シャーシ クラスタ コントロール プレーン インターフェイス
コントロールプレーンインターフェイスを使用して、シャーシクラスター内のSRXシリーズファイアウォール上のルーティングエンジン間でカーネルの状態を同期させることができます。コントロール プレーン インターフェイスは、クラスタ内の 2 つのノード間のリンクを提供します。
コントロールプレーンはこのリンクを使用して、次のことを行います。
-
ノード検出を通信します。
-
クラスターのセッション状態を維持します。
-
構成ファイルにアクセスします。
-
ノード全体のライブ性シグナルを検出します。
シャーシ クラスタ コントロール プレーンとコントロール リンク
アクティブモードまたはバックアップモードで動作するコントロールプレーンソフトウェアは、クラスタのプライマリノードでアクティブなJunos OSの不可欠な部分です。状態、設定、その他の情報をセカンダリノード上の非アクティブなルーティングエンジンに伝達することで、冗長性を実現しています。プライマリ ルーティング エンジンに障害が発生した場合、セカンダリ ルーティング エンジンが制御を引き継ぐ準備ができています。
コントロールプレーンソフトウェア:
-
ルーティング エンジン上で実行します。
-
は、両ノードのインターフェイスを含む 、シャーシ クラスタ システム全体を監視します。
-
各ノードの PFE(パケット転送エンジン)を含む、システムとデータプレーンのリソースを管理します。
-
制御リンク上で設定を同期します。
-
認証、許可、およびアカウンティング(AAA)機能を含む、セッションを確立して維持します。
-
アプリケーション固有のシグナリング プロトコルを管理します。
-
Telnet接続などの管理セッションを確立して維持します。
-
非対称ルーティングを処理します。
-
ルーティング状態、ARP(アドレス解決プロトコル)処理、およびDHCP(動的ホスト構成プロトコル)処理を管理します。
コントロール プレーン ソフトウェアからの情報は、2 つのパスをたどります。
-
プライマリノード(ルーティングエンジンがアクティブなノード)では、制御情報がルーティングエンジンからローカルパケット転送エンジンに流れます。
-
制御情報は、制御リンクを介してセカンダリ ノードのルーティング エンジンとパケット転送エンジンに流れます。
プライマリ ルーティング エンジンで実行されているコントロール プレーン ソフトウェアは、クラスタ全体の状態を維持します。コントロール プレーン ソフトウェアと同じノードで実行されているプロセスのみが、状態情報を更新できます。プライマリ ルーティング エンジンは、セカンダリ ノードの状態を同期し、すべてのホスト トラフィックも処理します。
シャーシ クラスタ制御リンク
制御インターフェイスは、クラスタ内の2つのノード間の制御リンクを提供し、ルーティングの更新や、ノードのフェイルオーバーをトリガーするハートビートやしきい値情報などのコントロールプレーン信号トラフィックに使用されます。また、制御リンクは、ノード間の設定を同期します。クラスタに設定ステートメントを送信すると、制御リンクによって設定が自動的に同期されます。
制御リンクは、独自のプロトコルに依存して、ノード間でセッション状態、構成、および活性状態を送信します。
Junos OS リリース 19.3R1 以降、SRX5K-RE3-128G デバイスは、SRX5000 回線デバイスで SRX5K-SPC3 デバイスとともにサポートされます。制御インターフェイス ixlv0 および igb0 は、SRX5K-RE3-128G デバイスの設定に使用されます。制御リンクは、コントロール プレーン、データ プレーン、ハートビート メッセージ間の通信を制御します。
シャーシ クラスタ内の単一の制御リンク
シャーシ クラスタ内の単一の制御リンクの場合、制御リンクの接続と両方のノードの設定に同じ制御ポートを使用する必要があります。
例えば、ポート0をノード0の制御ポートとして設定する場合、ポート0をノード1の制御ポートとして設定する必要があります。ポートをケーブルで接続する必要があります。
シャーシ クラスタ内のデュアル コントロール リンク
シャーシ クラスタ内のデュアル コントロール リンクを直接接続する必要があります。相互接続、つまり、一方のノードのポート0を他方のノードのポート1に、またはその逆に接続する場合は機能しません。
デュアル コントロール リンクの場合は、次の接続を行う必要があります。
-
ノード 0 の制御ポート 0 をノード 1 の制御ポート 0 に接続します。
-
ノード 0 の制御ポート 1 をノード 1 の制御ポート 1 に接続します。
シャーシ クラスタ制御リンクでの暗号化
シャーシ クラスタ制御リンクは、設定およびアクティブ化できるオプションの暗号化セキュリティ機能をサポートしています。
ジュニパーネットワークスのセキュリティドキュメントでは、高可用性(HA)制御リンクについて言及する際にシャーシクラスタを使用しています。コマンドでは、シャーシ クラスタの代わりに省略形 ha が引き続き使用されます。
制御リンクアクセスは、ハッカーが制御リンクを介した認証なしにシステムにログインし、Telnetアクセスを無効にすることを防ぎます。デバイス間の内部通信に内部IPsecキーを使用することで、プライマリ ノードからセカンダリ ノードへのシャーシ クラスタ リンクを通過する設定情報が暗号化されます。IPsec キーがないと、攻撃者は特権アクセスを取得したり、トラフィックを監視したりできません。
