高度なVRRPの設定

重要 -スケーラブルなプラットフォーム(MaestroとChassis)はこの機能をサポートしていません。 (既知の制限 MBS-2521）。

Advanced VRRPでは、インタフェースレベルでVirtual Routerを設定することができます。

ここでは、VRRP の詳細設定に直接関係する手順のみを紹介します。

VRRP クラスタを設定する一般的な手順については、次のセクションを参照してください。監視対象回路/簡易VRRP の設定。

Advanced VRRP では、設定したすべての VRRP インタフェースを監視するようにすべての仮想ルータを設定する必 要があります。

Advanced VRRP から Monitored Circuit/Simplified VRRP への変更

ステップ

手順

1

既存のVirtual Routerをすべて削除します。

2

手順に従ってVirtual Routerを新しく作成します。

Security GatewayがVRRP Masterの場合、バックアップアドレスをインタフェース間で移動させることはできません。

以下の手順で、必要なIPアドレスを持つインタフェースを削除し、新規に追加します。

ステップ

手順

1

VRRP Master から VRRP Backup へのフェイルオーバーを発生させます。

2

優先度を下げる、またはインタフェースを切断します。

3

インタフェース上のVirtual Routerを削除します。

4

新しいIPアドレスを使用して新しいVirtual Routerを作成します。

5

前回と同様にVirtual Routerを設定します。

Gaia Portal で高度な VRRP を設定する

ステップ

手順

1

ナビゲーションツリーで、High Availability >Advanced VRRPをクリックします。

2

VRRP グローバル設定 (VRRP クラスタの準備)。

3

Virtual Routersセクションで、Addをクリックします。

4

Add New Virtual Routerこのウィンドウで、次のパラメータを設定します。

 

  • Interface- 仮想ルーターのインタフェースを選択します。

 

  • Virtual Router ID- 仮想ルーターの ID 番号を入力または選択します。

 

  • Priority- 優先順位の値を入力または選択する。

    優先順位は、障害発生時にどのルータを引き継ぐかを決定するものです。優先順位の高いルータが新しいVRRP Masterとなります。優先度の値の範囲は、1～254 です。デフォルト値は 100 です。

 

  • Hello Interval- VRRPマスタがVRRP広告を送信する秒数を入力または選択します。

    1～255秒の範囲で設定可能です。デフォルト値は 1 です。

    与えられた仮想ルータのすべてのノードは、同じ Hello Interval を持つ必要があります。そうでない場合、VRRPはパケットを廃棄し、両プラットフォームはVRRP Masterの状態になります。

    また、VRRP Hello間隔は、フェイルオーバー間隔（故障したVRRPマスタからVRRPバックアップルータが引き継ぐまでの時間）を決定します。VRRP Helloの最小間隔は1秒であるため、VRRP MasterがVRRP Hello広告を3回欠落した場合、ダウンと判断します。したがって、最小のフェイルオーバー時間は3秒（3 * Hello Interval）です。

 

  • Preempt Mode- 選択したまま（デフォルト）にしておくと、元のVRRPマスタに障害が発生した場合、VRRP BackupシステムがVRRPマスタ代行となります。元のVRRPマスタがサービスに復帰すると、再びVRRPマスタになります。

    クリアすると、本来のVRRPマスタに障害が発生した場合、VRRP BackupシステムがVRRPマスタ代行となり、本来のVRRPマスタが復帰しても再びVRRPマスタとなることはありません。

 

  • Auto-deactivation- クリアすると（デフォルト）、ネットワーク上に他のセキュリティゲートウェイが存在しない場合、最も低い優先度（1）を持つ仮想ルータが VRRP マスターになることができます。

    選択した場合、有効な優先順位が0になることがあります。この優先順位では、ネットワーク上に他のセキュリティゲートウェイが存在しない場合でも、仮想ルータが VRRP マスタになることはありません。

    また、選択した場合はPriority とPriority Deltaの値が等しくなるように設定し、VRRP に障害が発生した場合、実効優先度が 0 になるように設定してください。

 

  • VMAC Mode- 各仮想ルーターには、仮想IPアドレスに仮想MAC（VMAC）アドレスが割り当てられる。VMAC アドレスは、送信元 MAC アドレスとしてすべての VRRP パケットに含まれます。物理MACアドレスは使用しません。

