История страницы

...

С алгоритмом настройки можно ознакомиться по ссылке в разделе: Настройка SNMP-сервера и отправки SNMP TRAP.

Image Added

Настройка Cluster

Cluster используется для резервирования работы устройств в сети. Резервирование обеспечивается за счет синхронизации работы различных сервисов между устройствами, а также за счет организации единой точки управления устройствами.

Алгоритм настройки

Пример настройки кластера

В настоящем руководстве приведено описание настройки кластера для администратора сервисного маршрутизатора ESR (далее — маршрутизатор).

Image Added

Рисунок 1 — Схема реализации HA Cluster

Первичная настройка кластера 

Для начала работы необходимо полностью настроить одно устройство из кластера.

После включения устройства примените конфигурацию по умолчанию на устройствах, предназначенных для объединения в кластер:

Для более удобного и ясного восприятия рекомендуется переименовать устройства. В кластерной версии прошивки предусмотрена возможность указать имя устройства с привязкой к юниту. Устройство будет использовать только тот hostname, юнитом которого он является:

Чтобы изменить юнит устройства, выполните следующие команды:

Убедитесь в том, что настройка юнита применилась успешно:

Настройка кластерного интерфейса

Для полноценной работы кластера требуется сконфигурировать кластерный интерфейс, который будет использоваться для передачи control plane трафика. В качестве кластерного интерфейса назначен bridge. В качестве механизма, отвечающего за определение ролей устройств, участвующих в резервировании, назначен протокол VRRP. Настройки cluster-интерфейса должны быть идентичны для всех участников кластера.

Так как кластер выполняет синхронизацию состояний между устройствами, необходимо создать зону безопасности SYNC (synchronization) и разрешить прохождение трафика протокола VRRP:

Далее перейдите к настройкам кластерного интерфейса:

Укажите, к какому VLAN относится bridge, и зону безопасности:

Далее укажите IP-адреса:

Настройте идентификатор VRRP, принадлежность VRRP-маршрутизатора к группе, IP-адрес VRRP:

Включите протокол VRRP и bridge:

Настройте физические порты для выделенного линка синхронизации маршрутизаторов ESR-1 и ESR-2:

Для проверки работы протокола VRRP выполните следующую команду:

Можно увидеть, что устройство приняло состояние Backup. Через 10 секунд устройство примет состояние Master.

Настройка кластера

Для запуска кластера необходимо указать заранее настроенный кластерный интерфейс и юниты, которые будут выполнять роли Active и Standby.

Перейдите в режим настройки кластера:

Настройте юниты:

Укажите кластерный интерфейс, созданный ранее, и активируйте кластер:

Первое устройство полностью настроено и готово к работе.
Аналогичные настройки необходимо произвести на втором устройстве. Также возможна настройка второго устройства средствами ZTP.

После выполнения этих шагов кластер будет успешно запущен. Текущее состояние кластера можно узнать, выполнив команду:    

После выполнения этих шагов кластер будет успешно запущен. Текущее состояние синхронизации подсистем кластера можно узнать, выполнив команду:    

Синхронизация файлов лицензий

Для синхронизации файлов лицензий в кластере необходимо загрузить их все на Active-устройство командой copy в директорию system:cluster-unit-licences.

Все загруженные лицензии в данной директории передаются остальным участникам кластера.

Установка файлов лицензий

Установить лицензию в кластере можно одним из способов:

1. Загрузить индивидуально лицензию на каждое устройство, как в случае с обычным ESR вне кластера.
2. Загрузить лицензию для Active-юнита в system:licence (данная лицензия также автоматически загрузится и в system:cluster-unit-licences), лицензии для Standby загрузить в system:cluster-unit-licences на Active-юните, после чего либо выполнить команду sync cluster system force, либо подключить Standby по ZTP.

Подключение сервисов

После успешной настройки кластера можно приступать к конфигурации сервисов.

Настройка System prompt

System prompt позволяет отобразить оперативное состояние кластера непосредственно в строке приглашения CLI устройства, что упрощает получение актуальной информации.

