- play_arrow 概要
- play_arrow シャーシ クラスタの設定
- SRXシリーズシャーシクラスタ設定の概要
- SRXシリーズ シャーシ クラスタ スロットの番号付けと論理インターフェースの命名規則
- シャーシ クラスタを形成するための機器の準備
- シャーシ クラスタを作成するためのSRXシリーズ ファイアウォールの接続
- 例:シャーシ クラスタ内のセキュリティ デバイスのノード ID とクラスタ ID の設定
- シャーシ クラスタ管理インターフェイス
- シャーシ クラスタ ファブリック インターフェイス
- シャーシ クラスタ コントロール プレーン インターフェイス
- シャーシ クラスタ冗長グループ
- シャーシ クラスタ冗長イーサネット インターフェイス
- SRXシリーズ デバイスにおけるシャーシ クラスタリングの設定
- 例:シャーシ クラスタ内のSRXシリーズ ファイアウォール上の冗長イーサネット インターフェイスで8キューサービス クラスを有効にする
- シャーシクラスター内のSRXシリーズファイアウォール上の冗長イーサネットインターフェイス上の条件付きルートアドバタイズメント
- play_arrow シャーシ クラスタの冗長性とフェイルオーバーの設定
- play_arrow シャーシ クラスタ動作
- シャーシ クラスタ内の集合型イーサネット インターフェイス
- シャーシ クラスタでのNTP時刻同期
- アクティブ/パッシブ シャーシ クラスタ展開
- 例:SRXシリーズ サービスゲートウェイをフルメッシュシャーシクラスターとして設定
- 例:アクティブ/アクティブ レイヤ 3 クラスタ展開の設定
- シャーシ クラスタでのマルチキャスト ルーティングと非対称ルーティング
- シャーシ クラスタのイーサネット スイッチング
- シャーシ クラスタの MACsec(Media Access Control Security)
- シャーシ クラスタでのSCTP動作の理解
- 例:シャーシ クラスタ内の2つのノード間のメッセージの暗号化
- play_arrow トラブルシューティング
- SRXシャーシクラスターにおける制御リンク障害のトラブルシューティング
- SRXシャーシクラスターのファブリックリンク障害のトラブルシューティング
- SRXシャーシクラスターでフェイルオーバーしない冗長グループのトラブルシューティング
- 1つのノードがプライマリ状態で、もう1つのノードが無効状態にあるSRXシャーシ クラスタのトラブルシューティング
- 1つのノードがプライマリ状態にあり、もう1つのノードが失われた状態にあるSRXシャーシ クラスタのトラブルシューティング
- 1つのノードが保留状態、もう1つのノードが損失状態にあるSRXシャーシ クラスタのトラブルシューティング
- シャーシ クラスタ管理の問題のトラブルシューティング
- カスタマーサポートのためのデータ収集
- play_arrow 設定ステートメントと運用コマンド
- play_arrow SRX100、SRX210、SRX220、SRX240、SRX550M、SRX650、SRX1400、SRX3400、SRX3600デバイスでのシャーシ クラスタのサポート
インサービス ソフトウェア アップグレードを使用したシャーシ クラスタのアップグレード
Feature Explorerを使用して、特定の機能に対するプラットフォームとリリースのサポートを確認します。
プラットフォームに関連する注意事項については、「 プラットフォーム固有のインサービス ソフトウェア アップグレード動作」 セクションを参照してください。
ISSU(インサービスソフトウェアアップグレード)を使用すると、最小限のダウンタイムで、あるJunos OSバージョンから新しいJunos OSバージョンへのソフトウェアアップグレードが可能になります。詳細については、次のトピックを参照してください。
シャーシ クラスタのISSUについて
ISSU(インサービスソフトウェアアップグレード)により、ダウンタイムをほとんど、あるいはまったく発生させずに、あるJunos OSバージョンから新しいJunos OSバージョンへのソフトウェアアップグレードが可能です。ISSU は、デバイスがシャーシ クラスタ モードで動作している場合のみ実行されます。
シャーシ クラスタISSU機能を使用すると、クラスタ内の両方のデバイスを、トラフィックの中断を最小限に抑え、サービスを中断することなく、サポートされているJunos OSバージョンからアップグレードできます。
ISSU には次のメリットがあります。
ソフトウェアイメージアップグレード中のネットワークダウンタイムを排除
運用コストを削減しながら、より高いサービスレベルを実現
新機能の迅速な実装が可能
ISSU には次の制限があります。
ISSU は、Junos OS リリース 10.4R4 以降でのみ使用できます。
ISSU はソフトウェア ダウングレードをサポートしていません。
