Junos OS에서 vSRX 가상 방화벽 섀시 클러스터 구성

vSRX 가상 방화벽의 섀시 클러스터 프로비저닝

vSRX 가상 방화벽 인스턴스에서 섀시 클러스터에 대한 연결을 설정하는 것은 물리적 SRX 시리즈 방화벽과 유사합니다. vSRX 가상 방화벽 VM은 가상 NIC(예: VMXNET3 또는 virtio)에 가상 네트워크(또는 vswitch)를 사용합니다.

섀시 클러스터에는 두 개의 vSRX 가상 방화벽 인스턴스 간에 다음과 같은 직접 연결이 필요합니다.

• 두 vSRX 가상 방화벽 인스턴스 사이의 컨트롤 플레인 트래픽에 대해 액티브/패시브 모드로 작동하는 제어 링크 또는 가상 네트워크

• 패브릭 링크 또는 가상 네트워크 - 노드 간의 실시간 세션 동기화에 사용됩니다. 액티브/액티브 모드에서 이 링크는 두 vSRX 가상 방화벽 인스턴스 간에 데이터 트래픽을 전달하는 데에도 사용됩니다.

참고:

참고: 선택적으로 더 많은 중복을 위해 두 개의 패브릭 링크를 생성할 수 있습니다.

vSRX 가상 방화벽 클러스터는 다음과 같은 인터페이스를 사용합니다.

• 대역 외 관리 인터페이스(fxp0)

• 클러스터 제어 인터페이스(em0)

• 클러스터 패브릭 인터페이스(node0의 fab0, node1의 fab1)

참고:

제어 인터페이스는 두 번째 vNIC여야 합니다. 패브릭 링크의 경우 모든 수익 포트(ge- 포트)를 사용할 수 있습니다. 선택적으로 중복성 향상을 위해 두 번째 패브릭 링크를 구성할 수 있습니다.

그림 1 은 vSRX 가상 방화벽 인스턴스를 사용한 섀시 클러스터 구성을 보여줍니다.

vSRX 가상 방화벽은 virtio 드라이버 및 SR-IOV 인터페이스를 사용하여 섀시 클러스터를 지원하며, 다음 사항을 고려합니다.

• 섀시 클러스터를 활성화할 때 virtio 네트워크 인터페이스에서 패브릭 링크를 지원하도록 점보 프레임(MTU 크기 = 9000)도 활성화해야 합니다.

• 두 개의 물리적 호스트에 걸쳐 섀시 클러스터를 구성하는 경우, vSRX 가상 방화벽 제어 링크가 사용하는 각 호스트 물리적 인터페이스에서 igmp-snooping을 비활성화하여 섀시 클러스터의 두 노드에서 제어 링크 하트비트를 수신하도록 합니다.

  hostOS# echo 0 > /sys/devices/virtual/net/<bridge-name>/bridge/multicast_snooping

• 섀시 클러스터가 활성화되면 vSRX 가상 방화벽 인스턴스는 두 번째 vNIC를 제어 링크에 자동으로 매핑하고 그 이름이 ge-0/0/0에서 em0으로 변경됩니다.

• 패브릭 링크/링크에 다른 vNIC를 사용할 수 있습니다. ( 인터페이스 명명 및 매핑 참조)

virtio 인터페이스의 경우 링크 상태 업데이트가 지원되지 않습니다. virtio 인터페이스의 링크 상태는 항상 Up으로 보고됩니다. 이러한 이유로 virtio 및 섀시 클러스터를 사용하는 vSRX 가상 방화벽 인스턴스는 virtio 인터페이스에서 링크 업 및 링크 다운 메시지를 수신할 수 없습니다.

가상 네트워크 MAC 에이징 시간은 항목이 MAC 테이블에 남아 있는 시간을 결정합니다. 장애 조치(failover) 중 가동 중지 시간을 최소화하기 위해 가상 네트워크에서 MAC 에이징 시간을 줄이는 것이 좋습니다.

예를 들어 명령을 사용하여 brctl setageing bridge 1 Linux 브리지에 대해 에이징을 1초로 설정할 수 있습니다.

제어 및 패브릭 링크에 대한 가상 네트워크를 구성한 다음, 제어 인터페이스를 생성하여 제어 가상 네트워크에, 패브릭 인터페이스를 패브릭 가상 네트워크에 연결합니다.

인터페이스 명명 및 매핑

vSRX 가상 방화벽 인스턴스에 대해 정의된 각 네트워크 어댑터는 vSRX 가상 방화벽 인스턴스가 독립형 VM인지 아니면 고가용성을 위한 클러스터 쌍 중 하나인지에 따라 특정 인터페이스에 매핑됩니다. vSRX 가상 방화벽의 인터페이스 이름과 매핑은 표 1과 표 2에 나와 있습니다.

다음 사항에 유의하십시오.

