在节点成员之间同步，两个独立的设备作为一个设备运行。成员特定的配置（例如每个成员的管理端口的 IP 地址）使用配置组输入。
概述
在此示例中，群集中的单个设备在 IPsec 隧道中终止并用于处理所有流量，而另一台设备仅在发生故障时使用。（请参阅 图 5。发生故障时，备份设备将成为主设备并控制所有转发。
在此示例中，您将配置组（使用命令应用 apply-groups 配置）和机箱群集信息。然后配置 IKE、IPsec、静态路由、安全区域和安全策略参数。请参阅 表 5 至 表 11。
特征 |
名字 |
配置参数 |
|---|---|---|
组 |
节点0 |
|
|
节点 1 |
|
特征 |
名字 |
配置参数 |
|---|---|---|
结构链路 |
晶圆厂0 |
接口：xe-5/3/0 |
|
晶圆厂1 |
接口： xe-17/3/0 |
冗余以太网接口数量 |
– |
2 |
检测信号间隔 |
– |
1000 |
检测信号阈值 |
– |
3 |
冗余组 |
0 |
|
|
1 |
|
|
|
接口监控
|
接口 |
XE-5/1/0 |
冗余父级：reth1 |
|
XE-5/1/0 |
冗余父级：reth1 |
|
xe-5/0/0 |
冗余父级：reth0 |
|
XE-17/0/0 |
冗余父级：reth0 |
|
reth0 |
冗余组：1 |
|
|
|
|
RETH1 |
冗余组：1 |
|
|
|
|
st0 |
|
|
|
|
特征 |
名字 |
配置参数 |
|---|---|---|
建议 |
提案设定标准 |
- |
政策 |
预共享 |
|
网关 |
SRX1500-1 |
注意：
在 SRX 机箱群集中，IKE 外部接口配置仅支持 reth 和 lo0 接口。可以配置其他接口类型，但 IPsec VPN 可能无法正常工作。如果将 lo0 逻辑接口用作 IKE 网关外部接口，则无法使用 RG0 对其进行配置。 |
特征 |
名字 |
配置参数 |
|---|---|---|
建议 |
提案设定标准 |
– |
政策 |
性病 |
– |
VPN |
SRX1500-1 |
注意：
手动 VPN 名称和站点到站点网关名称不能相同。 |
从 st0.16000 到 st0.16385 的安全隧道接口 （st0） 保留用于机箱群集中的多节点高可用性和 HA 控制链路加密。这些接口不是用户可配置的接口。只能使用 st0.0 到 st0.15999 之间的接口。
名字 |
配置参数 |
|---|---|
0.0.0.0/0 |
下一跃点：10.2.1.1 |
10.3.0.0/16 |
下一跃点：10.10.1.2 |
名字 |
配置参数 |
|---|---|
信任 |
|
不信任 |
|
VPN |
|
目的 |
名字 |
配置参数 |
|---|---|---|
此安全策略允许从信任区域到不信任区域的流量。 |
任何 |
|
此安全策略允许从信任区域到 VPN 区域的流量。 |
vpn-any |
|
配置
程序
CLI 快速配置
要快速配置此示例，请复制以下命令，将其粘贴到文本文件中，删除所有换行符，更改与您的网络配置匹配所需的任何详细信息，将命令复制并粘贴到层次结构级别的 CLI [edit] 中，然后从配置模式进入 commit 。
{primary:node0}[edit]
set chassis cluster control-ports fpc 2 port 0
set chassis cluster control-ports fpc 14 port 0
set groups node0 system host-name SRX5800-1
set groups node0 interfaces fxp0 unit 0 family inet address 172.19.100.50/24
set groups node1 system host-name SRX5800-2
set groups node1 interfaces fxp0 unit 0 family inet address 172.19.100.51/24
set apply-groups “${node}”
set interfaces fab0 fabric-options member-interfaces xe-5/3/0
set interfaces fab1 fabric-options member-interfaces xe-17/3/0
set chassis cluster reth-count 2
set chassis cluster heartbeat-interval 1000
set chassis cluster heartbeat-threshold 3
set chassis cluster node 0
set chassis cluster node 1
set chassis cluster redundancy-group 0 node 0 priority 254
set chassis cluster redundancy-group 0 node 1 priority 1
set chassis cluster redundancy-group 1 node 0 priority 254
set chassis cluster redundancy-group 1 node 1 priority 1
set chassis cluster redundancy-group 1 preempt
set chassis cluster redundancy-group 1 interface-monitor xe-5/0/0 weight 255
set chassis cluster redundancy-group 1 interface-monitor xe-5/1/0 weight 255
set chassis cluster redundancy-group 1 interface-monitor xe-17/0/0 weight 255
set chassis cluster redundancy-group 1 interface-monitor xe-17/1/0 weight 255
set interfaces xe-5/1/0 gigether-options redundant-parent reth1
set interfaces xe-17/1/0 gigether-options redundant-parent reth1
set interfaces xe-5/0/0 gigether-options redundant-parent reth0
set interfaces xe-17/0/0 gigether-options redundant-parent reth0
set interfaces reth0 redundant-ether-options redundancy-group 1
set interfaces reth0 unit 0 family inet address 10.1.1.60/16
set interfaces reth1 redundant-ether-options redundancy-group 1
set interfaces reth1 unit 0 family inet address 10.2.1.60/16