Варианты настройки system prompt, включая доступные параметры и синтаксис команды, приведены по ссылке в разделе: Настройка общесистемных параметров.

Пример настройки

Задача:

Настроить system prompt в кластере маршрутизаторов ESR-1 и ESR-2 со следующими параметрами:

• необходимо получать информацию о статусе полной синхронизации кластера;

• необходимо получать информацию о номере юнита администрируемого устройства;

• необходимо получать информацию о роли устройства в кластере;

• необходимо получать информацию о статусе кластерного VRRP;

• необходимо получать информацию о hostname устройства.

Исходная конфигурация кластера:

Решение:

Перейдем в режим конфигурирования устройства:

Добавим в system prompt информацию о статусе полной синхронизации кластера:

Добавим в system prompt информацию о номере юнита администрируемого устройства:

Добавим в system prompt информацию о роли устройства в кластере:

Добавим в system prompt информацию о статусе кластерного VRRP:

Добавим в system prompt информацию о hostname устройства:

Применим конфигурацию и обновим пользовательскую сессию CLI:

Обновим пользовательскую сессию CLI на втором устройстве:

Настройка MultiWAN

Технология MultiWAN позволяет организовать отказоустойчивое соединение с резервированием линков от нескольких провайдеров, а также решает проблему балансировки трафика между резервными линками.

С алгоритмом настройки MultiWAN можно ознакомиться по ссылке в разделе: Алгоритм настройки MultiWAN.

Пример настройки

Задача:

Настроить MultiWAN в кластере маршрутизаторов ESR-1 и ESR-2 со следующими параметрами:

• обеспечить резервирование линков от нескольких провайдеров;

• обеспечить балансировку трафика в соотношении 70/30.

Image AddedРисунок 2 — Схема реализации MultiWAN

Исходная конфигурация кластера:

Создадим локальную зону безопасности и зону безопасности в сторону интернета:

Создадим список IP-адресов для проверки целостности соединения:

Настроим интерфейсы в зону TRUSTED: 

Настроим интерфейсы в зону ISP1: 

Настроим интерфейсы в зону ISP2: 

Укажем статический маршрут и создадим правило для балансировки трафика:

Разрешим работу протокола VRRP и протокола ICMP в зоне ISP1_ISP2 и TRUSTED:

Проверить состояние можно с помощью команды:

Настройка IPsec VPN

IPsec — это набор протоколов, обеспечивающих защиту данных, передаваемых по протоколу IP. Данный набор протоколов позволяет осуществлять подтверждение подлинности (аутентификацию), проверку целостности и шифрование IP-пакетов, а также включает в себя протоколы для защищённого обмена ключами в сети Интернет.
IPsec представляет собой совокупность протоколов, предназначенных для защиты данных, передаваемых по IP. Данный набор обеспечивает аутентификацию, проверку целостности и шифрование IP-пакетов, а также включает механизмы для безопасного обмена ключами в сети Интернет.

С алгоритмом настройки IPsec VPN можно ознакомиться по ссылке в разделе: Алгоритм настройки IPsec VPN.

Пример настройки

Задача:

• обеспечить безопасность данных, передаваемых между LAN-сетями, посредством использования протокола IPsec, предоставляющего аутентификацию, проверку целостности и шифрование IP-пакетов;

• обеспечить, чтобы IPsec применялся для шифрования VTI-туннеля;

• создать зашифрованный IPsec-туннель, основанный на VIP IP-адресе.