    モードを選択します。

    • VRRP- VMAC が標準の VRRP プロトコルを使用するように設定します。これは、仮想ルータ内のすべてのセキュリティゲートウェイで自動的に同じ値に設定されます。これはデフォルトの設定です。

    • Interface- VMACをローカルインタフェースのMACアドレスに設定する。このモードを VRRP マスタと VRRP バックアップに定義すると、VMAC はそれぞれ異なります。VRRP IP アドレスは異なる vMAC に関連付けられています。これは、現在定義されているVRRPマスタの物理インタフェースMACアドレスに依存するためです。

      注 - VRRP マスタと VRRP バックアップで異なる VMAC を設定する場合は、NAT のプロキシ ARP 設定を正しく選 択する必要があります。

    • Static- 手動でVMACアドレスを設定する。該当するフィールドに VMAC アドレスを入力します。

    • Extended- Gaiaは、よりランダムなVMACアドレスを生成するために、インタフェースのMACアドレスに3バイトを動的に計算して追加する。このモードを選択した場合、仮想ルータ内の VRRP Master と VRRP Backups は同じ MAC アドレスを構築します。

    注 - VMACモードをInterface またはStatic に設定すると、コンピュータを再起動したとき、またはVRRPフェイルオーバー時にsyslogエラーメッセージが表示されます。VRRP MasterとVRRP BackupのIPアドレスが重複していることが原因です。これは、VRRP マスタと VRRP バックアップが VRRP マスタと VRRP バックアップの状態になるまで、一時的に同じ Virtual IP アドレスを使用するため、予想される動作です。

 

  • Authentication:

    • None- VRRP パケットの認証を無効にします。

    • Simple- プレーンテキストのパスワードを使用してVRRPパケットを認証する。

    仮想ルータ内のすべてのセキュリティゲートウェイで同じ認証方式を使用する必要があります。

5

Backup Addressesセクションで：

  1. クリックAdd。

  2. IPv4 address フィールドに、IPv4 アドレスを入力します。

  3. クリックOK。

Backup Addressを変更するには、Backup IP addressを選択し、Edit をクリックします。

Backup Addressを削除するには、Backup IP addressを選択し、Delete をクリックします。

6

Monitored Interfacesセクションで：

  1. クリックAdd。

    監視インタフェースを追加すると、この仮想ルータのインタフェースがロックされるという警告がGaiaに表示されます。

  2. クリックOKを確認する。

  3. Interface フィールドで、インタフェースを選択します。

  4. Priority Delta フィールドに、優先度から差し引く数字を入力または選択します。

    これにより、VRRP Backup に関連するインタフェースに障害が発生した場合、有効な優先順位が設定されます。

    範囲は 1 ～ 254 です。

  5. クリックOK。

Monitored Interfaceを変更するには、Monitored Interfaceを選択し、Edit をクリックします。

Monitored Interfaceを削除するには、Monitored Interfaceを選択し、Delete をクリックします。

7

クリックSave。

Gaia Clishで高度なVRRPを設定する

構文

set vrrp
      accept-connections {on | off}
      coldstart-delay VALUE
      disable-all-virtual-routers {on | off}
      monitor-firewall {on | off}
      interface-delay VALUE
 
set vrrp interface VALUE
      authtype
            none
            simple VALUE
      monitored-circuit vrid VALUE
            auto-deactivation {on | off}
            backup-address VALUE {on | off}
            hello-interval VALUE
            monitored-interface VALUE
                  on
                  off
                  priority-delta <default | 1 - 254>}
            off
            on
            preempt-mode {on | off}
            priority VALUE
            vmac-mode
                  default-vmac
                  extended-vmac
                  interface-vmac
                  static-vmac VALUE
      off
      virtual-router legacy off
 
show vrrp
      [interface VALUE]
      [interfaces]
      [stats]
      [summary]

