...
| Блок кода |
|---|
R1(config)#interface gi 1/0/5.50 R1(config-subifif-sub)# vrrp id 10 |
| Scroll Pagebreak |
|---|
| Блок кода |
|---|
R1(config-subifif-sub)# vrrp ip 192.168.1.1 |
Включим VRRP:
| Блок кода |
|---|
R1(config-subifif-sub)# vrrp R1(config-subifif-sub)# exit |
После чего необходимо произвести аналогичные настройки на R2.
...
| Блок кода |
|---|
R1(config-sub)#interface gi 1/0/5.50 R1(config-subifif-sub)# vrrp id 10 |
Укажем IP-адрес виртуального шлюза 192.168.1.1:
| Блок кода |
|---|
R1(config-subifif-sub)# vrrp ip 192.168.1.1 |
| Scroll Pagebreak |
|---|
Укажем идентификатор VRRP-группы:
| Блок кода |
|---|
R1(config-subifif-sub)# vrrp group 5 |
Включим VRRP:
| Блок кода |
|---|
R1(config-subifif-sub)# vrrp R1(config-subifif-sub)# exit |
Настроим VRRP для подсети 192.168.20.0/24 в созданном саб-интерфейсе.
...
| Блок кода |
|---|
R1(config-sub)#interface gi 1/0/6.60 R1(config-subifif-sub)# vrrp id 20 |
Укажем IP-адрес виртуального шлюза 192.168.20.1:
| Блок кода |
|---|
R1(config-subifif-sub)# vrrp ip 192.168.20.1 |
Укажем идентификатор VRRP-группы:
| Блок кода |
|---|
R1(config-subifif-sub)# vrrp group 5 |
Включим VRRP:
| Блок кода |
|---|
R1(config-subifif-sub)# vrrp R1(config-subifif-sub)# exit |
Произвести аналогичные настройки на R2.
| Примечание |
|---|
Помимо создания туннеля необходимо в firewall разрешить протокол VRRP (112). |
| Примечание |
|---|
При использовании IPsec с VRRP рекомендуется настраивать DPD для ускорения перестроения IPsec-туннеля. |
| Scroll Pagebreak |
|---|
...
Шаг | Описание | Команда | Ключи |
|---|---|---|---|
1 | Настроить VRRP согласно разделу Управление резервированием#Алгоритм Алгоритм настройки VRRP или настроить SLA по инструкции Настройка SLA. |
| |
2 | Добавить в систему Tracking-объект и перейти в режим настройки параметров Tracking-объекта. | esr(config)# track <ID> | <ID> – номер Tracking-объекта, принимает значения [1..100]. |
3 | Задать правило слежения за VRRP/SLA-процессами, на основании которых Tracking-объект будет переходить в активное состояние. | esr(config-track)# track vrrp id <VRID> state [not] { master | backup | fault } [vrf <VRF> ] | <VRID> – идентификатор отслеживаемого VRRP-маршрутизатора, принимает значения [1..255]; |
| esr(config-track)# track sla test <NUM> [ mode <MODE> ] | <NUM> – номер SLA-теста, задается в диапазоне [1..10000]; <MODE> –режим слежения заsla-тестом,может принимать значения:
| ||
4 | Включить Tracking-объект. | esr(config-track)# enable | |
| 5 | Установить задержку смены состояния отслеживаемого объекта (не обязательно). | esr(config-track)# delay { down | up } <TIME> | <TIME> – время задержки в секундах, задается в диапазоне [1..300]. |
| 6 | Задать режим работы track (не обязательно). | esr(config-track)# mode <MODE> | <MODE> – условие нахожденияобъекта отслеживания в активном состоянии,принимает значения:
|
| 7 | Cоздать сущность на ESR, которая будет меняться в зависимости от состояния Tracking-объекта. | ||
7.1 | Добавить возможность управления статическим IP-маршрутом к указанной подсети (не обязательно). | esr(config)# ip route [ vrf <VRF> ] <SUBNET> { <NEXTHOP> [ resolve ] | | <VRF> – имя экземпляра VRF, задается строкой до 31 символа; <SUBNET> – адрес назначения, может быть задан в следующих видах: AAA.BBB.CCC.DDD – IP-адрес хоста, где каждая часть принимает значения [0..255]; AAA.BBB.CCC.DDD/NN – IP-адрес подсети с маской в виде префикса, где AAA-DDD принимают значения [0..255] и NN принимает значения [1..32]. <NEXTHOP> – IP-адрес шлюза задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255];
<IF> – имя IP-интерфейса, задаётся в виде, описанном в разделе Типы и порядок именования интерфейсов маршрутизатора; <TUN> – имя туннеля, задаётся в виде, описанном в разделе Типы и порядок именования туннелей маршрутизатора; <RULE> – номер правила wan, задаётся в диапазоне [1..50];
[METRIC] – метрика маршрута, принимает значения [0..255]; <TRACK-ID> – идентификатор Tracking-объекта. Если маршрут привязан к Tracking-объекту, то он появится в системе только при выполнении всех условий, заданных в объекте. |
| 7.2 | Добавить возможность управления логическим состоянием интерфейса (не обязательно). | esr(config-if-gi)# shutdown track <ID> | <ID> – номер Tracking-объекта, принимает значения [1..100]. |
