MX Warm Spare - 高可用性ペア
MX Warm Spareの概要
このページでは、ワンアーム コンセントレーター モードまたはNATモードの2つのMXセキュリティ アプライアンス間でVRRPプロトコルを使用して高可用性(HA)ペアをセットアップする方法と、設定されたHAペアで予測される動作について説明します。高可用性により、ハードウェア障害が発生したときのダウンタイムを最小限に抑えることができます。
1つのHAペアに必要なライセンスは1つだけです。Warm Spareユニットには個別のライセンスが必要ありません。Warm Spareのフェールオーバーのアラートは、「Alerts and Administration(アラートと管理)」ページで設定できます。
注: セカンダリMXはプライマリMXと同じモデルである必要があります。Warm Spare機能は別々のMXモデル(MX80とMX100など)ではサポートされません。
スワップ ボタンは、2つのMX間でプライマリとスペアの役割を交換するために使用され、HAフェールオーバーをテストするためのものではありません。フェールオーバー テストを行うには、プライマリMXへのアップリンクを完全に切断する必要があります。
ユースケース
ほとんどの顧客環境では、ネットワークのダウンタイムはビジネスに直接的な影響を及ぼすため、何としても避ける必要があります。Warm Spare機能を使用すると、ネットワークのエッジが単一障害点となることが回避され、デバイス障害の発生時にすばやい自動回復が可能になり、エンドユーザ サービスへの悪影響が軽減されます。
利点
- ハードウェア障害発生時のネットワークのダウンタイムが大幅に削減されるか、使用されているアーキテクチャによっては完全になくなります。
- ハードウェア障害からの復旧を支援するためのネットワーク管理者チームによる手動介入が必要ありません。
用語
このドキュメントでは、以下の用語とその意味を理解することが重要です。
プライマリ:ネットワークの「メイン」MXとして設定されたMX。両方のMXがオンラインの場合、トラフィックはこちらのMXを通過します。これは静的な指定です。つまり、ネットワークの現在の状態にかかわらず、プライマリは常にプライマリとなります。
スペア:ネットワークの「セカンダリ」MXとして設定されたMX。両方のMXがオンラインの場合、こちらのMXが非アクティブのWarm Spareとなります。これは静的な指定です。つまり、ネットワークの現在の状態にかかわらず、セカンダリは常にセカンダリとなります。
アクティブ(マスター):ネットワークのエッジ ファイアウォール/セキュリティ アプライアンスとして現在機能しているMX。これは動的な指定です。
パッシブ:トラフィックが通過していない非アクティブなWarm Spareとして現在機能しているMX。これは動的な指定です。
デュアル マスター:デュアル マスターは、プライマリとスペアの両方がアクティブ状態にあるシナリオのことを言います。これは両方のMXがオンライン状態でクラウドと通信していても、セカンダリがハートビート パケット(次のセクションのVRRPハートビートを参照)をプライマリから受信していない場合に発生します。これは動的DNS、VPN、および一般的なトラフィック処理でいくつかの問題の原因となりうるため、何としても避ける必要があります。このドキュメントの「物理アーキテクチャ」のセクションでは、デュアル マスター シナリオが起こるリスクを最小限に抑えるためにMX Warm Spareペアを導入する方法について説明します。
基礎となる概念および技術
VRRPハートビート
MX Warm Spareペアの障害検出にはVRRPハートビート パケットが使用されます。これらのハートビート パケットは、プライマリがオンラインで正しく機能していることを示すために、設定されたすべてのVLANでプライマリMXからセカンダリMXに送信されます。セカンダリはこれらのハートビート パケットを受信している限り、スペア状態で機能します。セカンダリがこれらのハートビート パケットを受信しなくなると、プライマリがオフラインであると推定し、マスター状態に移行します。MXがNATモードの場合、VRRPハートビートはWAN経由で送信されず、WANインターフェースが相互に通信できることが保証されません。代わりに、「接続監視」と呼ばれるメカニズムを使用して、デバイスのWAN状態を判別します。
MXでのVRRPメカニズムの詳細については、NAT HAフェールオーバーの動作ドキュメンテーションを参照してください。
接続監視
接続監視は、すべてのMXセキュリティ アプライアンスに組み込まれているアップリンク モニタリング エンジンです。エンジンの仕組みはこの記事に記載されています。接続監視により、プライマリMXのすべてのアップリンクに障害が発生したとマークされると、そのMXはVRRPハートビート パケットの送信を停止し、Warm Spareフェールオーバーが開始されます。プライマリの少なくとも1つのアップリンクが動作状態に戻ると、プライマリはハートビート パケットの送信を再開し、セカンダリはアクティブの役割をプライマリに譲ります。
DHCP同期