set interfaces st0 unit 0 multipoint family inet address 10.10.1.1/30
set security ike policy preShared mode main
set security ike policy preShared proposal-set standard
set security ike policy preShared pre-shared-key ascii-text "$ABC123"## Encrypted password
set security ike gateway SRX1500-1 ike-policy preShared
set security ike gateway SRX1500-1 address 10.1.1.90
set security ike gateway SRX1500-1 external-interface reth0.0
set security ipsec policy std proposal-set standard
set security ipsec vpn SRX1500-1 bind-interface st0.0
set security ipsec vpn SRX1500-1 vpn-monitor optimized
set security ipsec vpn SRX1500-1 ike gateway SRX1500-1
set security ipsec vpn SRX1500-1 ike ipsec-policy std
set security ipsec vpn SRX1500-1 establish-tunnels immediately
set routing-options static route 0.0.0.0/0 next-hop 10.2.1.1
set routing-options static route 10.3.0.0/16 next-hop 10.10.1.2
set security zones security-zone untrust host-inbound-traffic system-services all
set security zones security-zone untrust host-inbound-traffic protocols all
set security zones security-zone untrust interfaces reth1.0
set security zones security-zone trust host-inbound-traffic system-services all
set security zones security-zone trust host-inbound-traffic protocols all
set security zones security-zone trust interfaces reth0.0
set security zones security-zone vpn host-inbound-traffic system-services all 144
set security zones security-zone vpn host-inbound-traffic protocols all
set security zones security-zone vpn interfaces st0.0
set security policies from-zone trust to-zone untrust policy ANY match source-address any
set security policies from-zone trust to-zone untrust policy ANY match destination-address any
set security policies from-zone trust to-zone untrust policy ANY match application any
set security policies from-zone trust to-zone vpn policy vpn-any then permit
分步过程
要使用 IPsec 隧道配置主动/被动机箱群集对：
配置控制端口。
{primary:node0}[edit] user@host# set chassis cluster control-ports fpc 2 port 0 user@host# set chassis cluster control-ports fpc 14 port 0配置管理接口。
{primary:node0}[edit] user@host# set groups node0 system host-name SRX5800-1 user@host# set groups node0 interfaces fxp0 unit 0 family inet address 172.19.100.50/24 user@host#set groups node1 system host-name SRX5800-2 user@host# set groups node1 interfaces fxp0 unit 0 family inet address 172.19.100.51/24 user@host# set apply-groups “${node}”配置结构接口。
{primary:node0}[edit] user@host# set interfaces fab0 fabric-options member-interfaces xe-5/3/0 user@host# set interfaces fab1 fabric-options member-interfaces xe-17/3/0配置冗余组。
{primary:node0}[edit] user@host# set chassis cluster reth-count 2 user@host# set chassis cluster heartbeat-interval 1000 user@host# set chassis cluster heartbeat-threshold 3 user@host# set chassis cluster node 0 user@host# set chassis cluster node 1 user@host# set chassis cluster redundancy-group 0 node 0 priority 254 user@host# set chassis cluster redundancy-group 0 node 1 priority 1 user@host# set chassis cluster redundancy-group 1 node 0 priority 254 user@host# set chassis cluster redundancy-group 1 node 1 priority 1 user@host# set chassis cluster redundancy-group 1 preempt user@host# set chassis cluster redundancy-group 1 interface-monitor xe-5/0/0 weight 255 user@host# set chassis cluster redundancy-group 1 interface-monitor xe-5/1/0 weight 255 user@host# set chassis cluster redundancy-group 1 interface-monitor xe-17/0/0 weight 255 user@host# set chassis cluster redundancy-group 1 interface-monitor xe-17/1/0 weight 255配置冗余以太网接口。