| 7.3 | Добавить возможность управления приоритетом VRRP-процесса (не обязательно). | esr(config-if-gi)# vrrp priority track <ID> { <PRIO> | increment <INC> | decrement <DEC> } | <ID> – номер Tracking-объекта, принимает значения в диапазоне [1..100]; <PRIO> – приоритет VRRP-процесса, который выставится, если Tracking-объект будет в активном состоянии, принимает значения в диапазоне [1..254]; <INC> – значение на которое увеличится приоритет VRRP-процесса, если Tracking-объект будет в активном состоянии, принимает значения в диапазоне [1..254]; <DEC> – значение на которое уменьшится приоритет VRRP-процесса, если Tracking-объект будет в активном состоянии, принимает значения в диапазоне [1..254]. |
| 7.4 | Добавить возможность управления Next-Hop для пакетов, которые попадают под критерии в указанном списке доступа (ACL) (не обязательно). | esr(config-route-map-rule)# action set ip next-hop verify-availability <NEXTHOP> <METRIC> track <ID> | <NEXTHOP> – IP-адрес шлюза, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255]; <METRIC> – метрика маршрута, принимает значения [0..255]; <ID> – номер Tracking-объекта, принимает значения [1..100]. |
| 7.5 | Добавить возможность управления атрибутом BGP AS-Path, которое будет добавляться в начало списка AS-Path (не обязательно). | esr(config-route-map-rule)# action set as-path | <AS-PATH> – список номеров автономных систем, который будет добавлен к текущему значению в маршруте. Задаётся в виде AS,AS,AS, принимает значения [1..4294967295]; <ID> – номер Tracking-объекта, принимает значения [1..100]. |
| 7.6 | Добавить возможность управления атрибутом BGP MED в маршруте, для которого должно срабатывать правило (не обязательно). | esr(config-route-map-rule)# action set metric bgp { <METRIC> | increment <INC> | decrement <DEC> } track <ID> [ default { <METRIC> | increment <INC> | decrement <DEC> } ] | <ID> – номер Tracking-объекта, принимает значения [1..100]; <METRIC> – значение атрибута BGP MED, принимает значения [0..4294967295]; <INC> – значение, на которое увеличится атрибут BGP MED, если Tracking-объект будет в активном состоянии. Принимает значения [0..4294967295]; <DEC> – значение, на которое уменьшится атрибут BGP MED, если Tracking-объект будет в активном состоянии. Принимает значения [0..4294967295]; |
...
Алгоритм настройки
Шаг | Описание | Команда | Ключи | |||||
|---|---|---|---|---|---|---|---|---|
| 1 | Выбор режима обмена информацией между маршрутизаторами. | ip firewall failover sync-type <MODE> | <MODE> – режим обмена информацией:
| 2 | Выбор IP-адреса сетевого интерфейса, с которого будут отправляться сообщения при работе Firewall в режиме резервирования сессий. | ip firewall failover source-address <ADDR>Перед настройкой сервисов резервирования необходимо настроить общие параметры failover. | ||
| 2 | Переход в конфигурационное меню общих настроек failover-сервисов. | esr(config)# ip failover [ vrf <VRF> ] | <VRF> – имя VRF, задается строкой до 31 символа. | |||||
| 3 | Установка IP-адреса, на котором failover-сервисы принимают failover-сообщения при работе в режиме резервирования. | esr(config-failover)# local-address { <ADDR> | object-group <NETWORK_OBJ_GROUP_NAME> } | <ADDR> – IP-адрес сетевого интерфейса, с которого будут отправляться сообщения,задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255]; <NETWORK_OBJ_GROUP_NAME> – список адресов, которые будут использоваться в качестве local address. | |||||
| 4 | Настройка Установка многоадресного IP-адреса соседа , который будет использоваться для обмена информацией при работе резервирования сессий Firewall в unicastfailover-сервисов в multicast-режиме. | ip firewall failover destinationesr(config-failover)# multicast-address <ADDR> | <ADDR> – IP-адрес соседа, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].Настройка многоадресного IP-адреса, который будет использоваться для обмена информации при работе резервирования сессий Firewall ; | |||||
| 5 | Установка идентификатора multicast-группы для обмена информацией при работе резервирования failover-сервисов в multicast-режиме. | ip firewall failover multicast-address <ADDR> | <ADDR> – многоадресный esr(config-failover)# multicast-group <GROUP> | <GROUP> – multicast-группа, указывается в диапазоне [1000..9999]. | ||||
