双节点多节点高可用性

服务冗余组

服务冗余组 （SRG） 是多节点高可用性设置中的故障切换单元。SRG 有两种类型：

• SRG0 — 管理第 4 层至第 7 层的安全服务，IPsec VPN 服务除外。SRG0 在任何时间点在两个节点上都以活动模式运行。在 SRG0 上，每个安全会话都必须以对称流遍历节点，这些流的备份将完全状态同步到另一个节点，
• SRG1+ — 管理混合和默认网关模式的 IPsec 服务和虚拟 IP，并备份到另一个节点。SRG1 在一个节点上以活动模式运行，在另一个节点上以备份节点运行。

图 8 显示了多节点高可用性设置中的 SRG0 和 SRG1。

图 8：多节点高可用性（主动备份模式 ）中的单 SRG 支持

图 9 显示了多节点高可用性设置中的 SRG0 和 SRG1+。

图 9：多节点高可用性（主动-主动模式 ）中的多 SRG 支持

从 Junos OS 22.4R1 版开始，您可以将多节点高可用性配置为在支持多 SRG1 （SRG1+） 的主动-主动模式下运行。在此模式下，某些 SRG 在一个节点上保持活动状态，而某些 SRG 在另一个节点上保持活动状态。特定的 SRG 始终在主动备份模式下运行;它在一个节点上以活动模式运行，在另一个节点上以备份模式运行。在这种情况下，两个节点都可以拥有活动 SRG1 转发状态服务。每个节点都有一组分配给 SRG1+ 的不同浮动 IP 地址。

表 1 说明了 SRG 在多节点高可用性设置中的行为。

从 Junos OS 23.4R1 版开始，多节点高可用性设置以组合模式运行。添加或删除任何 SRG（SRG0 或 SRG1+）配置时，无需重新启动系统。

主动性、确定和实施

在多节点高可用性设置中，活动性由服务级别决定，而非节点级别。主动/备份状态处于 SRG 级别，流量将被引导至活动 SRG。SRG0 在两个节点上都保持活动状态，而 SRG1 在每个节点中可以保持活动或备份状态

如果您希望某个节点在启动时接管作为活动节点，可以执行以下作之一：

• 配置上游路由器以包含节点所在路径的首选项。
• 配置活动性优先级。
• 允许具有较高节点 ID 的节点（如果未配置上述两个选项）担任活动角色。

在多节点高可用性设置中，两个 SRX 系列防火墙最初都会将浮动 IP 地址的路由播发至上游路由器。SRX 系列防火墙播发的两条路径之间没有特定的优先级。但是，根据配置的指标，路由器可以在其中一条路径上拥有自己的首选项。

图10表示了主动性确定和主动性实施的事件序列。

图 10：主动性确定和实施

1. 启动时，设备会进入保持状态并开始连续探测。设备将浮动 IP 地址（主动性探测源 IP 地址）用作源 IP 地址，将上游路由器的 IP 地址用作主动性确定探测的目标 IP 地址。

2. 托管探测目标 IP 地址的路由器会回复其首选路由路径上可用的 SRX 系列防火墙。在以下示例中，SRX-1 从上游路由器接收响应。

   图 11：主动性确定和实施

3. SRX-1 在收到探测回复后将自身提升为活动角色。SRX-1 将其角色更改通知给其他设备并接管活动角色。

4. 确定活动性后，活动节点 （SRX-1）：

   • 托管分配给它的浮动 IP 地址。
   • 将高优先级路径播发至相邻 BGP 邻接方。
   • 继续播发所有远程和本地路由的活动（较高）优先级路径以绘制流量。
   • 通过 ICL 将活动节点状态通知其他节点。

5. 另一台设备 （SRX-2） 停止探测并接管备份角色。备份节点播发默认（较低）优先级，确保上游路由器不会将任何数据包转发到备份节点。

当节点移动到活动角色时，多节点高可用性模块会将 SRG 的活动和备用信号路由添加到路由表中。如果发生节点故障，ICL 将关闭，当前活动节点将释放其活动角色并移除活动信号路由。现在，备份节点通过其探针检测情况并转换为活动角色。路由首选项将被交换，以将所有流量驱动到新的活动节点。

路由首选项播发中的交换机是在 SRX 系列防火墙上配置的路由策略的一部分。您必须配置路由策略，以将活动信号路由与条件一起 if-route-exists 包含在内。