• 독립 실행형 모드에서:
  • fxp0은 대역 외 관리 인터페이스입니다.
  • ge-0/0/0은 첫 번째 트래픽(수익) 인터페이스입니다.
• 클러스터 모드에서:
  • fxp0은 대역 외 관리 인터페이스입니다.
  • em0은 두 노드에 대한 클러스터 제어 링크입니다.
  • 노드 0의 fab0에 대한 ge-0/0/0, 노드 1의 fab1에 대한 ge-7/0/0과 같이 모든 트래픽 인터페이스를 패브릭 링크로 지정할 수 있습니다.

독립형 vSRX 가상 방화벽 VM의 인터페이스 이름 및 매핑은 표 1 에서 확인할 수 있으며, 클러스터 모드의 vSRX 가상 방화벽 VM의 경우 표 2에 동일하게 표시되어 있습니다. 클러스터 모드에서 em0 포트가 fxp0 및 ge-0/0/0 위치 사이에 삽입되어 수익 포트 번호가 하나의 vNIC 위치 위로 이동하는 것을 확인할 수 있습니다.

표 1: 독립형 vSRX 가상 방화벽 VM의 인터페이스 이름

네트워크 어댑터	인터페이스 이름
1	fxp0
2	ge-0/0/0
3	ge-0/0/1
4	ge-0/0/2
5	ge-0/0/3
6	ge-0/0/4
7	ge-0/0/5
8	ge-0/0/6

표 2: vSRX 가상 방화벽 클러스터 쌍의 인터페이스 이름

네트워크 어댑터	인터페이스 이름
1	fxp0(노드 0 및 1)
2	em0(노드 0 및 1)
3	ge-0/0/0(노드 0) ge-7/0/0(노드 1)
4	ge-0/0/1(노드 0) ge-7/0/1(노드 1)
5	ge-0/0/2(노드 0) ge-7/0/2(노드 1)
6	ge-0/0/3(노드 0) ge-7/0/3(노드 1)
7	ge-0/0/4(노드 0) ge-7/0/4(노드 1)
8	ge-0/0/5(노드 0) ge-7/0/5(노드 1)

섀시 클러스터 형성 활성화

두 개의 vSRX 가상 방화벽 인스턴스를 생성하여 섀시 클러스터를 구성한 다음 각 인스턴스에서 클러스터 ID와 노드 ID를 설정하여 클러스터에 조인합니다. vSRX 가상 방화벽 VM이 클러스터에 가입하면 해당 클러스터의 노드가 됩니다. 고유한 노드 설정 및 관리 IP 주소를 제외하고 클러스터의 노드는 동일한 구성을 공유합니다.

레이어 2 도메인에 최대 255개의 섀시 클러스터를 구축할 수 있습니다. 클러스터와 노드는 다음과 같은 방법으로 식별됩니다.

• 클러스터 ID(1에서 255 사이의 숫자)는 클러스터를 식별합니다.

• 노드 ID(0에서 1 사이의 숫자)는 클러스터 노드를 식별합니다.

SRX 시리즈 방화벽에서 클러스터 ID와 노드 ID는 EEPROM에 기록됩니다. vSRX 가상 방화벽 VM에서 vSRX 가상 방화벽은 boot/loader.conf 에서 ID를 저장하고 읽으며 시작 시 ID를 사용하여 섀시 클러스터를 초기화합니다.

섀시 클러스터링을 활성화하기 전에 vSRX 가상 방화벽 인스턴스가 다음 사전 요구 사항을 준수하는지 확인합니다.

• 섀시 클러스터를 형성하는 두 vSRX 가상 방화벽 인스턴스 모두에 기본 구성을 커밋했습니다. CLI를 사용하여 vSRX 구성을 참조하십시오.

• Junos OS에서 사용하여 show version 두 vSRX 가상 방화벽 인스턴스의 소프트웨어 버전이 동일한지 확인합니다.
• Junos OS에서 사용하여 show system license 두 vSRX 가상 방화벽 인스턴스에 동일한 라이선스가 설치되도록 합니다.
• 각 vSRX 가상 방화벽 노드에서 동일한 섀시 클러스터 ID를 설정하고 vSRX 가상 방화벽 VM을 재부팅하여 섀시 클러스터 구성을 활성화해야 합니다.

노드 0 및 노드 1에 대한 섀시 클러스터 형성 명령은 다음과 같습니다.

• vSRX 가상 방화벽 노드 0:

• vSRX 가상 방화벽 노드 1:

  섀시 클러스터링을 활성화하면 vSRX 가상 방화벽 인터페이스의 명명 및 vNIC에 대한 매핑이 변경됩니다. 클러스터의 각 노드에 대해 동일한 클러스터 ID 번호를 사용합니다.

참고:

동일한 L2 도메인에 연결된 여러 클러스터를 사용하는 경우 각 클러스터에 고유한 cluster-id를 사용해야 합니다. 그렇지 않으면 cluster-id가 가상 인터페이스 MAC 주소를 형성하는 데 사용되기 때문에 네트워크에서 중복 MAC 주소를 얻을 수 있습니다.

재부팅 후 노드 0에서 실시간 객체(RTO)를 전달하는 데 사용되는 클러스터의 패브릭(데이터) 포트를 구성합니다.