| 6 | Установка IP-адреса, на который failover-сервисы отправляют failover-сообщения при работе в режиме резервирования. | esr(config-failover)# remote-address { <ADDR> | object-group <NETWORK_OBJ_GROUP_NAME> } | <ADDR> – IP-адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255]; <NETWORK_OBJ_GROUP_NAME> – список адресов, которые будут использоваться в качестве local address. | |||||
| 4 | Если резервирование сессий Firewall работает в multicast-режиме, то необходимо настроить идентификатор multicast-группы. | ip firewall failover multicast-group <GROUP> | <GROUP> – multicast-группа, указывается в диапазоне [1000..9999]. | |||||
| 5 | 7 | Выбор VRRP-группы, по состоянию которой будет определятся мастерство при работе failover-сервисов в режиме Active-Standby. | esr(config-failover)# vrrp-group <GRID> | <GRID> – идентификатор группы VRRP-маршрутизатора, принимает значения [1..32]. | ||||
| 8 | Переход в конфигурационное меню настроек Firewall failover. | esr(config)# ip firewall failover | ||||||
9 | Выбор режима обмена информацией между маршрутизаторами. | esr(config-firewall-failover)# sync-type <MODE> | <MODE> – режим обмена информацией:
| |||||
| 10 | Настройка номера UDP-порта службы резервирования сессий Firewall, через который происходит обмен информацией при работе в unicast-режиме (не обязательно). | ip esr(config-firewall-failover)# port <PORT> | <PORT> – номер порта службы резервирования сессий Firewall, указывается в диапазоне [1..65535]. | |||||
| 6 | Привязка VRRP-группы, на основе которой определяется состояние (основной/резервный) маршрутизатора при резервировании сессий Firewall (не обязательно). | ip firewall failover vrrp-group <GRID> | <GRID> – идентификатор группы VRRP-маршрутизатора, принимает значения [1..32]. | |||||
| 7 | 11 | Включение резервирования сессий Firewall. | ip esr(config-firewall-failover)# enable | |||||
| Примечание |
|---|
При настройке firewall failover также будут синхронизироваться NAT-сессии между устройствами. |
Пример настройки
Задача:
Настроить резервирование сессий firewall для VRRP-группы в unicast-режиме. Необходимо организовать резервирование для двух подсетей с помощью протокола VRRP, синхронизировать vrrp-процессы на маршрутизаторах.
...
3) Необходимо настроить зону безопасности для протокола vrrp и протокола udp.
Решение:
Настроим маршрутизатор ESR-1 (master).
...
После чего необходимо включить vrrp-процесс с помощью команды "vrrp".
| Примечание |
|---|
Вместо настройки vrrp настройки vrrp preempt delay есть delay есть возможность выбора режима работы vrrp preempt disable, в результате которого маршрутизатор с более высоким vrrp-приоритетом не будет забирать мастерство у маршрутизатора с более низким vrrp-приоритетом после возвращения в работу. |
| Примечание |
|---|
На маршрутизаторе необходимо установить принадлежность vrrp-процессов к одной группе для синхронизации состоянии vrrp-процессов (master, backup), а также для синхронизации сессий vrrp-процессов с помощью firewall failover. |
| Блок кода |
|---|
master(config)# interface gigabitethernet 1/0/1 master(config-if-gi)# vrrp id 1 master(config-if-gi)# vrrp ip 192.0.2.1/24 master(config-if-gi)# vrrp priority 20 master(config-if-gi)# vrrp group 1 master(config-if-gi)# vrrp preempt delay 60 master(config-if-gi)# vrrp master(config-if-gi)# exit master(config)# interface gigabitethernet 1/0/3 master(config-if-gi)# vrrp id 3 master(config-if-gi)# vrrp ip 198.51.100.1/24 master(config-if-gi)# vrrp priority 20 master(config-if-gi)# vrrp group 1 master(config-if-gi)# vrrp preempt delay 60 master(config-if-gi)# vrrp master(config-if-gi)# exit |
Настроим firewall failover. Выберем режим резервирование сессий unicastобщие параметры failover:
| Блок кода |
|---|
master(config)# ip firewall failover sync-type unicast |
Выберем IP-адреса сетевого интерфейса, с которого будут отправляться сообщения при работе Firewall в режиме резервирования сессий:
| Блок кода |
|---|
master(config-failover)# ip firewall failover sourcelocal-address 203.0.113.1 |
Настроим IP-адреса соседа при работе резервирования сессий Firewall в unicast-режиме:
| Блок кода |
|---|
master(config-failover)# ip firewall failover destinationremote-address 203.0.113.2 |
...
master(config-failover)# vrrp-group 1
master(config-failover)# exit |
Настроим firewall failover.
