...
Настройка зоны безопасности аналогична настройке на маршрутизаторе ESR-1 (master).Scroll Pagebreak
Настройка Cluster
Cluster используется для резервирования работы устройств в сети. Резервирование обеспечивается за счет синхронизации работы различных сервисов между устройствами, а также за счет организации единой точки управления устройствами.
Алгоритм настройки
...
Шаг
...
Описание
...
Команда
...
Ключи
...
1
...
Перейти в режим конфигурирования кластера.
...
esr(config)# cluster
...
<BRIDGE-ID> – идентификационный номер моста, задается в виде, описанном в разделе Типы и порядок именования интерфейсов маршрутизатора.
...
<ADDR> – МАС-адрес сетевого моста, задаётся в виде XX:XX:XX:XX:XX:XX, где каждая часть принимает значения [00..FF].
...
| Примечание |
|---|
В данной версии в качестве cluster-interface поддержан только bridge. |
| Примечание |
|---|
Данные между юнитами кластера через канал синхронизации передаются в открытом виде. Также все вводимые команды конфигурирования, содержащие чувствительную информацию не в encrypted-виде, будут переданы в том же виде, в котором введены, после чего будут преобразованы в encrypted-вид. |
| Scroll Pagebreak |
|---|
Пример настройки
Задача:
Настроить кластер в режиме Active-Standby.
Основные этапы решения задачи:
1) Настроить IP-адресацию, VRRP и firewall для интерфейсов.
2) Настроить cluster-interface.
3) Настроить cluster.
4) Проверить работу cluster с помощью show-команд.
Решение:
| Примечание |
|---|
Настроить cluster можно двумя способами: 1) Настроить каждый unit отдельно. 2) Настроить один unit, а затем второй включить в cluster по ZTP. В случае отдельной настройки необходимо сменить unit на одном из устройств так, чтобы одно из устройств было unit 1, а другое unit 2. |
Пример ручной настройки каждого unit отдельно:
1. Настройка IP-адресации, VRRP и firewall для интерфейсов.
На интерфейсах настройте IP-адрес, VRRP и определите принадлежность к зоне безопасности. В случае настройки кластера конфигурация является единой, поэтому ее нужно загрузить на оба устройства.
| Блок кода |
|---|
active(config)# security zone trusted
active(config-zone)# exit
active(config)# security zone untrusted
active(config-zone)# exit
active(config)# interface gigabitethernet 1/0/2
active(config-if-gi)# security-zone trusted
active(config-if-gi)# ip address 192.0.2.2/24
active(config-if-gi)# vrrp id 10
active(config-if-gi)# vrrp ip 192.0.2.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# interface gigabitethernet 1/0/3
active(config-if-gi)# security-zone untrusted
active(config-if-gi)# ip address 198.51.100.2/24
active(config-if-gi)# vrrp id 20
active(config-if-gi)# vrrp ip 198.51.100.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# interface gigabitethernet 2/0/2
active(config-if-gi)# security-zone trusted
active(config-if-gi)# ip address 192.0.2.3/24
active(config-if-gi)# vrrp id 10
active(config-if-gi)# vrrp ip 192.0.2.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# interface gigabitethernet 2/0/3
active(config-if-gi)# security-zone untrusted
active(config-if-gi)# ip address 198.51.100.3/24
active(config-if-gi)# vrrp id 20
active(config-if-gi)# vrrp ip 198.51.100.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# security zone-pair trusted self
active(config-zone-pair)# rule 10
active(config-zone-pair-rule)# action permit
active(config-zone-pair-rule)# match protocol vrrp
active(config-zone-pair-rule)# enable
active(config-zone-pair-rule)# exit
active(config-zone-pair)# exit
active(config)# security zone-pair untrusted self
active(config-zone-pair)# rule 10
active(config-zone-pair-rule)# action permit
active(config-zone-pair-rule)# match protocol vrrp
active(config-zone-pair-rule)# enable
active(config-zone-pair-rule)# exit
active(config-zone-pair)# exit |
| Scroll Pagebreak |
|---|
2. Настройка cluster-interface.