IPv4のみをサポートするJunos OSバージョンからIPv4とIPv6の両方をサポートするバージョンにアップグレードした場合、アップグレードプロセス中もIPv4トラフィックは引き続き機能します。IPv4とIPv6の両方をサポートするJunos OSバージョンから、IPv4とIPv6の両方をサポートするバージョンにアップグレードした場合、アップグレードプロセス中もIPv4とIPv6の両方のトラフィックが引き続き機能します。Junos OS リリース 10.2 以降のリリースでは、IPv6 トラフィックのフローベース処理がサポートされています。
ISSU中は、PICをオンラインにすることはできません。コミット、再起動、停止などの操作は実行できません。
ISSU中は、ファブリック監視、制御リンクリカバリー、RGXプリエンプトなどの操作は中断されます。
ISSU 中は、設定をコミットできません。
ISSU のサポート状況の詳細については、ナレッジベースの記事 KB17946を参照してください。
次のプロセスは、シャーシ クラスタ内のデバイスのISSU中に発生します。以下のシーケンスは、RG-0 がノード 0 (プライマリ ノード) の場合に適用されます。RG-0 プライマリから ISSU を開始する必要があることに注意してください。ノード 1(RG-0 セカンダリ)でアップグレードを開始すると、エラー メッセージが表示されます。
シャーシ クラスタ ISSU の開始時に、システムは、ISSU が開始されたノードでプライマリではないすべての RG-1+ 冗長性グループを自動的にフェールオーバーします。このアクションにより、すべての冗長性グループが RG-0 プライマリ ノードでのみアクティブになります。
すべてのRG-1+冗長グループの自動フェイルオーバーは、Junos OSリリース12.1以降から利用できます。Junos OS リリース 11.4 以前を使用している場合は、ISSU を起動する前に、RG-0 プライマリ ノードのみですべての冗長性グループがすべてアクティブであることを確認してください。
システムがすべての RG-1+ 冗長性グループをフェールオーバーした後、冗長性グループが RG-0 プライマリ ノードにフェールオーバーしたかどうかに関係なく、手動フェールオーバー ビットを設定し、すべての RG-1+ プライマリ ノードの優先度を 255 に変更します。
プライマリ ノード(ノード 0)は、デバイスの設定を検証して、新しいソフトウェア バージョンを使用してコミットできることを確認します。両方のノードで /var ファイルシステムのディスク容量の可用性、サポートされていない構成、およびサポートされていない物理インターフェイスカード(PIC)がチェックされます。
いずれかのルーティング エンジンで使用可能なディスク容量が不足している場合、ISSU プロセスは失敗し、エラー メッセージが返されます。ただし、サポートされていないPICはISSUを妨げません。ソフトウェアは、アップグレード中にこれらのPICが再起動することを示す警告を発行します。同様に、サポートされていないプロトコル設定でも ISSU は妨げられません。ただし、ソフトウェアは、アップグレード中にプロトコルのパケット損失が発生する可能性があるという警告を出します。
検証が成功すると、カーネル状態同期デーモン (ksyncd) は、2 次ノード (ノード 1) 上のカーネルをノード 0 と同期します。
ノード 1 が新しいソフトウェア イメージでアップグレードされます。アップグレードされる前に、ノード 1 はノード 0 から構成ファイルを取得し、設定を検証して、新しいソフトウェア バージョンを使用してコミットできることを確認します。アップグレード後、ノード0と再同期されます。
ノード0のシャーシ クラスタ プロセス(chassisd)は、lSSUの他のソフトウェア プロセスを準備します。すべてのプロセスの準備が整うと、chassisd はデバイスにインストールされている PIC にメッセージを送信します。
各FPC(フレキシブルPICコンセントレータ)のパケット転送エンジンは、その状態を保存し、ノード1から新しいソフトウェアイメージをダウンロードします。次に、各パケット転送エンジンは、メッセージ(統合型ISSU 対応)をシャーシ側に送信します。
パケット転送エンジンからメッセージ(unified-ISSU ready)を受信した後、chassisd はパケット転送エンジンが存在する FPC に再起動メッセージを送信します。FPCが新しいソフトウェアイメージで再起動します。FPCが再起動されると、パケット転送エンジンはFPCの状態を復元し、高速内部リンクが確立され、ノード1が新しいソフトウェアを実行します。chassisd もノード 0 で再確立されます。
すべてのパケット転送エンジンがノード0のシャーシを使用して 準備完了 メッセージを送信した後、ノードスイッチオーバーのために他のソフトウェアプロセスが準備されます。この時点で、システムはスイッチオーバーの準備が整っています。
ノードの切り替えが発生し、ノード 1 が新しいプライマリノード(これまではセカンダリノード 1)になります。
これで、新しいセカンダリノード(これまではプライマリノード0)が新しいソフトウェアイメージにアップグレードされました。
両方のノードが正常にアップグレードされると、ISSU は完了します。