Выберем режим резервирование сессий unicast:
| Блок кода |
|---|
master(config)# ip firewall failover port 3333 |
...
master(config-firewall-failover)# sync-type unicast |
Настроим номер UDP-порта службы резервирования сессий Firewall:
| Блок кода |
|---|
master(config-firewall-failover)# ip firewall failover vrrp-group 1port 3333 |
Включим резервирования сессий Firewall:
| Блок кода |
|---|
master(config-firewall-failover)# ipenable firewall failover |
Для настройки правил зон безопасности потребуется создать профиль для порта firewall failover:
| Блок кода |
|---|
master(config)# object-group service failover master(config-object-group-service)# port-range 3333 master(config-object-group-service)# exit |
Scroll Pagebreak
Дополнительно в security zone-pair trusted self необходимо разрешить следующие протоколы:
| Блок кода |
|---|
master(config)# security zone-pair trusted self master(config-zone-pair)# rule 66 master(config-zone-pair-rule)# action permit master(config-zone-pair-rule)# match protocol vrrp master(config-zone-pair-rule)# enable master(config-zone-pair-rule)# exit master(config-zone-pair)# rule 67 master(config-zone-pair-rule)# action permit master(config-zone-pair-rule)# match protocol udp master(config-zone-pair-rule)# match destination-port failover master(config-zone-pair-rule)# enable master(config-zone-pair-rule)# exit master(config-zone-pair)# exit |
| Scroll Pagebreak |
|---|
...
| Блок кода |
|---|
master# show high-availability state
AP Tunnels:
State: Disabled
Last state change: --
DHCP server:
State: Disabled
Last state change: --
Firewall sessions:
State: successful synchronization
Last synchronization: 09:38:00 05.08.2021 |
| Scroll Pagebreak |
|---|
Настроим маршрутизатор ESR-2 (backup).
...
| Блок кода |
|---|
backup(config)# ip firewall failover sync-type unicast backup(config-failover)# ip firewall failover sourcelocal-address 203.0.113.2 backup(config-failover)# ip firewall failover destinationremote-address 203.0.113.1 backup(config-failover)# ipvrrp-group firewall1 backup(config-failover)# portexit 3333 backup(config)# ip firewall failover vrrp-group 1 backup(config-firewall-failover)# sync-type unicast backup(config-firewall-failover)# ip firewall failoverport 3333 backup(config-firewall-failover)# enable |
Настройка зоны безопасности аналогична настройки на маршрутизаторе ESR-1 (master).
...
DHCP failover используется для резервирования базы IP-адресов, которые были динамически выданы в процессе работы DHCP-server.
Алгоритм настройки
Шаг | Описание | Команда | Ключи |
|---|---|---|---|
| 1 | Перед настройкой сервисов резервирования необходимо настроить общие параметры failover. | ||
| 2 | Переход в конфигурационное меню |
| общих настроек failover-сервисов. |
| esr(config)# ip failover [ vrf <VRF> ] | <VRF> |
| – имя VRF, задается строкой до 31 символа; |
active-active – режим работы с двумя активными маршрутизаторами;
active-standby – режим работы с одним активным маршрутизатором и одним резервным.
| 3 | Установка IP-адреса, на котором failover-сервисы принимают failover-сообщения при работе в режиме резервирования. | esr(config-failover)# local-address { <ADDR> | object-group <NETWORK_OBJ_GROUP_NAME> } | <ADDR> – IP-адрес |
, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255]; <NETWORK_OBJ_GROUP_NAME> – список адресов, которые будут использоваться в качестве local address. |
| 4 |
| Установка IP-адреса |
| , на который failover сервисы отправляют failover-сообщения при работе в режиме резервирования. | esr(config-failover)# remote-address { <ADDR> | object-group <NETWORK_OBJ_GROUP_NAME> } | <ADDR> – IP-адрес |
, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255]; <NETWORK_OBJ_GROUP_NAME> – список адресов, которые будут использоваться в качестве local address. | |||
| 5 | Выбор VRRP-группы, по состоянию которой будет определятся мастерство при работе failover сервисов в режиме Active-Standby. | esr(config-failover)# vrrp-group <GRID> | <GRID> – идентификатор группы VRRP-маршрутизатора, принимает значения [1..32]. |
6 | Переход в конфигурационное меню DHCP failover для его настройки. | esr(config)# ip dhcp-server failover [ vrf <VRF> ] | <VRF> – имя VRF, задается строкой до 31 символа; |
| 7 | Выбор режима работы DHCP failover. | esr(config-dhcp-server-failover)# mode { active-active | active-standby } | active-active – режим работы с двумя активными маршрутизаторами; active-standby – режим работы с одним активным маршрутизатором и одним резервным. |
| 8 | Настройка роли DHCP failover, при работе резервирования в режиме Active-Active. | esr(config-dhcp-server-failover)# role <ROLE> |
<ROLE> – роль DHCP-сервера при работе в режиме резервирования:
|
| 9 | Включение резервирования DHCP failover. | esr(config-dhcp-server-failover)# enable |
| Примечание |
|---|
Режим active-standby не поддержан в VRF. |
Пример настройки
Задача:
Настроить резервирование DHCP-сервера в режиме Active-Standby. Необходимо организовать резервирование для двух подсетей с помощью протокола VRRP, синхронизировать vrrp-процессы на маршрутизаторах.