| Блок кода |
|---|
active(config)# bridge 10
active(config-bridge)# vlan 1
active(config-bridge)# ip address 203.0.113.1/29 unit 1
active(config-bridge)# ip address 203.0.113.2/29 unit 2
active(config-bridge)# vrrp id 30
active(config-bridge)# vrrp ip 203.0.113.3/29
active(config-bridge)# vrrp group 1
active(config-bridge)# vrrp preempt disable
active(config-bridge)# vrrp
active(config-bridge)# enable
active(config-bridge)# exit
active(config)# interface gigabitethernet 1/0/1
active(config-if-gi)# mode switchport
active(config-if-gi)# exit
active(config)# interface gigabitethernet 2/0/1
active(config-if-gi)# mode switchport
active(config-if-gi)# exit |
| Примечание |
|---|
Важными настройками являются: 1) ip address (необходимо указать для всех юнитов, которые будут участвовать в cluster), 2) vrrp id (должен быть единый для всех юнитов), 3) vrrp ip (должен быть из той же подсети, что и ip address). |
3. Настройка cluster.
| Блок кода |
|---|
active(config)# cluster
active(config-cluster)# cluster-interface bridge 10
active(config-cluster)# unit 1
active(config-cluster-unit)# mac-address e4:5a:d4:a0:be:35
active(config-cluster-unit)# exit
active(config-cluster)# unit 2
active(config-cluster-unit)# mac-address a8:f9:4b:af:35:84
active(config-cluster-unit)# exit
active(config-cluster)# enable
active(config-cluster)# exit |
| Примечание |
|---|
В качестве mac-address указывается MAC-адрес устройства, который можно узнать в show system. |
Посмотреть статус кластера можно командой:
| Блок кода |
|---|
active# show cluster status
Unit Hostname Role MAC address State IP address
---- -------------------- ---------- ----------------- -------------- ---------------
1* active Active e4:5a:d4:a0:be:35 Joined 203.0.113.1
2 standby Standby a8:f9:4b:af:35:84 Joined 203.0.113.2 |
| Scroll Pagebreak |
|---|
Посмотреть статус синхронизации различных подсистем в кластере между юнитами можно командой:
| Блок кода |
|---|
active# show cluster sync status
System part Synced
---------------------- ------
candidate-config Yes
running-config Yes
SW version Yes
licence Yes
licence (After reboot) Yes
date Yes |
Посмотреть лицензии юнитов можно командой:
| Блок кода |
|---|
active# show cluster-unit-licences
Serial number Features
--------------- ------------------------------------------------------------
NPXXXXXXXX BRAS,IPS,WIFI
NPYYYYYYYY BRAS,IPS,WIFI |
Также можно посмотреть используемые ПО для всех юнитов кластера:
| Блок кода |
|---|
active# show version
Unit Hostname Boot version SW version HW version
---- --------------- -------------------------------- -------------------------------------- ----------
1* active 1.24.x.x (2024-07-15 00:19:13) 1.24.x build x (2024-07-15 00:10:45) 1v5
2 standby 1.24.x.x (2024-07-15 00:19:13) 1.24.x build x (2024-07-15 00:10:45) 1v4 |
Пример настройки с ZTP:
1. Настройка IP-адресации, VRRP и firewall для интерфейсов на одном из устройств. В данном примере будет настроено устройство на unit 1.
Предварительно на интерфейсах настройте IP-адрес, VRRP и определите принадлежность к зоне безопасности.
| Блок кода |
|---|
active(config)# security zone trusted
active(config-zone)# exit
active(config)# security zone untrusted
active(config-zone)# exit
active(config)# interface gigabitethernet 1/0/2
active(config-if-gi)# security-zone trusted
active(config-if-gi)# ip address 192.0.2.2/24
active(config-if-gi)# vrrp id 10
active(config-if-gi)# vrrp ip 192.0.2.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# interface gigabitethernet 1/0/2
active(config-if-gi)# security-zone untrusted
active(config-if-gi)# ip address 198.51.100.2/24
active(config-if-gi)# vrrp id 20
active(config-if-gi)# vrrp ip 198.51.100.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# interface gigabitethernet 2/0/3
active(config-if-gi)# security-zone trusted
active(config-if-gi)# ip address 192.0.2.3/24
active(config-if-gi)# vrrp id 10
active(config-if-gi)# vrrp ip 192.0.2.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# interface gigabitethernet 2/0/3
active(config-if-gi)# security-zone untrusted
active(config-if-gi)# ip address 198.51.100.3/24
active(config-if-gi)# vrrp id 20
active(config-if-gi)# vrrp ip 198.51.100.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# security zone-pair trusted self
active(config-zone-pair)# rule 10
active(config-zone-pair-rule)# action permit
active(config-zone-pair-rule)# match protocol vrrp
active(config-zone-pair-rule)# enable
active(config-zone-pair-rule)# exit
active(config-zone-pair)# exit
active(config)# security zone-pair untrusted self
active(config-zone-pair)# rule 10
active(config-zone-pair-rule)# action permit
active(config-zone-pair-rule)# match protocol vrrp
active(config-zone-pair-rule)# enable
active(config-zone-pair-rule)# exit
active(config-zone-pair)# exit |
| Scroll Pagebreak |
|---|
2. Настройка cluster-interface.