• 对于默认网关部署
• 对于混合部署
• 主动性优先级和抢占
• 配置主动性探针设置

弹性配置和故障切换

多节点高可用性解决方案支持服务级别的冗余。服务级别冗余最大限度地减少了跨节点同步控制平面所需的工作量。

在多节点高可用性设置确定活动性后，它将通过 ICL 协商后续的高可用性 （高可用性） 状态。备份节点使用浮动 IP 地址发送 ICMP 探测。如果 ICL 已启动，则节点将获得对其探测的响应，并继续作为备份节点。如果 ICL 关闭且没有探测响应，则备份节点将转换为活动节点。

上一个备份节点的 SRG1 现已转换为活动状态，并继续无缝运行。发生转换时，浮动 IP 地址会分配给活动 SRG1。这样，IP 地址在活动节点和备份节点之间浮动，并且所有连接的主机仍然可访问。这样，流量就可以继续发送，不会受到任何干扰。

同时需要控制平面和数据平面状态的服务（例如 IPsec VPN）将在节点之间同步。每当此服务功能的活动节点出现故障时，控制平面和数据平面都会同时故障转移到备份节点。

节点使用以下消息来同步数据：

• 路由引擎到路由引擎控制应用消息
• 与路由引擎配置相关的消息
• 数据平面 RTO 消息

机箱之间链路 （ICL） 加密

在多节点高可用性中，活动节点和备份节点使用通过路由网络连接或直接连接的机箱间链路 （ICL） 相互通信。ICL 是一个逻辑 IP 链路，它使用网络中可路由的 IP 地址建立。

节点使用 ICL 在它们之间同步控制平面和数据平面状态。ICL 通信可能通过共享或不受信任的网络进行，通过 ICL 发送的数据包可能会遍历并不总是可信的路径。因此，您必须使用 IPsec 标准对流量进行加密，从而保护遍历 ICL 的数据包。

IPsec 通过为 ICL 建立加密隧道来保护流量。应用高可用性链路加密时，高可用性流量仅在节点之间通过安全加密的隧道流动。如果没有高可用性链路加密，节点之间的通信可能不安全。

要加密 ICL 的高可用性链路，请执行以下作：

• 使用以下命令在 SRX 系列防火墙上安装 Junos IKE 软件包：

  request system software add optional://junos-ike.tgz 。

• 为 高可用性流量配置 VPN 配置文件，并将该配置文件应用于两个节点。SRX 系列防火墙之间协商的 IPsec 隧道使用 IKEv2 协议。

• 确保已在 IPsec VPN 配置中包含语句 ha-link-encryption。示例：user@host# set security ipsec vpn vpn-name ha-link-encryption。

我们建议按照以下步骤设置 ICL：

• 使用不太可能饱和的端口和网络。

• 不使用专用高可用性端口（控制和结构端口，如果 SRX 系列防火墙上可用）

• 将 ICL 绑定到环路接口 （lo0） 或聚合以太网接口 （ae0），并具有多个物理链路 （LAG/LACP），以确保路径分集，从而实现最高的弹性配置。

• 您可以使用 SRX 系列防火墙上的收入以太网端口来建立 ICL 连接。确保将收入接口中的中转流量与高可用性 （高可用性） 流量分开。

• 引入了验证检查，以限制多节点高可用性设置中隧道 MTU 对高可用性链路加密隧道的配置。验证检查可确保使用 IPv6 加密的高可用性链路的端到端 MTU 满足 2000 字节的最小要求，从而有助于在高可用性作期间保持最佳性能和可靠性。

  例如，如果您的配置包括以下节，其中 隧道-mtu 小于 2000，您将收到提交检查错误：user@host# set security ipsec vpn L3HA_IPSEC_VPN 隧道-mtu <bytes>

有关更多详细信息，请参阅 配置多节点高可用性 。

用于 ICL 的基于 PKI 链路加密

从 Junos OS 22.3R1 版开始，我们支持在多节点高可用性中对机箱间链路 （ICL） 进行基于 PKI 的链路加密。作为此支持的一部分，您现在可以在两个节点上生成和存储特定于节点的 PKI 对象，例如本地密钥对、本地证书和证书签名请求。这些对象特定于本地节点，并存储在两个节点上的特定位置。