...
После чего необходимо включить vrrp-процесс с помощью команды "vrrp".
| Примечание |
|---|
Вместо настройки vrrp preempt delay есть возможность выбора режима работы vrrp preempt disable, в результате которого маршрутизатор с более высоким vrrp-приоритетом не будет забирать мастерство у маршрутизатора с более низким vrrp-приоритетом после возвращения в работу. |
| Примечание |
|---|
На маршрутизаторе необходимо установить принадлежность vrrp-процессов к одной группе для синхронизации состоянии vrrp-процессов (master, backup). |
| Блок кода |
|---|
master(config)# interface gigabitethernet 1/0/1 master(config-if-gi)# vrrp id 1 master(config-if-gi)# vrrp ip 192.0.2.1/24 master(config-if-gi)# vrrp priority 20 master(config-if-gi)# vrrp group 1 master(config-if-gi)# vrrp master(config-if-gi)# exit master(config)# interface gigabitethernet 1/0/3 master(config-if-gi)# vrrp id 3 master(config-if-gi)# vrrp ip 198.51.100.1/24 master(config-if-gi)# vrrp priority 20 master(config-if-gi)# vrrp group 1 master(config-if-gi)# vrrp master(config-if-gi)# exit |
...
| Блок кода |
|---|
master(config)# ip dhcp-server pool LAN master(config-dhcp-server)# network 192.0.2.0/24 master(config-dhcp-server)# address-range 192.0.2.10-192.0.2.20 master(config-dhcp-server)# exit master(config)# ip dhcp-server master(config)# ip dhcp-server failover master(config-dhcp-server-failover)# mode activelocal-standby address 203.0.113.1 master(config-dhcp-server-failover)# localremote-address 203.0.113.12 master(config-dhcp-serverfailover)# vrrp-group 1 master(config-failover)# remote-address 203.0.113.2 exit master(config)# ip dhcp-server failover master(config-dhcp-server-failover)# vrrpmode active-groupstandby 1 master(config-dhcp-server-failover)# enable master(config-dhcp-server-failover)# exit |
| Примечание |
|---|
Для запуска DHCP failover необходимо предварительно настроить и включить DHCP-server, который будет резервироваться. |
Для настройки правил зон безопасности потребуется создать профиль для порта DHCP failover:
| Блок кода |
|---|
master(config)# object-group service dhcp_failover master(config-object-group-service)# port-range 873 master(config-object-group-service)# exit |
| Примечание |
|---|
DHCP failover для синхронизации использует TCP-порт 873, его необходимо разрешить при настройке firewall. |
Дополнительно в security zone-pair trusted self необходимо разрешить следующие протоколы:
...
| Блок кода |
|---|
master# show high-availability state
AP Tunnels:
State: Disabled
Last state change: --
DHCP option 82 table:
State: Disabled
Last state change: --
DHCP server:
VRF: --
State: Successful synchronization
State: Disabled
Last synchronization: -- |
| Примечание |
|---|
Для успешной синхронизации сервиса DHCP failover на устройствах должно быть выставлено идентичное время. |
| Scroll Pagebreak |
|---|
...
| Блок кода |
|---|
backup(config)# ip dhcp-server pool LAN backup(config-dhcp-server)# network 192.0.2.0/24 backup(config-dhcp-server)# address-range 192.0.2.10-192.0.2.20 backup(config-dhcp-server)# exit backup(config)# ip dhcp-server backup(config)# ip failover backup(config-failover)# local-address 203.0.113.2 backup(config-failover)# remote-address 203.0.113.1 backup(config-failover)# vrrp-group 1 backup(config-failover)# exit backup(config)# ip dhcp-server failover backup(config-dhcp-server-failover)# mode active-standby backup(config-dhcp-server-failover)# local-address 203.0.113.2 backup(config-dhcp-server-failover)# remote-address 203.0.113.1 backup(config-dhcp-server-failover)# vrrp-group 1 backup(config-dhcp-server-failover)# enable backup(config-dhcp-server-failover)# exit |
...