| Блок кода |
|---|
active(config)# bridge 10
active(config-bridge)# vlan 1
active(config-bridge)# ip address 203.0.113.1/29 unit 1
active(config-bridge)# ip address 203.0.113.2/29 unit 2
active(config-bridge)# vrrp id 30
active(config-bridge)# vrrp ip 203.0.113.3/29
active(config-bridge)# vrrp group 1
active(config-bridge)# vrrp preempt disable
active(config-bridge)# vrrp
active(config-bridge)# enable
active(config-bridge)# exit
active(config)# interface gigabitethernet 1/0/1
active(config-if-gi)# mode switchport
active(config-if-gi)# exit
active(config)# interface gigabitethernet 2/0/1
active(config-if-gi)# mode switchport
active(config-if-gi)# exit |
| Примечание |
|---|
Важными настройками являются: 1) ip address (необходимо указать для всех юнитов, которые будут участвовать в cluster), 2) vrrp id (должен быть единый для всех юнитов), 3) vrrp ip (должен быть из той же подсети, что и ip address). |
3. Настройка cluster.
| Блок кода |
|---|
active(config)# cluster
active(config-cluster)# cluster-interface bridge 10
active(config-cluster)# unit 1
active(config-cluster-unit)# mac-address e4:5a:d4:a0:be:35
active(config-cluster-unit)# exit
active(config-cluster)# unit 2
active(config-cluster-unit)# mac-address a8:f9:4b:af:35:84
active(config-cluster-unit)# exit
active(config-cluster)# enable
active(config-cluster)# exit |
| Примечание |
|---|
В качестве mac-address указывается MAC-адрес устройства, который можно узнать в show system. |
4. Подключите второе устройство на factory конфигурации через интерфейс, где включен dhcp-client. Устройство автоматически сменит unit, получит актуальное ПО и обновится на него, получит актуальную конфигурацию и лицензию.
Посмотреть статус кластера можно командой:
| Блок кода |
|---|
active# show cluster status
Unit Hostname Role MAC address State IP address
---- -------------------- ---------- ----------------- -------------- ---------------
1* active Active e4:5a:d4:a0:be:35 Joined 203.0.113.1
2 standby Standby a8:f9:4b:af:35:84 Joined 203.0.113.2 |
| Scroll Pagebreak |
|---|
Посмотреть статус синхронизации различных подсистем в кластере между юнитами можно командой:
| Блок кода |
|---|
active# show cluster sync status
System part Synced
---------------------- ------
candidate-config Yes
running-config Yes
SW version Yes
licence Yes
licence (After reboot) Yes
date Yes |
Посмотреть лицензии юнитов можно командой:
| Блок кода |
|---|
active# show cluster-unit-licences
Serial number Features
--------------- ------------------------------------------------------------
NPXXXXXXXX BRAS,IPS,WIFI
NPYYYYYYYY BRAS,IPS,WIFI |
Также можно посмотреть используемые ПО для всех юнитов кластера:
| Блок кода |
|---|
active# show version
Unit Hostname Boot version SW version HW version
---- --------------- -------------------------------- -------------------------------------- ----------
1* active 1.24.x.x (2024-07-15 00:19:13) 1.24.x build x (2024-07-15 00:10:45) 1v5
2 standby 1.24.x.x (2024-07-15 00:19:13) 1.24.x build x (2024-07-15 00:10:45) 1v4 |