{primary:node0}[edit] user@host# set interfaces xe-5/1/0 gigether-options redundant-parent reth1 user@host# set interfaces xe-17/1/0 gigether-options redundant-parent reth1 user@host# set interfaces xe-5/0/0 gigether-options redundant-parent reth0 user@host# set interfaces xe-17/0/0 gigether-options redundant-parent reth0 user@host# set interfaces reth0 redundant-ether-options redundancy-group 1 user@host# set interfaces reth0 unit 0 family inet address 10.1.1.60/16 user@host# set interfaces reth1 redundant-ether-options redundancy-group 1 user@host# set interfaces reth1 unit 0 family inet address 10.2.1.60/16配置 IPsec 参数。
{primary:node0}[edit] user@host# set interfaces st0 unit 0 multipoint family inet address 10.10.1.1/30 user@host# set security ike policy preShared mode main user@host# set security ike policy preShared proposal-set standard user@host# set security ike policy preShared pre-shared-key ascii-text "$ABC123"## Encrypted password user@host# set security ike gateway SRX1500-1 ike-policy preShared user@host# set security ike gateway SRX1500-1 address 10.1.1.90 user@host# set security ike gateway SRX1500-1 external-interface reth0.0 user@host# set security ipsec policy std proposal-set standard user@host# set security ipsec vpn SRX1500-1 bind-interface st0.0 user@host# set security ipsec vpn SRX1500-1 vpn-monitor optimized user@host# set security ipsec vpn SRX1500-1 ike gateway SRX1500-1 user@host# set security ipsec vpn SRX1500-1 ike ipsec-policy std user@host# set security ipsec vpn SRX1500-1 establish-tunnels immediately配置静态路由。
{primary:node0}[edit] user@host# set routing-options static route 0.0.0.0/0 next-hop 10.2.1.1 user@host# set routing-options static route 10.3.0.0/16 next-hop 10.10.1.2配置安全区域。
{primary:node0}[edit] user@host# set security zones security-zone untrust host-inbound-traffic system-services all user@host# set security zones security-zone untrust host-inbound-traffic protocols all user@host# set security zones security-zone untrust interfaces reth1.0 user@host# set security zones security-zone trust host-inbound-traffic system-services all user@host# set security zones security-zone trust host-inbound-traffic protocols all user@host# set security zones security-zone trust interfaces reth0.0 user@host# set security zones security-zone vpn host-inbound-traffic system-services all user@host# set security zones security-zone vpn host-inbound-traffic protocols all user@host# set security zones security-zone vpn interfaces st0.0配置安全策略。
{primary:node0}[edit] user@host# set security policies from-zone trust to-zone untrust policy ANY match source-address any user@host# set security policies from-zone trust to-zone untrust policy ANY match destination-address any user@host# set security policies from-zone trust to-zone untrust policy ANY match application any user@host# set security policies from-zone trust to-zone vpn policy vpn-any then permit
结果