通过节点本地对象，您可以区分用于 ICL 加密的 PKI 对象和用于在两个端点之间创建的 IPsec VPN 隧道的 PKI 对象。

您可以使用在本地节点上运行的以下命令来处理特定于节点的 PKI 对象。

在多节点高可用性中的安全设备上，如果已配置自动重新注册选项，并且 ICL 在重新注册触发时关闭，则两台设备将开始分别向 证书颁发机构服务器注册相同的证书，并下载相同的 CRL 文件。多节点高可用性重新建立 ICL 后，设置仅使用一个本地证书。您必须在备份节点上使用命令将 user@host> request security pki sync-from-peer 证书从活动节点同步到备份节点。

如果不同步证书，对等节点之间的证书不匹配问题将持续存在，直到下次重新注册。

或者，在两个节点上启用 TPM（受信任的平台模块），然后再在节点上生成任何密钥对。请参阅 使用受信任的平台模块在 SRX 系列设备上绑定机密。

基于 ICMP 的脑裂探测

考虑这样一个场景：两个 SRX 系列设备都属于多节点高可用性设置的一部分。我们将 SRX-1 视为本地节点，将 SRX-2 远程节点视为本地节点。本地节点当前处于活动状态并托管浮动 IP 地址以将流量引导至此节点。上游路由器的本地节点路径优先级更高。

当节点之间的 ICL 关闭时，两个节点都会启动主动性确定探测（ICMP 探针）。节点使用浮动 IP 地址（主动性确定 IP 地址）作为源 IP 地址，将上游路由器的 IP 地址用作探针的目标 IP 地址。

案例 1：如果活动节点已启动

图 12：活动节点处于运行状态，ICL 处于关闭状态

• 托管探测目标 IP 地址的上游路由器从两个节点接收 ICMP 探测。
• 上游路由器仅回复活动节点;因为它的配置对活动节点具有更高的优先级 路径
• 活动节点将保留活动角色。

如果活动节点已关闭：

图 13：活动节点已关闭，ICL 已关闭

• 远程节点将重新启动主动性确定探测。
• 托管探测目标 IP 地址的路由器已丢失其较高优先级路径（以前的活动节点）并回复远程节点。
• 远程节点的探测结果是成功，并且远程节点将转换为活动状态。
• 如上述案例所示，主动性确定探测和上游路由器中更高路径优先级的配置可确保一个节点始终保持活动角色，并防止发生脑裂。

基于 BFD 的裂脑探测

在 Junos OS 23.4R1 版中，我们支持基于 BFD 的脑裂探测（用于默认网关）和混合模式部署（以实现多节点高可用性）。

机箱之间链路 （ICL） 故障通常可归因于两个关键因素：网络中断或配置不一致。您可以使用活动性探测来确定可以为每个 SRG1+ 扮演活动角色的节点。根据探测结果，其中一个节点会转换为活动状态，此作可防止脑溢出情况。

借助基于 BFD 的脑裂探测，您现在可以对探针进行更精细的控制，因为您可以定义接口、最小间隔和乘数。在基于 BFD 的脑裂探测中，探测在配置 SRG 并开始运行后立即开始。在默认的基于 ICMP 的脑裂探测中，探测仅在 ICL 链路中断后才会开始。

相比之下，基于 BFD 的探测在以下方面更加主动，以确保更快地响应以防止脑裂情况：

• 探测会直接在发布 SRG 配置后启动。

• 如果 ICL BFD 和裂脑探测同时中断，则备份节点立即承担活动角色并接管 VIP。

这样可以确保更快响应，防止出现脑裂情况。

• 这个怎么运作？
• 基于 ICMP 的探测与基于 BFD 的探测的差异

show chassis 
high-availability services-redundancy-group 1 
activeness-probe
dest-ip {
    192.168.21.1; 
    src-ip 192.168.21.2;
    }

show chassis 
high-availability services-redundancy-group 1 
activeness-probe
bfd-liveliness {
    source-ip 192.168.21.1; (inet address of the local SRX sub interface) 
    destination-ip 192.168.21.2; (inet address of the peers SRX sub interface) 
    interface xe-0/0/1.0;     
}

