Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
EN ESTA PÁGINA
 

Clúster de chasis en dispositivos NFX250

La agrupación en clústeres del chasis implica la sincronización de los archivos de configuración y los estados de sesión en tiempo de ejecución dinámico entre dos dispositivos, que forman parte de la configuración del clúster de chasis. En NFX250, las instancias de firewall virtual vSRX en dos dispositivos se agrupan en un clúster para proporcionar alta disponibilidad (HA).

Descripción general del clúster de chasis NFX250

Puede configurar los dispositivos NFX250 para que funcionen en modo de clúster conectando y configurando las instancias del firewall virtual vSRX en cada dispositivo para que funcionen como un solo nodo, lo que proporciona redundancia en el dispositivo, la interfaz y el nivel de servicio.

Cuando dos dispositivos están configurados para funcionar como un clúster de chasis, cada dispositivo se convierte en un nodo de ese clúster. Los dos nodos se respaldan entre sí, con un nodo que actúa como dispositivo principal y el otro nodo que actúa como dispositivo secundario, lo que garantiza la conmutación por error con estado de los procesos y servicios cuando falla el sistema o el hardware. Si se produce un error en el dispositivo primario, el dispositivo secundario se encarga del procesamiento del tráfico.

Los nodos de un clúster están conectados entre sí a través de dos vínculos llamados vínculo de control y vínculo de estructura. Los dispositivos de un clúster de chasis sincronizan los estados de configuración, kernel y sesión PFE en todo el clúster para facilitar la alta disponibilidad, la conmutación por error de los servicios con estado y el equilibrio de carga.

  • Vínculo de control: sincroniza la configuración entre los nodos. Cuando se envían instrucciones de configuración al clúster, la configuración se sincroniza automáticamente a través de la interfaz de control.

    Para crear una ruta de datos de vínculo de control de clúster de vSRX Virtual Firewall, conecte la interfaz ge-0/0/0 en un nodo a la interfaz ge-0/0/0 en el segundo nodo.

    Nota:

    Sólo puede utilizar la interfaz ge-0/0/0 para crear un vínculo de control.

  • Vínculo de estructura (vínculo de datos): reenvía el tráfico entre los nodos. El tráfico que llega a un nodo que necesita ser procesado en el otro nodo se reenvía a través del vínculo de estructura. Del mismo modo, el tráfico procesado en un nodo que necesita salir a través de una interfaz en el otro nodo se reenvía a través del vínculo de estructura.

    Puede utilizar cualquier interfaz excepto ge-0/0/0 para crear un vínculo de estructura.

Modos de clúster de chasis

El clúster de chasis se puede configurar en modo activo/pasivo o activo/activo.

  • Active/passive mode: en el modo activo/pasivo, el tráfico de tránsito pasa por el nodo principal, mientras que el nodo de respaldo se utiliza únicamente en caso de fallo. Cuando se produce un error, el dispositivo de copia de seguridad se convierte en el dispositivo principal y se hace cargo de todas las tareas de reenvío.

  • Active/active mode: en el modo activo/activo, el tráfico de tránsito pasa a través de ambos nodos todo el tiempo.

Interfaces de clúster de chasis

Las interfaces del clúster de chasis incluyen:

  • Interfaz Ethernet redundante (reth): pseudointerfaz que incluye una interfaz física de cada nodo de un clúster. La interfaz reth del nodo activo es responsable de pasar el tráfico en una configuración de clúster de chasis.

    Una interfaz reth debe contener, como mínimo, un par de interfaces Fast Ethernet o un par de interfaces Gigabit Ethernet denominadas interfaces secundarias de la interfaz Ethernet redundante (el padre redundante). Si se asignan dos o más interfaces secundarias de cada nodo a la interfaz Ethernet redundante, se puede formar un grupo de agregación de vínculos de interfaz Ethernet redundante.

    Nota:

    Puede configurar un máximo de 128 interfaces reth en dispositivos NFX250.

  • Interfaz de control: interfaz que proporciona el vínculo de control entre los dos nodos del clúster. Esta interfaz se utiliza para actualizaciones de enrutamiento y para controlar el tráfico de señal del plano, como la información de latidos y umbrales que desencadenan la conmutación por error del nodo.

  • Interfaz de estructura: interfaz que proporciona la conexión física entre dos nodos de un clúster. Una interfaz de estructura se forma conectando un par de interfaces Ethernet consecutivas (una de cada nodo). Los motores de reenvío de paquetes del clúster utilizan esta interfaz para transmitir tráfico de tránsito y sincronizar el estado de tiempo de ejecución del software del plano de datos. Debe especificar las interfaces físicas que se utilizarán para la interfaz de estructura en la configuración.

Nota:

El clúster de chasis se habilita mediante instancias VNF de firewall virtual vSRX 2.0 que se ejecutan en dos dispositivos NFX250 independientes.

Limitación del clúster de chasis

No se admite el LAG redundante (RLAG) de interfaces miembro reth del mismo nodo. Una interfaz reth con más de una interfaz secundaria por nodo se denomina RLAG.

Ejemplo: configuración de un clúster de chasis en dispositivos NFX250

En este ejemplo, se muestra cómo configurar la agrupación en clústeres del chasis en dispositivos NFX250.

Requisitos

Antes de empezar:

  • Conecte físicamente los dos dispositivos y asegúrese de que sean el mismo modelo NFX250.

  • Asegúrese de que ambos dispositivos ejecutan la misma versión de Junos OS

  • (Opcional) Elimine todas las asignaciones de interfaz para el puerto de control ge-0/0/0 en ambos nodos.

  • Conecte el puerto de control ge-0/0/0 en el nodo 0 al puerto ge-0/0/0 en el nodo 1.

