Дерево страниц

Сравнение версий

Ключ

  • Эта строка добавлена.
  • Эта строка удалена.
  • Изменено форматирование.
Комментарий: Цыренов/Обновлена настройка firewall failover

...

Шаг

Описание

Команда

Ключи

1

Настроить VRRP согласно разделу Управление резервированием#Алгоритм Алгоритм настройки VRRP или настроить SLA по инструкции Настройка SLA.

 


2

Добавить в систему Tracking-объект и перейти в режим настройки параметров Tracking-объекта.

esr(config)# track <ID>

<ID> – номер Tracking-объекта, принимает значения [1..100].

3

Задать правило слежения за VRRP/SLA-процессами, на основании которых Tracking-объект будет переходить в активное состояние.

esr(config-track)# track vrrp id <VRID> state [not] { master | backup | fault } [vrf <VRF> ]

<VRID> – идентификатор отслеживаемого VRRP-маршрутизатора, принимает значения [1..255];
<VRF> – имя экземпляра VRF, задается строкой до 31 символа.

esr(config-track)# track sla test <NUM> [ mode <MODE> ]

<NUM> – номер SLA-теста, задается в диапазоне [1..10000];

<MODE> –режим слежения заsla-тестом,может принимать значения:

  • state success – отслеживается успешное состояние sla-теста;
  • state fail – отслеживается провальное состояние sla-теста;
  • reachability – отслеживаются состояние канала связи, по которому осуществляется sla-тест.

4

Включить Tracking-объект.

esr(config-track)# enable


5Установить задержку смены состояния отслеживаемого объекта (не обязательно).esr(config-track)# delay { down | up } <TIME>
<TIME> – время задержки в секундах, задается в диапазоне [1..300].
6Задать режим работы track (не обязательно).esr(config-track)# mode <MODE>

<MODE> – условие нахожденияобъекта отслеживания в активном состоянии,принимает значения:

  • and – объект будет находиться в активном состоянии,если выполяются все отслеживаемые условия;
  • or – объект будет находиться в активном состоянии,если выполняется хотя бы одно из отслеживаемых условий.
7Cоздать сущность на ESR, которая будет меняться в зависимости от состояния Tracking-объекта.

7.1

Добавить возможность управления статическим IP-маршрутом к указанной подсети (не обязательно).

esr(config)# ip route [ vrf <VRF> ] <SUBNET> { <NEXTHOP> [ resolve ] |
interface <IF> | tunnel <TUN> | wan load-balance rule <RULE> |
blackhole | unreachable | prohibit } [ <METRIC> ] [ track <TRACK-ID> ]

<VRF> – имя экземпляра VRF, задается строкой до 31 символа;

<SUBNET> – адрес назначения, может быть задан в следующих видах:

AAA.BBB.CCC.DDD – IP-адрес хоста, где каждая часть принимает значения [0..255];

AAA.BBB.CCC.DDD/NN – IP-адрес подсети с маской в виде префикса, где AAA-DDD принимают значения [0..255] и NN принимает значения [1..32].

<NEXTHOP> – IP-адрес шлюза задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

  • resolve – при указании данного параметра IP-адрес шлюза будет рекурсивно вычислен через таблицу маршрутизации. Если при рекурсивном вычислении не удастся найти шлюз из напрямую подключенной подсети, то данный маршрут не будет установлен в систему;

<IF> – имя IP-интерфейса, задаётся в виде, описанном в разделе Типы и порядок именования интерфейсов маршрутизатора;

<TUN> – имя туннеля, задаётся в виде, описанном в разделе Типы и порядок именования туннелей маршрутизатора;

<RULE> – номер правила wan, задаётся в диапазоне [1..50];

  • blackhole – при указании команды пакеты до данной подсети будут удаляться устройством без отправки уведомлений отправителю;
  • unreachable – при указании команды пакеты до данной подсети будут удаляться устройством, отправитель получит в ответ ICMP Destination unreachable (Host unreachable, code 1);
  • prohibit – при указании команды, пакеты до данной подсети будут удаляться устройством, отправитель получит в ответ ICMP Destination unreachable (Communication administratively prohibited, code 13);

[METRIC] – метрика маршрута, принимает значения [0..255];

<TRACK-ID> – идентификатор Tracking-объекта. Если маршрут привязан к Tracking-объекту, то он появится в системе только при выполнении всех условий, заданных в объекте.