enable
backup(config-dhcp-server-failover)# exit |
Настройка зоны безопасности аналогична настройке на маршрутизаторе ESR-1 (master).Scroll Pagebreak
Настройка Cluster
Cluster используется для резервирования работы устройств в сети. Резервирование обеспечивается за счет синхронизации работы различных сервисов между устройствами, а также за счет организации единой точки управления устройствами.
Алгоритм настройки
Шаг | Описание | Команда | Ключи |
|---|---|---|---|
1 | Перейти в режим конфигурирования кластера. | esr(config)# cluster | |
| 2 | Установить интерфейс, через который будет происходить обмен служебными сообщениями между юнитами в кластере. | esr(config-cluster)# cluster-interface bridge [<BRIDGE-ID>] | <BRIDGE-ID> – идентификационный номер моста, задается в виде, описанном в разделе Типы и порядок именования интерфейсов маршрутизатора. |
| 3 | Отключить синхронизацию конфигураций в кластере между юнитами (не обязательно). | esr(config-cluster)# sync config disable | |
| 4 | Перейти в режим конфигурирования юнита в кластере. | esr(config-cluster)# unit <ID> | <ID> – номер юнита, принимает значения [1..2]. |
| 5 | Настроить MAC-адрес для определенного юнита. | esr(config-cluster-unit)# mac-address <ADDR> | <ADDR> – МАС-адрес сетевого моста, задаётся в виде XX:XX:XX:XX:XX:XX, где каждая часть принимает значения [00..FF]. |
| 6 | Включить работу кластера. | esr(config-cluster)# enable |
| Примечание |
|---|
В данной версии в качестве cluster-interface поддержан только bridge. |
| Примечание |
|---|
Данные между юнитами кластера через канал синхронизации передаются в открытом виде. Также все вводимые команды конфигурирования, содержащие чувствительную информацию не в encrypted-виде, будут переданы в том же виде, в котором введены, после чего будут преобразованы в encrypted-вид. |
| Scroll Pagebreak |
|---|
Пример настройки
Задача:
Настроить кластер в режиме Active-Standby.
Основные этапы решения задачи:
1) Настроить IP-адресацию, VRRP и firewall для интерфейсов.
2) Настроить cluster-interface.
3) Настроить cluster.
4) Проверить работу cluster с помощью show-команд.
Решение:
| Примечание |
|---|
Настроить cluster можно двумя способами: 1) Настроить каждый unit отдельно. 2) Настроить один unit, а затем второй включить в cluster по ZTP. В случае отдельной настройки необходимо сменить unit на одном из устройств так, чтобы одно из устройств было unit 1, а другое unit 2. |
Пример ручной настройки каждого unit отдельно:
1. Настройка IP-адресации, VRRP и firewall для интерфейсов.
На интерфейсах настройте IP-адрес, VRRP и определите принадлежность к зоне безопасности. В случае настройки кластера конфигурация является единой, поэтому ее нужно загрузить на оба устройства.
| Блок кода |
|---|
active(config)# security zone trusted
active(config-zone)# exit
active(config)# security zone untrusted
active(config-zone)# exit
active(config)# interface gigabitethernet 1/0/2
active(config-if-gi)# security-zone trusted
active(config-if-gi)# ip address 192.0.2.2/24
active(config-if-gi)# vrrp id 10
active(config-if-gi)# vrrp ip 192.0.2.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# interface gigabitethernet 1/0/3
active(config-if-gi)# security-zone untrusted
active(config-if-gi)# ip address 198.51.100.2/24
active(config-if-gi)# vrrp id 20
active(config-if-gi)# vrrp ip 198.51.100.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# interface gigabitethernet 2/0/2
active(config-if-gi)# security-zone trusted
active(config-if-gi)# ip address 192.0.2.3/24
active(config-if-gi)# vrrp id 10
active(config-if-gi)# vrrp ip 192.0.2.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# interface gigabitethernet 2/0/3
active(config-if-gi)# security-zone untrusted
active(config-if-gi)# ip address 198.51.100.3/24
active(config-if-gi)# vrrp id 20
active(config-if-gi)# vrrp ip 198.51.100.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# security zone-pair trusted self
active(config-zone-pair)# rule 10
active(config-zone-pair-rule)# action permit
active(config-zone-pair-rule)# match protocol vrrp
active(config-zone-pair-rule)# enable
active(config-zone-pair-rule)# exit
active(config-zone-pair)# exit
active(config)# security zone-pair untrusted self
active(config-zone-pair)# rule 10
active(config-zone-pair-rule)# action permit
active(config-zone-pair-rule)# match protocol vrrp
active(config-zone-pair-rule)# enable
active(config-zone-pair-rule)# exit
active(config-zone-pair)# exit |
| Scroll Pagebreak |
|---|
2. Настройка cluster-interface.