在操作模式下，输入 show configuration 命令确认您的配置。如果输出未显示预期的配置，请重复此示例中的配置说明以进行更正。
为简洁起见，此 show 命令输出仅包含与此示例相关的配置。系统上的任何其他配置都已替换为省略号 （...）。
user@host> show configuration
version x.xx.x;
groups {
node0 {
system {
host-name SRX58001;
}
interfaces {
fxp0 {
unit 0 {
family inet {
address 172.19.100.50/24;
}
}
}
}
}
node1 {
system {
host-name SRX58002;
}
interfaces {
fxp0 {
unit 0 {
family inet {
address 172.19.100.51/24;
}
}
}
}
}
}
apply-groups "${node}";
system {
root-authentication {
encrypted-password "$ABC123";
}
}
chassis {
cluster {
reth-count 2;
heartbeat-interval 1000;
heartbeat-threshold 3;
control-ports {
fpc 2 port 0;
fpc 14 port 0;
}
redundancy-group 0 {
node 0 priority 254;
node 1 priority 1;
}
redundancy-group 1 {
node 0 priority 254;
node 1 priority 1;
preempt;
interface-monitor {
xe–6/0/0 weight 255;
xe–6/1/0 weight 255;
xe–18/0/0 weight 255;
xe–18/1/0 weight 255;
}
}
}
}
interfaces {
xe–5/0/0 {
gigether–options {
redundant–parent reth0;
}
}
xe–5/1/0 {
gigether–options {
redundant–parent reth1;
}
}
xe–17/0/0 {
gigether–options {
redundant–parent reth0;
}
}
xe–17/1/0 {
gigether–options {
redundant–parent reth1;
}
}
fab0 {
fabric–options {
member–interfaces {
xe–5/3/0;
}
}
}
fab1 {
fabric–options {
member–interfaces {
xe–17/3/0;
}
}
}
reth0 {
redundant–ether–options {
redundancy–group 1;
}
unit 0 {
family inet {
address 10.1.1.60/16;
}
}
}
reth1 {
redundant–ether–options {
redundancy–group 1;
}
unit 0 {
family inet {
address 10.2.1.60/16;
}
}
}
st0 {
unit 0 {
multipoint;
family inet {
address 5.4.3.2/32;
}
}
}
}
routing–options {
static {
route 0.0.0.0/0 {
next–hop 10.2.1.1;
}
route 10.3.0.0/16 {
next–hop 10.10.1.2;
}
}
}
security {
zones {
security–zone trust {
host–inbound–traffic {
system–services {
all;
}
}
interfaces {
reth0.0;
}
}
security–zone untrust
host-inbound-traffic {
system-services {
all;
}
}
protocols {
all;
}
interfaces {
reth1.0;
}
}
security-zone vpn {
host-inbound-traffic {
system-services {
all;
}
}
protocols {
all;
}
interfaces {
st0.0;
}
}
}
policies {
from–zone trust to–zone untrust {
policy ANY {
match {
source–address any;
destination–address any;
application any;
}
then {
permit;
}
}
}
from–zone trust to–zone vpn {
policy vpn {
match {
source–address any;
destination–address any;
application any;
}
then {
permit;
}
}
}
}
}
如果完成设备配置，请从配置模式输入 commit 。
验证
确认配置工作正常。
验证机箱群集状态
目的
验证机箱群集状态、故障切换状态和冗余组信息。
行动
在操作模式下，输入 show chassis cluster status 命令。
{primary:node0}
show chassis cluster status
Cluster ID: 1
Node Priority Status Preempt Manual failover
Redundancy group: 0 , Failover count: 1
node0 1 primary no no
node1 254 secondary no no
Redundancy group: 1 , Failover count: 1
node0 1 primary yes no
node1 254 secondary yes no
验证机箱群集接口
目的
验证机箱群集接口。
行动
在操作模式下，输入 show chassis cluster interfaces 命令。
{primary:node0}
user@host> show chassis cluster interfaces
Control link name: fxp1
Redundant-ethernet Information:
Name Status Redundancy-group
reth0 Up 1
reth1 Up 1
Interface Monitoring:
Interface Weight Status Redundancy-group
xe-5/0/0 255 Up 1
xe-5/1/0 255 Up 1
xe-17/0/0 255 Up 1
xe-17/1/0 255 Up 1
验证机箱群集统计信息
目的
验证有关机箱群集服务和控制链路统计信息（发送和接收的心跳）、结构链路统计信息（发送和接收的探测）以及为服务发送和接收的 RTO 数量的信息。
行动
在操作模式下，输入 show chassis cluster statistics 命令。
{primary:node0}
user@host> show chassis cluster statistics