7.2Добавить возможность управления логическим состоянием интерфейса (не обязательно).

esr(config-if-gi)# shutdown track <ID>

<ID> – номер Tracking-объекта, принимает значения [1..100].
7.3Добавить возможность управления приоритетом VRRP-процесса (не обязательно).

esr(config-if-gi)# vrrp priority track <ID> { <PRIO> | increment <INC> | decrement <DEC> }

<ID> – номер Tracking-объекта, принимает значения в диапазоне [1..100];

<PRIO> – приоритет VRRP-процесса, который выставится, если Tracking-объект будет в активном состоянии, принимает значения в диапазоне [1..254];

<INC> – значение на которое увеличится приоритет VRRP-процесса, если Tracking-объект будет в активном состоянии, принимает значения в диапазоне [1..254];

<DEC> – значение на которое уменьшится приоритет VRRP-процесса, если Tracking-объект будет в активном состоянии, принимает значения в диапазоне [1..254].

7.4

Добавить возможность управления Next-Hop для пакетов, которые попадают под критерии в указанном списке доступа (ACL) (не обязательно).

esr(config-route-map-rule)# action set ip next-hop  verify-availability <NEXTHOP> <METRIC> track <ID>

<NEXTHOP> – IP-адрес шлюза, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<METRIC> – метрика маршрута, принимает значения [0..255];

<ID> – номер Tracking-объекта, принимает значения [1..100].

7.5

Добавить возможность управления атрибутом BGP AS-Path, которое будет добавляться в начало списка AS-Path (не обязательно).

esr(config-route-map-rule)# action set as-path
prepend <AS-PATH> track <ID> [ default <AS-PATH> ]

<AS-PATH> – список номеров автономных систем, который будет добавлен к текущему значению в маршруте. Задаётся в виде AS,AS,AS, принимает значения [1..4294967295];

<ID> – номер Tracking-объекта, принимает значения [1..100].

7.6

Добавить возможность управления атрибутом BGP MED в маршруте, для которого должно срабатывать правило (не обязательно).

esr(config-route-map-rule)# action set metric bgp { <METRIC> | increment <INC> | decrement <DEC> } track <ID> [ default { <METRIC> | increment <INC> | decrement <DEC> } ]

<ID> – номер Tracking-объекта, принимает значения [1..100];

<METRIC> – значение атрибута BGP MED, принимает значения [0..4294967295];

<INC> – значение, на которое увеличится атрибут BGP MED, если Tracking-объект будет в активном состоянии. Принимает значения [0..4294967295];

<DEC> – значение, на которое уменьшится атрибут BGP MED, если Tracking-объект будет в активном состоянии. Принимает значения [0..4294967295];

...

Алгоритм настройки

ip firewall failover source-address <ADDR>

Шаг

Описание

Команда

Ключи

1

Выбор режима обмена информацией между маршрутизаторами.

 ip firewall failover sync-type <MODE>

<MODE> – режим обмена информацией:

  • unicast – режим unicast;
  • multicast – режим multicast.
2Выбор IP-адреса сетевого интерфейса, с которого будут отправляться сообщения при работе Firewall в режиме резервирования сессий.Перед настройкой сервисов резервирования необходимо настроить  общие параметры failover
2Переход в конфигурационное меню общих настроек failover сервисов.esr(config)# ip failover [ vrf <VRF> ]<VRF> – имя VRF, задается строкой до 31 символа;
3Установка IP-адреса, на котором failover сервисы принимают failover-сообщения при работе в режиме резервирования.esr(config-failover)# local-address { <ADDR> | object-group <NETWORK_OBJ_GROUP_NAME> }

<ADDR> – IP-адрес

сетевого интерфейса

,

с которого будут отправляться сообщения,

задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];

<NETWORK_OBJ_GROUP_NAME> – список адресов, которые будут использоваться в качестве local address.

4Настройка Установка многоадресного IP-адреса соседа , который будет использоваться для обмена информации при работе резервирования сессий Firewall failover сервисов в unicastmulticast-режиме.ip firewall failover destinationesr(config-failover)# multicast-address <ADDR><ADDR> – IP-адрес соседа, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].Настройка многоадресного IP-адреса, который будет использоваться для обмена информации при работе резервирования сессий Firewall ;
5Установка идентификатора multicast-группы для обмена информацией при работе резервирования failover сервисов в multicast-режиме.ip firewall failover multicast-address <ADDR><ADDR> – многоадресный esr(config-failover)# multicast-group <GROUP><GROUP> – multicast-группа, указывается в диапазоне [1000..9999].
6Установка IP-адреса, на который failover сервисы отправляют failover-сообщения при работе в режиме резервирования.esr(config-failover)# remote-address { <ADDR> | object-group <NETWORK_OBJ_GROUP_NAME> }

<ADDR> – IP-адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает


значения [0..255];

<NETWORK_OBJ_GROUP_NAME> – список адресов, которые будут использоваться в качестве local address.