| Блок кода |
|---|
active(config)# bridge 10
active(config-bridge)# vlan 1
active(config-bridge)# ip address 203.0.113.1/29 unit 1
active(config-bridge)# ip address 203.0.113.2/29 unit 2
active(config-bridge)# vrrp id 30
active(config-bridge)# vrrp ip 203.0.113.3/29
active(config-bridge)# vrrp group 1
active(config-bridge)# vrrp preempt disable
active(config-bridge)# vrrp
active(config-bridge)# enable
active(config-bridge)# exit
active(config)# interface gigabitethernet 1/0/1
active(config-if-gi)# mode switchport
active(config-if-gi)# exit
active(config)# interface gigabitethernet 2/0/1
active(config-if-gi)# mode switchport
active(config-if-gi)# exit |
| Примечание |
|---|
Важными настройками являются: 1) ip address (необходимо указать для всех юнитов, которые будут участвовать в cluster), 2) vrrp id (должен быть единый для всех юнитов), 3) vrrp ip (должен быть из той же подсети, что и ip address). |
3. Настройка cluster.
| Блок кода |
|---|
active(config)# cluster
active(config-cluster)# cluster-interface bridge 10
active(config-cluster)# unit 1
active(config-cluster-unit)# mac-address e4:5a:d4:a0:be:35
active(config-cluster-unit)# exit
active(config-cluster)# unit 2
active(config-cluster-unit)# mac-address a8:f9:4b:af:35:84
active(config-cluster-unit)# exit
active(config-cluster)# enable
active(config-cluster)# exit |
| Примечание |
|---|
В качестве mac-address указывается MAC-адрес устройства, который можно узнать в show system. |
Посмотреть статус кластера можно командой:
| Блок кода |
|---|
active# show cluster status
Unit Hostname Role MAC address State IP address
---- -------------------- ---------- ----------------- -------------- ---------------
1* active Active e4:5a:d4:a0:be:35 Joined 203.0.113.1
2 standby Standby a8:f9:4b:af:35:84 Joined 203.0.113.2 |
| Scroll Pagebreak |
|---|
Посмотреть статус синхронизации различных подсистем в кластере между юнитами можно командой:
| Блок кода |
|---|
active# show cluster sync status
System part Synced
---------------------- ------
candidate-config Yes
running-config Yes
SW version Yes
licence Yes
licence (After reboot) Yes
date Yes |
Посмотреть лицензии юнитов можно командой:
| Блок кода |
|---|
active# show cluster-unit-licences
Serial number Features
--------------- ------------------------------------------------------------
NPXXXXXXXX BRAS,IPS,WIFI
NPYYYYYYYY BRAS,IPS,WIFI |
Также можно посмотреть используемые ПО для всех юнитов кластера:
| Блок кода |
|---|
active# show version
Unit Hostname Boot version SW version HW version
---- --------------- -------------------------------- -------------------------------------- ----------
1* active 1.24.x.x (2024-07-15 00:19:13) 1.24.x build x (2024-07-15 00:10:45) 1v5
2 standby 1.24.x.x (2024-07-15 00:19:13) 1.24.x build x (2024-07-15 00:10:45) 1v4 |
Пример настройки с ZTP:
1. Настройка IP-адресации, VRRP и firewall для интерфейсов на одном из устройств. В данном примере будет настроено устройство на unit 1.
Предварительно на интерфейсах настройте IP-адрес, VRRP и определите принадлежность к зоне безопасности.