この機能を有効にするには、 set security ipsec internal security-association manual encryption ike-ha-link-encryption enable 設定コマンドを実行します。
この設定を有効にするには、両方のノードを再起動する必要があります。
IPsec を使用したシャーシ クラスタ制御リンクでの暗号化は、SRX4600 回線デバイス、SRX5000 回線デバイス、vSRX 仮想ファイアウォール プラットフォームでサポートされています。
シャーシ クラスタがすでに設定された IPsec キーで実行されている場合は、デバイスを再起動せずにキーに変更を加えることができます。この場合、キーは 1 つのノードでのみ変更する必要があります。
IPsec 鍵暗号化が構成されている場合、内部セキュリティー・アソシエーション (SA) 階層の構成変更については、両方のノードをリブートする必要があります。設定されたインターネットキー交換(IKE)シャーシクラスタリンク暗号化アルゴリズムを確認するには、 show security internal-security-associationの出力を表示します。
| SRXシリーズファイアウォール | の説明 |
|---|---|
| SRX5400、SRX5600、およびSRX5800 |
デフォルトでは、すべての制御ポートは無効になっています。デバイス内の各サービス処理カード(SPC)には2つの制御ポートがあり、各デバイスには複数のSPCを接続できます。 シャーシ クラスタで制御リンクを設定するには、各デバイス( |
| SRX4600 |
専用のシャーシ クラスタ制御ポートとファブリック ポートを使用できます。 SRX4600デバイスに制御リンクの設定は必要ありません。ただし、シャーシ クラスタの導入では、ファブリック リンクを明示的に設定する必要があります。制御ポートに1ギガビットイーサネットインターフェイスを設定する場合、動作CLIコマンドステートメント |
| SRX4100とSRX4200 |
専用のシャーシ クラスタ制御ポートを使用できます。制御リンクの設定は必要ありません。専用制御リンクポートとファブリックリンクポートを含む、すべてのSRX4100ポートとSRX4200ポートの詳細については、 SRXシリーズシャーシクラスタスロットの番号付けと物理ポートおよび論理インターフェイスの名前付けについてを参照してください。 デバイスがクラスタ モードでない場合、専用シャーシ クラスタ ポートは収益ポートまたはトラフィック ポートとして使用できません。 |
| SRX2300とSRX4300 |
デバイスは、MACsecをサポートするデュアル専用制御ポートを使用します。 |
| SRX1600 |
デバイスは、MACsecをサポートするデュアル専用制御ポートを使用します。 |
| SRX1500 |
デバイスは専用の制御ポートを使用します。 |
| SRX300、SRX320、SRX340、SRX345、SRX380。 |
制御リンクはge-0/0/1インターフェイスを使用します。 |
管理リンク、制御リンク、ファブリックリンクのポート使用率とインターフェイス使用率の詳細については、 SRXシリーズシャーシクラスタスロットの番号付けと物理ポートおよび論理インターフェイスの名前付けについてを参照してください。
例:制御リンク用のシャーシ クラスタ制御ポートの設定
この例では、SRX5400、SRX5600、および SRX5800 のデバイスでシャーシ クラスタ制御ポートを設定する方法を示します。制御リンクを設定するには、各デバイスで使用する制御ポートを設定する必要があります。
必要条件
始める前に:
シャーシ クラスタ制御リンクについて理解します。 シャーシ クラスタのコントロール プレーンとコントロール リンクについてを参照してください。
デバイスの制御ポートを物理的に接続します。 シャーシクラスターを作成するためのSRXシリーズデバイス接続を参照してください。
概要
制御リンクトラフィックは、サービス処理カード(SPC)内のスイッチを通過し、もう一方のノードに到達します。SRXシリーズファイアウォールでは、シャーシクラスターポートはシャーシクラスター内のSPCにあります。デフォルトでは、SRX5400デバイス、SRX5600デバイス、およびSRX5800デバイスのすべての制御ポートが無効になっています。制御リンクを設定するには、制御ポートを接続し、制御ポートを設定して、シャーシ クラスタを設定します。
この例では、次のフレキシブルPICコンセントレータ(FPC)とポートを制御リンクとして使用して、制御ポートを設定します。
- FPC 4、ポート0
- FPC 10、ポート0
構成
プロシージャ
CLIクイック構成
この例のセクションを迅速に設定するには、以下のコマンドをコピーして、テキスト ファイルに貼り付け、改行を削除し、ネットワーク設定に一致させる必要がある詳細情報を変更し、コマンドを [edit] 階層レベルで CLI にコピー アンド ペーストして、コンフィギュレーション モードで commit を入力します。
{primary:node0}[edit]
set chassis cluster control-ports fpc 4 port 0
set chassis cluster control-ports fpc 10 port 0
{primary:node1}[edit]
set chassis cluster control-ports fpc 4 port 0