Image Added

Рисунок 3 — Схема реализации IPsec VPN

Исходная конфигурация кластера:

Решение:

Сконфигурируем необходимые сетевые интерфейсы для подключения к провайдеру с указанием их принадлежности к зоне безопасности:

Создадим профиль ISAKMP-портов, необходимых для работы протокола IPsec, включающий разрешение UDP-пакетов на порту 500 (а также на порту 4500 для поддержки NAT-T при необходимости), что обеспечит корректный обмен ключами и установление защищённого туннеля:

Добавим правило, разрешающее прохождение пакетов протокола ESP, а также UDP-пакетов с портами 500 и 4500, через IPsec-туннель:

Создадим туннель VTI, через который будет перенаправляться трафик в IPsec-туннель. В качестве локального шлюза назначим VIP IP-адрес, а в качестве удалённого шлюза – IP-адрес соответствующего интерфейса:

Добавим правило, разрешающее прохождение ICMP-трафика через туннель:

Создадим профиль протокола IKE, в котором зададим следующие параметры безопасности: группу Диффи-Хэллмана 2, алгоритм шифрования AES 128 bit и алгоритм аутентификации MD5. Данные настройки обеспечивают надежную защиту IKE-соединения:

Создайте политику протокола IKE. В политике указывается список профилей протокола IKE, по которым могут согласовываться узлы и ключ аутентификации:

Создадим шлюз протокола IKE с указанием VTI-туннеля, применимой политики, версии протокола и режима перенаправления трафика в туннель. Для route-based IPsec поддержка MOBIKE отключается в обязательном порядке:

Создадим профиль параметров безопасности для IPsec-туннеля, в котором укажем алгоритм шифрования AES 128 bit и алгоритм аутентификации MD5, обеспечивая надежную защиту передаваемых данных:

Создадим политику для IPsec-туннеля, в которой укажем перечень профилей IPsec-туннеля, используемых для согласования параметров безопасности между узлами:

Создадим IPsec VPN, в котором задаются следующие параметры: шлюз IKE-протокола, политика IPsec-туннеля, режим обмена ключами и способ установления соединения:

Просмотр состояния туннеля осуществляется с помощью следующей команды:

Посмотреть состояние IPsec-туннеля можно с помощью команды:

Посмотреть список и параметры подключившихся к IPsec-VPN-клиентов можно с помощью команды:

Посмотреть конфигурацию IPsec-VPN можно с помощью следующей команды:

Настройка Firewall-failover

Firewall failover необходим для резервирования сессий Firewall.  

С алгоритмом настройки Firewall-failover можно ознакомиться по ссылке в разделе: Алгоритм настройки Firewall-failover.

Пример настройки

Задача:

Настроить Firewall-failover в кластере маршрутизаторов ESR-1 и ESR-2 со следующими параметрами:

• режим резервирования сессий unicast;

• номер UDP-порта службы резервирования 9999;

• клиентская подсеть: 192.0.2.0/24.

Image Added

Рисунок 3 — Схема реализации Firewall-failover

Исходная конфигурация кластера:

Решение:

Сконфигурируем object-group для настройки failover-сервисов:

Перейдем к выбору IP-адреса сетевого интерфейса, с которого будут отправляться сообщения при работе failover-сервисов, указав созданную object-group:

Настроим IP-адреса соседа при работе failover-сервисов, указав созданную object-group:

Укажем VRRP-группу, на основе которой определяется состояние (основной/резервный) маршрутизатора при работе failover-сервисов:

Для настройки правил зон безопасности создадим профиль для порта Firewall-failover:

Создадим разрешающие правило для зоны безопасности SYNC, разрешив прохождение трафика Firewall-failover:

Выполним настройку Firewall-failover. Настроим режим резервирования сессий unicast:

Настроим номер UDP-порта службы резервирования сессий Firewall:

Включим резервирование сессий Firewall:

После успешного запуска Firewall-failover можно посмотреть состояние резервирования сессий Firewall с помощью следующей команды:

Также возможно узнать текущее состояние Firewall-failover сервиса, выполнив команду:    

Настройка DHCP-failover

DHCP-failover позволяет обеспечить высокую доступность службы DHCP.

С алгоритмом настройки DHCP-failover можно ознакомиться по ссылке в разделе: Алгоритм настройки DHCP-failover.