| Блок кода |
|---|
active(config)# security zone trusted
active(config-zone)# exit
active(config)# security zone untrusted
active(config-zone)# exit
active(config)# interface gigabitethernet 1/0/2
active(config-if-gi)# security-zone trusted
active(config-if-gi)# ip address 192.0.2.2/24
active(config-if-gi)# vrrp id 10
active(config-if-gi)# vrrp ip 192.0.2.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# interface gigabitethernet 1/0/2
active(config-if-gi)# security-zone untrusted
active(config-if-gi)# ip address 198.51.100.2/24
active(config-if-gi)# vrrp id 20
active(config-if-gi)# vrrp ip 198.51.100.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# interface gigabitethernet 2/0/3
active(config-if-gi)# security-zone trusted
active(config-if-gi)# ip address 192.0.2.3/24
active(config-if-gi)# vrrp id 10
active(config-if-gi)# vrrp ip 192.0.2.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# interface gigabitethernet 2/0/3
active(config-if-gi)# security-zone untrusted
active(config-if-gi)# ip address 198.51.100.3/24
active(config-if-gi)# vrrp id 20
active(config-if-gi)# vrrp ip 198.51.100.1/24
active(config-if-gi)# vrrp group 1
active(config-if-gi)# vrrp preempt disable
active(config-if-gi)# vrrp
active(config-if-gi)# exit
active(config)# security zone-pair trusted self
active(config-zone-pair)# rule 10
active(config-zone-pair-rule)# action permit
active(config-zone-pair-rule)# match protocol vrrp
active(config-zone-pair-rule)# enable
active(config-zone-pair-rule)# exit
active(config-zone-pair)# exit
active(config)# security zone-pair untrusted self
active(config-zone-pair)# rule 10
active(config-zone-pair-rule)# action permit
active(config-zone-pair-rule)# match protocol vrrp
active(config-zone-pair-rule)# enable
active(config-zone-pair-rule)# exit
active(config-zone-pair)# exit |
| Scroll Pagebreak |
|---|
2. Настройка cluster-interface.
| Блок кода |
|---|
active(config)# bridge 10
active(config-bridge)# vlan 1
active(config-bridge)# ip address 203.0.113.1/29 unit 1
active(config-bridge)# ip address 203.0.113.2/29 unit 2
active(config-bridge)# vrrp id 30
active(config-bridge)# vrrp ip 203.0.113.3/29
active(config-bridge)# vrrp group 1
active(config-bridge)# vrrp preempt disable
active(config-bridge)# vrrp
active(config-bridge)# enable
active(config-bridge)# exit
active(config)# interface gigabitethernet 1/0/1
active(config-if-gi)# mode switchport
active(config-if-gi)# exit
active(config)# interface gigabitethernet 2/0/1
active(config-if-gi)# mode switchport
active(config-if-gi)# exit |
| Примечание |
|---|
Важными настройками являются: 1) ip address (необходимо указать для всех юнитов, которые будут участвовать в cluster), 2) vrrp id (должен быть единый для всех юнитов), 3) vrrp ip (должен быть из той же подсети, что и ip address). |
3. Настройка cluster.
| Блок кода |
|---|
active(config)# cluster
active(config-cluster)# cluster-interface bridge 10
active(config-cluster)# unit 1
active(config-cluster-unit)# mac-address e4:5a:d4:a0:be:35
active(config-cluster-unit)# exit
active(config-cluster)# unit 2
active(config-cluster-unit)# mac-address a8:f9:4b:af:35:84
active(config-cluster-unit)# exit
active(config-cluster)# enable
active(config-cluster)# exit |
| Примечание |
|---|
В качестве mac-address указывается MAC-адрес устройства, который можно узнать в show system. |
4. Подключите второе устройство на factory конфигурации через интерфейс, где включен dhcp-client. Устройство автоматически сменит unit, получит актуальное ПО и обновится на него, получит актуальную конфигурацию и лицензию.
Посмотреть статус кластера можно командой:
| Блок кода |
|---|
active# show cluster status
Unit Hostname Role MAC address State IP address
---- -------------------- ---------- ----------------- -------------- ---------------
1* active Active e4:5a:d4:a0:be:35 Joined 203.0.113.1
2 standby Standby a8:f9:4b:af:35:84 Joined 203.0.113.2 |
| Scroll Pagebreak |
|---|
Посмотреть статус синхронизации различных подсистем в кластере между юнитами можно командой:
| Блок кода |
|---|
active# show cluster sync status
System part Synced
---------------------- ------
candidate-config Yes
running-config Yes
SW version Yes
licence Yes
licence (After reboot) Yes
date Yes |
Посмотреть лицензии юнитов можно командой:
| Блок кода |
|---|
active# show cluster-unit-licences
Serial number Features
--------------- ------------------------------------------------------------
NPXXXXXXXX BRAS,IPS,WIFI
NPYYYYYYYY BRAS,IPS,WIFI |
Также можно посмотреть используемые ПО для всех юнитов кластера:
| Блок кода |
|---|
active# show version
Unit Hostname Boot version SW version HW version
---- --------------- -------------------------------- -------------------------------------- ----------
1* active 1.24.x.x (2024-07-15 00:19:13) 1.24.x build x (2024-07-15 00:10:45) 1v5
2 standby 1.24.x.x (2024-07-15 00:19:13) 1.24.x build x (2024-07-15 00:10:45) 1v4 |