暗号化をサポートしていないバージョンクラスターを暗号化をサポートするバージョンにアップグレードする場合は、最初のノードを新しいバージョンにアップグレードします。暗号化が構成および有効になっていなくても、バージョンが異なる 2 つのノードが相互に通信でき、サービスは中断されません。最初のノードをアップグレードした後、2 番目のノードを新しいバージョンにアップグレードします。ユーザーは、アップグレードの完了後に暗号化機能を有効にするかどうかを決定できます。暗号化をサポートしないバージョンにダウングレードする前に、暗号化を無効にする必要があります。これにより、暗号化が有効なバージョンのノードとダウングレードされたノード間の通信は、両方が暗号化されなくなったため、切断されません。
ルーティングエンジンとパケット転送エンジンのポリシーは、設定をコミットするために同期している必要があります。デバイスからも削除されます ポリシーが変更され、ポリシーが同期していない場合、エラーメッセージが表示されます。
アップグレード後にセキュリティ ポリシーが同期していないことに気付いた場合、回避策として、 コマンドを request security policies resync 使用して、ルーティングエンジンとパケット転送エンジンのセキュリティ ポリシーの設定を同期する必要があります。
ISSU のシステム要件
ISSU を使用して、ISSU 対応ソフトウェア リリースからそれ以降のリリースにアップグレードできます。
ISSU を実行するには、デバイスが、特定のプラットフォームの ISSU をサポートする Junos OS リリースを実行している必要があります。プラットフォームのサポートについては、 表 1 を参照してください。
デバイス | Junos OS リリース |
---|---|
SRX5800とSRX5600 | 10.4R4以降 |
SRX5400 | 12.1X46-D20 以降 |
SRX1500 | 15.1X49-D70 以降 |
SRX1600とSRX2300 | 23.4R1以降 |
SRX4100とSRX4200 | 15.1X49-D80 以降 |
SRX4300 | 24.2R1以降 |
SRX4600 | 17.4R1以降 |
ISSU のサポートと制限事項の詳細については、 SRXシリーズ デバイスでの ISSU/ICU アップグレードの制限を参照してください。
ISSU に関連する次の制限事項に注意してください。
インストールに指定された Junos OS のバージョンが、デバイスで現在実行されているバージョンよりも前のバージョンである場合、ISSU プロセスは終了します。
指定されたアップグレードが現在の設定やサポートされているコンポーネントなどと競合する場合、ISSU プロセスは終了します。
ISSU は、Junos OS SDK を使用して開発された拡張アプリケーション パッケージをサポートしていません。
ISSUは、サポートされているすべてのSRXシリーズファイアウォールでバージョンダウングレードをサポートしているわけではありません。
CPU の負荷が高いと、ISSU に障害が発生することがあります。
ISSU 対応リリースから以前のリリース(ISSU 対応かどうか)にダウングレードするには、 request system software add
コマンドを使用します。ISSU プロセスを使用したアップグレードとは異なり、 request system software add
コマンドを使用したダウングレードでは、ネットワークの中断やデータの損失が発生する可能性があります。
ISSU は、次の条件下で実行することを強くお勧めします。
プライマリノードとセカンダリノードの両方が正常な場合
システムメンテナンス期間中
トラフィックが最も少ない時間帯
ルーティングエンジンの CPU 使用率が 40% 未満の場合
ISSU がサポートされていない、または推奨されていない場合でも、システム アップグレード中のダウンタイムを最小限に抑える必要がある場合は、最小限のダウンタイム手順を使用できます(ナレッジ ベース記事KB17947を参照してください)。
ISSUを使用したシャーシ クラスタ内の両デバイスのアップグレード
両方のデバイスをアップグレードするための ISSU を開始する前に、次のガイドラインに注意してください。
次の ISSU 事前チェック要件が満たされていることを確認します。
すべての冗長グループの優先度が 0 より大きい
すべての冗長性グループは、プライマリまたはセカンダリの状態です
/var/tmp に十分な (イメージサイズの 2 倍の) 空き領域がある
CPU使用率が5秒以内に80%を下回る
事前チェック要件が満たされていない場合、ISSU は最初から終了します。
各ルーティングエンジンで
request system snapshot
コマンドを使用してソフトウェアをバックアップし、システム ソフトウェアをデバイスのハード ディスクにバックアップします。Junos OS リリース 11.4 以前を使用している場合は、ISSU を起動する前に、すべての冗長グループのフェイルオーバーを設定して、1 つのノード(プライマリ)でのみアクティブになるようにします。 シャーシ クラスタの手動冗長グループ フェイルオーバーの開始を参照してください。