下图显示了用于脑裂检测的基于 ICMP 的探测和基于 BFD 的探测的配置选项。

图 14：用于基于 ICMP 和基于 BFD 的探测 的主动探针配置

在混合模式和默认网关部署中，可以在以下两个级别配置主动探测间隔和阈值：

• 全局级，适用于基于ICMP的裂脑探测

• BFD-活度水平，特定于 BFD 裂脑探针。配置基于 BFD 的探测时，请勿在语句下activeness-probe配置全局minimum-interval和multiplier选项。

要为默认网关部署配置活动性探测，请使用两个节点（本地和对等节点）上的主虚拟 IP （VIP1） 地址接口来设置活动性探测。目标 IP 来自对等节点，源 IP 来自本地节点。两个 VIP 必须具有相同的索引值。IP 地址必须是分配给 SRX 系列防火墙的 LAN 接口的 inet 地址。

配置脑裂探测

• 示例配置
• 验证

图 15：用于脑裂探测 的多节点高可用性配置

让我们将 SRX-1 视为本地节点，将 SRX-2 视为远程节点。本地节点当前处于活动状态，上游路由器的本地节点优先级路径较高。

对于 activeness-probe，您必须配置以下选项：

• 源IP地址：使用本地节点SRG1的虚拟IP地址1（VIP1）。

• 目标 IP 地址：使用对等节点 SRG1 的 VIP1。

• 接口：与 VIP1 关联的接口

在此示例中，分配一个虚拟 IP （VIP） 地址 （192.168.21.1） 和一个接口 xe-0/0/1.0 以实现 BFD 活跃度。在这里，您可以通过指定源和目标 IP 地址以及接口来配置基于 BFD 的脑裂探测。

节点使用与 SRG1 的虚拟 IP 地址 （VIP1） 关联的接口的家族 inet 地址。

一旦 SRG 开始运行，两个节点都会启动主动性确定探测（基于 BFD 的探测）。

下表显示了当 ICL 关闭时，多节点高可用性设置如何通过基于 BFD 的探测解决脑裂情况。根据节点状态和探测结果，多节点高可用性系统会选择要担任活动角色的节点。

表 4 显示了当 ICL 关闭时，多节点高可用性设置如何通过基于 BFD 的探测解决脑裂情况。根据节点状态和探测结果，多节点高可用性系统会选择要担任活动角色的节点。

在此示例中，我们假设节点 1 的 SRG1 具有较高的主动优先级。

• 使用此 show chassis high-availability services-redundancy-group 1 命令查看设备上配置的裂脑探测的类型。

  （基于 BFD 的探测） （基于 ICMP 的探测）

• 使用此 show bfd session 命令查看是否基于 BFD 的探测状态。

  在本示例中，您可以注意到基于 BFD 的脑裂探测正在为接口 xe-0/0/1.0 运行。

• 使用此 show chassis high-availability services-redundancy-group 1 命令可获取基于 BFD 的探针的详细信息。

逻辑系统和租户系统支持

SRX 系列防火墙的逻辑系统允许您将单个设备划分为安全上下文和租户系统从逻辑上将物理防火墙划分为单独且隔离的逻辑防火墙。

租户系统从逻辑上将物理防火墙划分为单独且隔离的逻辑防火墙。租户系统虽然与逻辑系统类似，但具有更高的可扩展性和更少的路由功能。

多节点高可用性设置中的 SRX 系列防火墙支持服务冗余组 0 （SRG0） 上的逻辑系统和租户系统。

如果使用运行逻辑系统的 SRX 系列防火墙进行多节点高可用性设置，其行为与不运行逻辑系统的 SRX 系列节点的设置的行为相同。触发节点故障切换的事件没有区别。具体而言，如果在 SRG0 下启用了接口监控，并且与单个逻辑系统关联的链路（正在监控）发生故障，设备将会故障转移到另一个节点。此故障切换通过多节点高可用性设置中的路由首选项播发发生。

在设置逻辑系统或租户系统之前，必须配置多节点高可用性。高可用性设置中的每个节点都必须具有相同的配置。确保逻辑系统或租户系统的名称、配置文件和相应的安全功能，或逻辑系统或租户系统内的接口相同。所有逻辑或租户系统配置都会在两个节点之间同步和复制。

将 SRX 系列防火墙与多节点高可用性中的逻辑系统一起使用时，您必须为设置中的每个节点购买和安装相同数量的许可证。

有关更多信息，请参阅《 安全性设备的逻辑系统和租户系统用户指南》。