  • Conecte el puerto de estructura del nodo 0 al puerto de estructura del nodo 1.

Visión general

En este ejemplo, se muestra cómo configurar la agrupación en clústeres básicos de chasis activo/pasivo. Un dispositivo mantiene activamente el control del clúster de chasis. El otro dispositivo mantiene pasivamente su estado para las capacidades de conmutación por error del clúster en caso de que el dispositivo activo se vuelva inactivo.

Nota:

En este ejemplo no se describen en detalle diversas configuraciones, como la forma de configurar las características de seguridad. Son esencialmente los mismos que serían para configuraciones independientes.

Configuración

Despliegue vSRX Virtual Firewall 2.0 VNF en dispositivos NFX250

Procedimiento paso a paso

  1. Copie la imagen VNF de vSRX Virtual Firewall 2.0 en la carpeta /var/third-party/images/.

  2. Defina las VLAN de host-OS:

  3. Implemente vNF del firewall virtual vSRX en NFX250:

Configurar la ruta de datos de JCP

Procedimiento paso a paso

  1. Configure los puertos del panel frontal en la familia de conmutación Ethernet y asígnelo a las VLAN:

Creación de clúster de chasis de alta disponibilidad (VNF HA)

Procedimiento paso a paso

  1. Acceda a la VNF:

  2. Cambie el modo a clúster de chasis:

  3. Configure las VNF que se generan en modo de clúster:

Configuración de un clúster de chasis

Procedimiento paso a paso

  1. Configure el ID de clúster en ambos nodos y reinicie los dispositivos. Es necesario reiniciar para entrar en modo de clúster después de establecer el ID de clúster y el ID de nodo.

    Nota:

    Debe entrar en el modo operativo para emitir los comandos en ambos dispositivos.

    El identificador de clúster es el mismo en ambos dispositivos, pero el ID de nodo debe ser diferente porque un dispositivo es el nodo 0 y el otro dispositivo es el nodo 1. El intervalo para el identificador de clúster es de 0 a 255 y establecerlo en 0 equivale a deshabilitar el modo de clúster.

  2. Compruebe que el clúster de chasis esté configurado correctamente:

    Una vez configurado el clúster de chasis, puede entrar en el modo de configuración y realizar todas las configuraciones en el nodo principal, node0.

  3. Configure los nombres de host y las direcciones IP de administración fuera de banda para los nodos 0 y 1:

    Si accede al dispositivo desde una subred distinta de la configurada para la administración fuera de banda, configure una ruta estática:

  4. Configurar un enrutador de reserva para acceder al enrutador desde una red externa para la administración fuera de banda

Configurar interfaces de estructura

Procedimiento paso a paso

La interfaz ge-0/0/0 es un vínculo de control predefinido. Por lo tanto, debe seleccionar cualquier otra interfaz en el dispositivo para configurar una interfaz de estructura. Por ejemplo, en la siguiente configuración, se utiliza ge-0/0/1 como interfaz de estructura.

  1. Conecte un extremo del cable Ethernet a ge-0/0/1 en el dispositivo NFX250NG-1 y el otro extremo del cable a ge-0/0/1 en el dispositivo NFX250NG-2.

  2. Asigne LAN física al puerto WAN virtual:

  3. Configure las interfaces del panel frontal (L2) correspondientes a la interfaz de estructura:

  4. Configure las interfaces L3 como miembro de la estructura:

  5. Configure la ruta de datos para las interfaces de estructura:

  6. Configure el emparejamiento de puertos para miembros de estructura y red. El emparejamiento de puertos garantiza que cuando se produce un error en una interfaz LAN controlada por el plano de datos de capa 2 (FPC0), la interfaz correspondiente en el plano de datos de capa 3 (FPC1) esté marcada y viceversa. Esto ayuda en la conmutación por error del grupo redundante correspondiente al nodo secundario.

Configurar grupos e interfaces redundantes

Procedimiento paso a paso

  1. Configure los grupos de redundancia 1 y 2. Ambos redundancy-group 1 controlan redundancy-group 2 el plano de datos e incluyen los puertos del plano de datos. Cada nodo tiene interfaces en un grupo de redundancia. Como parte de la configuración del grupo de redundancia, también debe definir la prioridad para el plano de control y el plano de datos: qué dispositivo es preferido para el plano de control y qué dispositivo es preferido para el plano de datos. Para la agrupación en clústeres de chasis, se prefiere una prioridad más alta. El número más alto tiene prioridad.

    En esta configuración, es el nodo activo, node 0 ya que está asociado con redundancy-group 1. reth0 es miembro de redundancy-group 1 y reth1 es miembro de redundancy-group 2. Debe configurar todos los cambios en el clúster a través del nodo 0. Si se produce un error en el nodo 0, el nodo 1 será el nodo activo.

  2. Configure las interfaces del panel frontal (L2) correspondientes a la interfaz reth:

  3. Configure las interfaces WAN (L3) como miembro reth:

  4. Configure las interfaces reth:

    • Configurar reth0:

    • Configure reth1:

  5. Configure la supervisión de interfaz para los miembros de las interfaces reth:

  6. Configure políticas de seguridad para permitir el tráfico de LAN a WAN y de WAN a LAN:

Verificación

Verificación del estado del clúster de chasis

Propósito

Compruebe el estado del clúster de chasis y sus interfaces.

Acción

Desde el modo operativo, emita los siguientes comandos:

  • Compruebe el estado del clúster:

  • Compruebe el estado de los grupos de redundancia:

  • Compruebe el estado de las interfaces:

  • Compruebe el estado de las interfaces de emparejamiento de puertos:

Documentación relacionada