Junos OS リリース 12.1 以降を使用している場合、Junos OS はすべての RG を自動的に RG0 プライマリにフェイルオーバーします。
ISSU を起動する前に、ルーティング プロトコルのグレースフル リスタートを有効にすることをお勧めします。
サポートされているすべてのSRXシリーズファイアウォールで、リリース から 最初に推奨されるISSUはJunos OS リリース10.4R4です。
シャーシ クラスタISSU機能を使用すると、冗長グループのフェイルオーバーと同様のトラフィックへの影響で、クラスタ内の両方のデバイスをサポートされているJunos OSバージョンからアップグレードできます。
ルーティング エンジン2 で CLI から ISSU を実行するには、次の手順に従います。
インサービスソフトウェアアップグレード(ISSU)後に冗長グループをプライマリとしてノード0に自動的に戻るようにするには、ノード0がプライマリになるように冗長グループの優先度を設定し、 preempt
オプションを有効にする必要があります。この方法は、冗長グループ0を除くすべての冗長グループに対して機能することに注意してください。冗長グループ 0 のフェイルオーバーを手動で設定する必要があります。
冗長グループの優先度を設定し、 preempt
オプションを有効にするには、 例:シャーシ クラスタ冗長性グループの設定を参照してください。
冗長グループのフェイルオーバーを手動で設定するには、「 シャーシ クラスタの手動冗長グループ フェイルオーバーの開始」を参照してください。
アップグレード中、両方のデバイスで冗長グループのフェイルオーバーが発生する可能性がありますが、トラフィックは中断されません。各デバイスは、アップグレードを開始する前に、パッケージを検証し、バージョンの互換性をチェックします。新しいパッケージ バージョンが現在インストールされているバージョンと互換性がないことがシステムによって検出された場合、デバイスはアップグレードを拒否するか、修正措置を講じるように求めます。場合によっては、1 つの機能に互換性がない場合、アップグレード ソフトウェアは、アップグレードを開始する前に、アップグレードを終了するか、機能をオフにするかを求めます。
SRXシリーズファイアウォールをスタンドアロンデバイスとして運用し直す場合、またはシャーシクラスタからノードを削除する場合は、両方のノードでISSU手順を終了したことを確認します(ISSU手順が開始された場合)
ルーティング エンジン3を搭載したSRX5Kデバイスと、SRX1600、SRX2300、SRX4300デバイスでISSUプロセスを開始するには、次の手順に従います。
次のコマンドを実行して ISSU を起動します。
content_copy zoom_out_mapuser@host> request vmhost software in-service-upgrade image-name-with-full-path
参照
ISSU 後のシャーシ クラスタ内のデバイスのロールバック
ISSU が完了せず、クラスタ内の 1 つのデバイスのみがアップグレードされた場合、アップグレードされたデバイス上で次のいずれかのコマンドを発行することで、アップグレードされたデバイスのみで以前の設定にロールバックできます。
request chassis cluster in-service-upgrade abort
request system software rollback node node-id reboot
request system reboot
ISSU 後の自動シャーシ クラスタ ノード フェールバックの有効化
インサービスソフトウェアアップグレード(ISSU)後に冗長性グループをプライマリとしてノード0に自動的に戻す場合は、ノード0がプライマリになるように冗長グループの優先度を設定し、 preempt
オプションを有効にする必要があります。この方法は、冗長グループ0を除くすべての冗長グループに対して機能することに注意してください。冗長グループ 0 のフェイルオーバーを手動で設定する必要があります。冗長グループの優先度を設定し、 preempt
オプションを有効にするには、 例:シャーシ クラスタ冗長性グループの設定を参照してください。冗長グループのフェイルオーバーを手動で設定するには、「 シャーシ クラスタの手動冗長グループ フェイルオーバーの開始」を参照してください。
ノード 0 をアップグレードしてシャーシ クラスタで使用できるようにするには、ノード 0 を手動でリブートします。ノード 0 は自動的に再起動しません。
プラットフォーム固有の インサービスソフトウェアアップグレード 動作
Feature Explorerを使用して、特定の機能に対するプラットフォームとリリースのサポートを確認します。
次の表を使用して、プラットフォームのプラットフォーム固有の動作を確認します。
プラットホーム | 差 |
---|---|
SRX シリーズ |
|
変更履歴
サポートされる機能は、使用しているプラットフォームとリリースによって決まります。特定の機能がお使いのプラットフォームでサポートされているかどうかを確認するには、 Feature Explorer を使用します。