Control link statistics:
Control link 0:
Heartbeat packets sent: 258689
Heartbeat packets received: 258684
Heartbeat packets errors: 0
Fabric link statistics:
Child link 0
Probes sent: 258681
Probes received: 258681
Services Synchronized:
Service name RTOs sent RTOs received
Translation context 0 0
Incoming NAT 0 0
Resource manager 6 0
Session create 161 0
Session close 148 0
Session change 0 0
Gate create 0 0
Session ageout refresh requests 0 0
Session ageout refresh replies 0 0
IPSec VPN 0 0
Firewall user authentication 0 0
MGCP ALG 0 0
H323 ALG 0 0
SIP ALG 0 0
SCCP ALG 0 0
PPTP ALG 0 0
RPC ALG 0 0
RTSP ALG 0 0
RAS ALG 0 0
MAC address learning 0 0
GPRS GTP 0 0
验证机箱群集控制平面统计信息
目的
验证有关机箱群集控制平面统计信息（发送和接收的检测信号）和结构链路统计信息（发送和接收的探测）的信息。
行动
在操作模式下，输入 show chassis cluster control-panel statistics 命令。
{primary:node0}
user@host> show chassis cluster control-plane statistics
Control link statistics:
Control link 0:
Heartbeat packets sent: 258689
Heartbeat packets received: 258684
Heartbeat packets errors: 0
Fabric link statistics:
Child link 0
Probes sent: 258681
Probes received: 258681
验证机箱群集数据平面统计信息
目的
验证有关为服务发送和接收的 RTO 数量的信息。
行动
在操作模式下，输入 show chassis cluster data-plane statistics 命令。
{primary:node0}
user@host> show chassis cluster data-plane statistics
Services Synchronized:
Service name RTOs sent RTOs received
Translation context 0 0
Incoming NAT 0 0
Resource manager 6 0
Session create 161 0
Session close 148 0
Session change 0 0
Gate create 0 0
Session ageout refresh requests 0 0
Session ageout refresh replies 0 0
IPSec VPN 0 0
Firewall user authentication 0 0
MGCP ALG 0 0
H323 ALG 0 0
SIP ALG 0 0
SCCP ALG 0 0
PPTP ALG 0 0
RPC ALG 0 0
RTSP ALG 0 0
RAS ALG 0 0
MAC address learning 0 0
GPRS GTP 0 0
验证机箱群集冗余组状态
目的
验证群集中两个节点的状态和优先级，以及有关主节点是否已被抢占或是否存在手动故障转移的信息。
行动
在操作模式下，输入 chassis cluster status redundancy-group 命令。
{primary:node0}
user@host> show chassis cluster status redundancy-group 1
Cluster ID: 1
Node Priority Status Preempt Manual failover
Redundancy-Group: 1, Failover count: 1
node0 0 primary yes no
node1 254 secondary yes no
示例：使用 IPsec 隧道 （J-Web） 配置主动/被动机箱群集对
启用群集。请参阅 示例：使用 IPsec 隧道配置主动/被动机箱群集对中的步骤 1。
配置管理接口。请参阅 示例：使用 IPsec 隧道配置主动/被动机箱群集对中的步骤 2。
配置结构接口。请参阅 示例：使用 IPsec 隧道配置主动/被动机箱群集对中的步骤 3。
配置冗余组。
选择
Configure>System Properties>Chassis Cluster。输入以下信息，然后单击
Apply：冗余以太网接口计数：
2心跳间隔：
1000检测信号阈值：
3节点：
0组号：
0优先 级：
254
输入以下信息，然后单击
Apply：节点：
0组号：
1优先 级：
254
输入以下信息，然后单击
Apply：节点：
1组号：
0优先 级：
1
输入以下信息，然后单击
Apply：节点：
1组号：
1优先 级：
1抢占：选中该复选框。
接口监视器 — 接口：
xe-5/0/0接口监视器 — 重量：
255接口监视器 — 接口：
xe-5/1/0接口监视器 — 重量：
255接口监视器 — 接口：
xe-17/0/0接口监视器 — 重量：
255接口监视器 — 接口：
xe-17/1/0接口监视器 — 重量：
255
配置冗余以太网接口。
选择
Configure>System Properties>Chassis Cluster。选择
xe-5/1/0。在“冗余父项”框中输入
reth1。单击
Apply。选择
xe-17/1/0。在“冗余父项”框中输入
reth1。单击
Apply。选择
xe-5/0/0。在“冗余父项”框中输入
reth0。单击
Apply。选择
xe-17/0/0。在“冗余父项”框中输入
reth0。单击
Apply。请参阅 示例：使用 IPsec 隧道配置主动/被动机箱群集对中的步骤 5。
配置 IPsec 配置。请参阅 示例：使用 IPsec 隧道配置主动/被动机箱群集对中的步骤 6。
配置静态路由 。
选择
Configure>Routing>Static Routing。单击
Add。输入以下信息，然后单击
Apply：静态路由地址：
0.0.0.0/0下一跃点地址：
10.2.1.1
输入以下信息，然后单击
Apply：静态路由地址：
10.3.0.0/16下一跃点地址：
10.10.1.2
配置安全区域。请参阅 示例：使用 IPsec 隧道配置主动/被动机箱群集对中的步骤 8。
配置安全策略。请参阅 示例：使用 IPsec 隧道配置主动/被动机箱群集对中的步骤 9。
单击
OK以检查配置并将其另存为候选配置，然后单击>Commit OptionsCommit。