Пример настройки

Задача:

Настроить DHCP-failover в кластере маршрутизаторов ESR-1 и ESR-2 со следующими параметрами:

• в качестве default-router используется IP-адрес VRRP;

• в качестве dns-server используется IP-адрес VRRP;

• установить в качестве необходимого режима работы резервирования active-standby;

• клиентская подсеть: 192.0.2.0/24.

Image Added

Рисунок 4 — Схема реализации DHCP-failover

Исходная конфигурация кластера:

Решение:

Выполним настройку DHCP-сервера. В качестве default-router и dns-server используется IP-адрес VRRP:

Разрешим получение DHCP-адресов:

Сконфигурируем object-group для настройки failover-сервисов:

Перейдем к выбору IP-адреса сетевого интерфейса, с которого будут отправляться сообщения при работе failover-сервисов, указав созданную object-group:

Настроим IP-адреса соседа при работе failover-сервисов, указав созданную object-group:

Укажем VRRP-группу, на основе которой определяется состояние (основной/резервный) маршрутизатора при работе failover-сервисов:

Перейдем к настройке резервирования DHCP-сервера:

Установим режим работы резервирования:

Включим DHCP-failover:

Посмотреть состояние резервирования DHCP-сервера можно с помощью команды:

Посмотреть состояние резервирования сессий DHCP можно с помощью команды:

Выданные адреса DHCP можно просмотреть с помощью команды:

Пример настройки нескольких DHCP-failover, каждый в своем VRF

Задача:

Настроить два экземпляра DHCP-failover, каждый в своём VRF, в кластере маршрутизаторов ESR-1 и ESR-2 со следующими параметрами:

• в качестве default-router используется IP-адрес VRRP;

• в качестве dns-server используется IP-адрес VRRP;

• установить в качестве необходимого режима работы резервирования active-standby;

• настроить приоритеты у разных DHCP-failover так, чтобы один был Master в одном VRF, а в другом был Backup;

• клиентская подсеть в VRF FRST_ACTIVE: 192.0.2.0/24;

• клиентская подсеть в VRF SEC_ACTIVE: 203.0.113.0/24.

Image Added

Рисунок 4 — Схема реализации DHCP-failover

Исходная конфигурация кластера:

Решение:

Выполним настройку DHCP-серверов. В качестве default-router и dns-server используется IP-адрес VRRP:

Разрешим получение DHCP-запросов из клиентских подсетей:

Сконфигурируем object-group для настройки DHCP failover-сервисов:

Перейдем к настойке ip failover для каждого VRF, настроим там local-address/remote-address и укажем привязки к соответствующим VRRP-group, на основе которых будет определяться, кто из маршрутизаторов будет выдавать адреса:

Перейдем к настройке DHCP-failover, каждый в своем VRF. Для каждого экземпляра необходимо указать режим работы Active-Standby, а также включить его:

Разрешим в настройках firewall работу dhcp-failover в соответствующих зонах:

Посмотреть статус работы DHCP-failover можно с помощью команды, один из экземпляров должен быть в Role - Master, второй в Role - Backup:

Также статусы работы DHCP-серверов можно посмотреть с помощью команды:

Выданные адреса DHCP можно просмотреть с помощью команды:

Настройка SNMP

Протокол SNMP (Simple Network Management Protocol) реализует модель «менеджер–агент» для централизованного управления сетевыми устройствами: агенты, установленные на устройствах, собирают данные, структурированные в MIB, а менеджер запрашивает информацию, мониторит состояние сети, контролирует производительность и вносит изменения в конфигурацию оборудования.

С алгоритмом настройки можно ознакомиться по ссылке в разделе: Настройка SNMP-сервера и отправки SNMP TRAP.

Image Added

Рисунок 5 — Схема реализации SNMP

Пример настройки

Задача:

• обеспечить возможность мониторинга сети через management-интерфейс каждого устройства в кластере:
• обеспечить возможность мониторинга состояния сети и внесения изменений в конфигурацию устройства, выполняющего роль VRRP Master;
• устройство управления (MGMT) доступно по IP-адресу 192.0.2.12.

...