set chassis cluster control-ports fpc 10 port 0
手順
シャーシ クラスタの制御リンクとして制御ポートを設定するには、次の手順に従います。
制御ポートを指定します。
{primary:node0}[edit]
user@host# set chassis cluster control-ports fpc 4 port 0
{primary:node0}[edit]
user@host# set chassis cluster control-ports fpc 10 port 0
{primary:node1}[edit]
user@host# set chassis cluster control-ports fpc 4 port 0
{primary:node1}[edit]
user@host# set chassis cluster control-ports fpc 10 port 0
業績
設定モードで、 show chassis cluster コマンドを入力して設定を確認します。出力結果に意図した設定内容が表示されない場合は、この例の設定手順を繰り返して設定を修正します。
簡潔にするために、この show コマンド出力には、この例に関連する設定のみ含まれています。システム上のその他の設定はすべて省略記号(...)で置き換えられています。
user@host# show chassis cluster
...
control-ports {
fpc 4 port 0;
fpc 10 port 0;
}
...
デバイスの設定後、コンフィギュレーション モードで commit を入力します。
シャーシ クラスタ ステータスの確認
目的
シャーシ クラスタのステータスを確認します。
アクション
動作モードで、 show chassis cluster status コマンドを入力します。
{primary:node0}
user@host> show chassis cluster status
Cluster ID: 1
Node Priority Status Preempt Manual failover
Redundancy group: 0 , Failover count: 1
node0 100 primary no no
node1 1 secondary no no
Redundancy group: 1 , Failover count: 1
node0 0 primary no no
node1 0 secondary no no
意味
show chassis cluster statusコマンドを使用して、シャーシ クラスタ内のデバイスが相互に通信していることを確認します。上記の出力は、1台のデバイスがプライマリノードで、もう1台のデバイスがセカンダリノードであるため、シャーシクラスタが正常に機能していることを示しています。
シャーシ クラスタ コントロール プレーン統計情報の確認
目的
シャーシ クラスタ コントロール プレーンの統計情報を表示します。
アクション
CLI で、 show chassis cluster control-plane statistics コマンドを入力します。
{primary:node1}
user@host> show chassis cluster control-plane statistics
Control link statistics:
Control link 0:
Heartbeat packets sent: 124
Heartbeat packets received: 125
Fabric link statistics:
Child link 0
Probes sent: 124
Probes received: 125
{primary:node1}
user@host> show chassis cluster control-plane statistics
Control link statistics:
Control link 0:
Heartbeat packets sent: 258698
Heartbeat packets received: 258693
Control link 1:
Heartbeat packets sent: 258698
Heartbeat packets received: 258693
Fabric link statistics:
Child link 0
Probes sent: 258690
Probes received: 258690
Child link 1
Probes sent: 258505
Probes received: 258505
関連項目
シャーシ クラスタ コントロール プレーン統計情報のクリア
表示されているシャーシ クラスタ コントロール プレーンの統計情報を消去するには、CLI で clear chassis cluster control-plane statistics コマンドを入力します。
{primary:node1}
user@host> clear chassis cluster control-plane statistics
Cleared control-plane statistics
シャーシ クラスタからスタンドアロン モードへの変更
変更履歴テーブル
機能のサポートは、使用しているプラットフォームとリリースによって決まります。 機能エクスプローラー を使用して、機能がプラットフォームでサポートされているかどうかを判断します。