4Если резервирование сессий Firewall работает в multicast-режиме, то необходимо настроить идентификатор multicast-группы.ip firewall failover multicast-group <GROUP><GROUP> – multicast-группа, указывается в диапазоне [1000..9999].
57Выбор VRRP-группы, по состоянию которой будет определятся мастерство при работе failover сервисов в режиме Active-Standby.esr(config-failover)# vrrp-group <GRID><GRID> – идентификатор группы VRRP-маршрутизатора, принимает значения [1..32].
8Переход в конфигурационное меню настроек firewall failover.esr(config)# ip firewall failover

9

Выбор режима обмена информацией между маршрутизаторами.

esr(config-firewall-failover)# sync-type <MODE>

<MODE> – режим обмена информацией:

  • unicast – режим unicast;
  • multicast – режим multicast.
10Настройка номера UDP-порта службы резервирования сессий Firewall, через который происходит обмен информацией при работе в unicast-режиме (не обязательно).ip esr(config-firewall-failover)# port <PORT><PORT> – номер порта службы резервирования сессий Firewall, указывается в диапазоне [1..65535].
6Привязка VRRP-группы, на основе которой определяется состояние (основной/резервный) маршрутизатора при резервировании сессий Firewall (не обязательно).ip firewall failover vrrp-group <GRID><GRID> – идентификатор группы VRRP-маршрутизатора, принимает значения [1..32].
711Включение резервирования сессий Firewall.ip esr(config-firewall-failover)# enable


Примечание

При настройке firewall failover также будут синхронизироваться NAT-сессии между устройствами.

...

Блок кода
master(config)# interface gigabitethernet 1/0/1
master(config-if-gi)# vrrp id 1
master(config-if-gi)# vrrp ip 192.0.2.1/24
master(config-if-gi)# vrrp priority 20
master(config-if-gi)# vrrp group 1
master(config-if-gi)# vrrp preempt delay 60
master(config-if-gi)# vrrp
master(config-if-gi)# exit

master(config)# interface gigabitethernet 1/0/3
master(config-if-gi)# vrrp id 3
master(config-if-gi)# vrrp ip 198.51.100.1/24
master(config-if-gi)# vrrp priority 20
master(config-if-gi)# vrrp group 1
master(config-if-gi)# vrrp preempt delay 60
master(config-if-gi)# vrrp
master(config-if-gi)# exit

Настроим firewall общие параметры failover. 

Выберем режим резервирование сессий unicast:

Блок кода
master(config)# ip firewall failover sync-type
unicast

Выберем IP-адреса сетевого интерфейса, с которого будут отправляться сообщения при работе Firewall в режиме резервирования сессий:

Блок кода
master(config-failover)# ip firewall failover sourcelocal-address 203.0.113.1

Настроим IP-адреса соседа при работе резервирования сессий Firewall в unicast-режиме:

Блок кода

master(config-failover)# ip firewall failover destinationremote-address 203.0.113.2

...


master(config-failover)# vrrp-group 1
master(config-failover)# exit

Настроим firewall failover. 

Выберем режим резервирование сессий unicast:

Блок кода
master(config)# ip firewall failover port 3333

...


master(config-firewall-failover)# sync-type unicast 

Настроим номер UDP-порта службы резервирования сессий Firewall:

Блок кода
master(config-firewall-failover)# ip firewall failover vrrp-group 1port 3333

Включим резервирования сессий Firewall:

Блок кода
master(config-firewall-failover)# ipenable firewall failover

Для настройки правил зон безопасности потребуется создать профиль для порта firewall failover:

...

Блок кода
backup(config)# ip firewall failover sync-type
unicast
backup(config-failover)# ip firewall failover sourcelocal-address 203.0.113.2
backup(config-failover)# ip firewall failover destinationremote-address 203.0.113.1
backup(config-failover)# ipvrrp-group firewall1
backup(config-failover)# portexit
3333
backup(config)# ip firewall failover vrrp-group 1

backup(config-firewall-failover)# sync-type unicast 
backup(config-firewall-failover)# ip firewall failoverport 3333
backup(config-firewall-failover)# enable 

Настройка зоны безопасности аналогична настройки на маршрутизаторе ESR-1 (master).

...