重要 -機能を追加、構成、または削除した後、"save config" コマンドを使用して、設定を永続的に保存します。

パラメータ

パラメータ

説明

accept-connections {on | off}

Accept Connections オプションを制御します。

VRRP仮想IPアドレス宛のパケットを受け付け、必要な応答を生成します。

このオプションを有効にすると、VRRP とネットワーク管理ツールの連携が強化され、障害検出がより迅速に行えるようになります。

このオプションは、サービスが仮想IPアドレスに関連付けられる高可用性アプリケーション（ルーティングプロトコルなど）に必要です。

  • 範囲： onまたはoff

  • デフォルト: off

coldstart-delay <VALUE>

システムのコールドスタート後、VRRPがアクティブになり、このクラスタメンバがVRRPマスタとして選出できるようになるまでの待ち時間を指定します。

  • 範囲0 - 3600

  • デフォルト：0

disable-all-virtual-routers {on | off}

すべてのIPv4 VRRP Virtual Routersの有効/無効を設定します。

無効の場合、VRRP の設定は保存され、再度有効にすることができます。

  • 範囲： onまたはoff

  • デフォルト: off

monitor-firewall {on | off}

Security Gatewayの状態をVRRPで監視することの有効/無効を設定します。

このオプションを有効にした場合、ファイアウォールの準備ができていないと、クラスタメンバはVRRPマスタになることを拒否します。

  • 範囲： onまたはoff

  • デフォルト: on

interface-delay <VALUE>

インタフェース遅延は、インタフェースのUP通知を受信してから、VRRPが関連するVRRPクラスタメンバの優先度を上げ、場合によってはVRRPマスタになるかどうかを評価するまでの時間（秒数）を制御します。この遅延時間により、VRRPが一時的にしかアクティブでないインタフェースに応答しないようにできます。

注 - VRRPv2 と VRRPv3 の両方を設定する場合は、同じ値を設定する必要があります。

  • 範囲0 - 3600

  • デフォルト：0

interface VALUE

VRRP を有効にするインタフェース名です。

authtype {none | simple VALUE}

指定された仮想ルータに対して認証を設定します。

仮想ルータ内のすべてのセキュリティゲートウェイで同じ認証方式を使用する必要があります。

  • 範囲:

    • none- 認証を無効にする

    • simple <plain-text password>- プレーンテキストのパスワードを使用してVRRPパケットを認証する

  • デフォルト：デフォルト値なし

monitored-circuit vrid <VALUE>

仮想ルータ ID を設定します。

  • 範囲1 - 255

  • デフォルト：デフォルト値なし

monitored-circuit vrid VALUE auto-deactivation {on | off}

インタフェースがDOWNと報告されると、クラスタメンバのPriorityの値は、設定されたPriority Deltaの量だけ減少します。より高いPriorityを持つクラスタメンバが存在する場合、そのクラスタメンバがVRRP Masterとしてネットワークを修復します。

デフォルトでは、すべてのクラスタメンバに問題があり、Priorityが0であることを報告している場合でも、一部のクラスタメンバがVRRPマスタとして選出されます。

自動非活性化オプションを有効にすると、この動作を変更でき、すべてのクラスタメンバのPriorityが0であれば、どのクラスタメンバもVRRPマスタに選ばれないようにすることができます。

このオプションを有効にすると、Priority DeltaはPriorityの値と等しくなり、インタフェースがダウンした場合、Priorityはゼロになるように設定する必要があります。

  • 範囲： onまたはoff

  • デフォルト: off

monitored-circuit vrid VALUE backup-address VALUE {on | off}

VRRP Backup Security Gateway の IPv4 アドレスを設定します。

仮想ルータには、複数のアドレスを定義することができます。

バックアップアドレス（Virtual IP Address）は、ネットワークの信頼性を高めるために、VRRPがバックアップするIPアドレスです。仮想IPアドレスは、通常、そのネットワーク上のホストのデフォルトゲートウェイとして使用されます。VRRPは、VRRPクラスタ内の少なくとも1台の物理マシンが機能しており、VRRPマスタとして指定できる限り、このIPアドレスに到達可能であることを保証します。

monitored-circuit vrid VALUE hello-interval VALUE

VRRPマスタがVRRPアドバタイズを送信する間隔（秒）。特定の仮想ルータでは、すべてのVRRPクラスタメンバでHello Intervalを同じ値にする必要があります。

  • 範囲： defaultまたは1 - 255

  • デフォルト: 1

monitored-interface VALUE {on | off | priority-delta <default | 1 - 254>}

指定された仮想ルータの監視インタフェース名の一覧を設定します。

  • on- VRRP 仮想ルータの作成

  • off- VRRP 仮想ルータの削除

  • priority-delta- プライオリティ・デルタ値の設定

インタフェースに障害が発生した場合、VRRPによりバックアップクラスタメンバがそのインタフェースを引き継ぎます。また、VRRPインタフェースは、別のインタフェースに障害が発生した場合にもフェイルオーバーする必要があります（インタフェース間でトラフィックがルーティングされている場合）。

そうでないと、ネットワークの宛先に到達できなくなります。この協調フェイルオーバーは、すべての依存インタフェースを監視インタフェースのリストに追加することで実現されます。

監視する各インタフェースの相対的な重要度は、プライオリティデルタ値で表されます。より重要なインタフェースには、より高い優先度デルタが設定されるべきです。優先度デルタは、両方のクラスタメンバが異なるインタフェースで障害を経験している場合に、正しいフェイルオーバーの決定を引き起こします。

詳細は、以下のコマンドを参照してください。

  • set vrrp interface <VALUE> monitored-circuit vrid <VALUE> priority

  • set vrrp interface <VALUE> monitored-circuit vrid <VALUE> monitored-interface <VALUE> priority-delta

monitored-circuit vrid VALUE {on | off}

VRRP Virtual Router を作成(on)または削除(off)します。

monitored-circuit vrid VALUE preempt-mode {on | off}

指定された仮想ルータのプリエンプトモードを設定します。

Preempt Modeを有効にすると、仮想ルータが現在のVRRPマスタよりも高いPriorityを持つ場合、VRRPマスタを先取りします。

プリエンプト・モードが無効の場合、モニタインタフェースを持つすべての仮想ルーターが参加し、潜在的なスプリットブレイン・ネットワーク・トポロジーを回避します。

Preempt Modeを無効にすることの意味については、set mcvr vrid <VALUE> monitor-vrrp コマンドのヘルプテキストを参照してください。

  • 範囲： onまたはoff

  • デフォルト: off

monitored-circuit vrid VALUE priority VALUE

VRRP Masterの選挙で使用するPriorityを設定します。

監視しているインタフェースがすべて立ち上がっているときの最大優先度です。

Priorityの値が最も大きいVRRPクラスタメンバがVRRPマスタとして選出されます。各クラスタメンバには異なるPriority値を設定し、特定のメンバを優先的にVRRPマスタとするようにします。これによって、選挙プロセスの結果に一貫性を持たせることができます。

  • 範囲： defaultまたは1 - 254

  • デフォルト: 100

monitored-circuit vrid VALUE vmac-mode {default-vmac | extended-vmac | interface-vmac | static-vmac VALUE}

指定された仮想 IP アドレスに対する仮想 MAC (VMAC) アドレスの計算方法を設定します。

仮想ルータの各仮想IPアドレスは、仮想ネットワークインタフェースの存在を意味します。

  • 範囲:

    • default-vmac- RFC3768のセクション7.3に記載されている標準的な方法でVMACを生成する。

    • extended-vmac- 1バイトだけでなく3バイトのVMACを動的に計算することで、一意性の範囲を広げてVMACを生成する。

    • interface-vmac- インタフェースのハードウェア MAC アドレスを使用するように VMAC を設定します。

    • static-vmac <VALUE>- 指定したスタティック VMAC アドレスを使用するように仮想ルータを設定します。

  • デフォルト: default-vmac

set vrrp interface VALUE off

インタフェースからすべての Virtual Router を削除します。

set virtual-router legacy off

レガシーVRRPv2の設定を無効にします。

古いIPSO OSの設定からのアップグレードにより、レガシーな仮想ルータの設定が存在する可能性があります。参考までに、これらの設定はアップグレード後も保持される場合がありますが、サポート対象外です。

したがって、従来の "virtual-router" 設定コマンドはすべて、同等の "monitored-circuit" 設定コマンドに置き換える必要があります。

SmartConsoleでAdvanced VRRP用のVRRPクラスタを設定する

に従う。R81.20 Installation and Upgrade Guide> 章ClusterXL、VSXクラスタ、VRRPクラスタのインストール> 章VRRPクラスタのインストール