IPアドレスがプライマリによってDHCP経由で割り当てられた後、同じアドレスがフェールオーバー後にセカンダリによって別のクライアントに割り当てられるといったシナリオを避けるために、DHCPリース テーブルはUDPポート3483を使用してプライマリとセカンダリの間で定期的に同期されます。
ダッシュボード設定
既存のダッシュボード ネットワークのWarm Spareフェールオーバーを設定するには、Security & SD-WAN(セキュリティ & SD-WAN) > Monitor(監視) > Appliance status(機器のステータス)に移動し、ページの左上付近のデバイス名の下にあるConfigure warm spare(Warm Spareを設定)を選択します。表示されるウィンドウで、Enabled(有効)を選択します。 セカンダリMXのシリアル番号を入力して、目的のアップリンクIP設定を選択し、Update(更新)を選択して、Warm Spareを有効にします。
Use MX uplink IPs(MXアップリンクIPの使用):このオプションを使用すると、現在アクティブなMXはインターネットにトラフィックを送信するとき、個別のアップリンクIPまたは複数のIPを使用します。このオプションでは、インターネットに面したMXに追加のパブリックIPが不要ですが、アウトバウンド フローのソースIDが変更されるため、中断の多いフェールオーバーが発生することになります。
Use virtual uplink IPs(仮想アップリンクIPの使用):このオプションを使用すると、両方のMXはインターネットにトラフィックを送信するとき、共有されている仮想IP(VIP)を使用します。このオプションではアップリンクごとに追加のパブリックIPが必要になりますが、ネットワークがインターネットとの通信に使用するIPアドレスは不変であるため、シームレスなフェールオーバーが可能です。各アップリンクのVIPは、そのアップリンク用のMX自体のIPと同じサブネットに存在する必要があり、VIPは両方のMXアップリンクIPと異なっている必要があります。
Warm Spareフェールオーバーを使用して新しいネットワークを設定するには、通常のようにネットワークを作成し、プライマリMXを追加します。次に、上記のプロセスを使用して、セカンダリMXを追加します。
選択したオプションに関係なく、両方のMXデバイスには、ダッシュボード接続のための独自のアップリンクIPアドレスが必要です。
ダッシュボード設定は、常に、セカンダリMXをネットワークに物理的に接続する前に行う必要があります。
Organization(オーガナイゼーション) > Inventory(インベントリ)ページで、同じモデルのMXがすでに含まれているネットワークにMXが追加されると、そのMXは自動的にWarm Spareモードでそのネットワークに追加されます。
Warm Spare設定用のMXモード オプション
MXデバイスは、次の2つのうちいずれかのMXアドレッシング オプションを使用して、Warm Spareの高可用性ペアで設定できます。
- VPNコンセントレーター/パススルー モード
- NATモード
ダッシュボードでモードがVPN コンセントレーター/パススルー モードとして反映されている場合、MXはこのモードのワンアーム コンセントレーター トポロジのみをサポートします。 これに関する追加情報は、「ワンアーム」VPN コンセントレーター ペアでのMXの接続セクションを参照してください。
各モードでは、2つのMXが同じネットワーク上に存在して、プライマリがセカンダリにフェールオーバーできることになります。ただし、モードごとに必要な設定は若干異なります。ここでは、異なる設定方法および考慮事項について説明します。MXのアドレッシング モードや導入に最適なモードの選択についての詳しい情報が必要な場合は、MXのアドレッシングとVLANの記事を参照してください。
VPNコンセントレーターWarm Spare
コンセントレーターWarm Spareを使用すると、Meraki AutoVPNヘッドエンド アプライアンスの高可用性が得られます。
ネットワークのセットアップ
各コンセントレーターは、Merakiクラウド コントローラと管理トラフィックを交換できるように、固有のIPアドレスを持っています。ただし、コンセントレーターは非管理通信に使用される仮想IPアドレスも共有しています。
「ワンアーム」VPNコンセントレーター ペアでのMXの接続
MXをワンアームVPNコンセントレーターとして導入する前に、ページで、MXをパススルーまたはVPNコンセントレーター モードに設定します。ワンアームVPNコンセントレーター モードでは、ペアのユニットは、それぞれのインターネット ポート経由でのみネットワークに接続されます。 LANポート経由で直接接続されていないことを確認してください。 これらは同じIPサブネット内に存在し、相互に通信でき、Cisco Merakiダッシュボードとも通信できる必要があります。VPNトラフィックのみがMXにルーティングされ、進入パケットも退出パケットも同じインターフェース経由で送信されます。
仮想IP
仮想IPアドレス(VIP)は、プライマリとWarm Spareの両方のVPNコンセントレーターで共有されます。VPNトラフィックは、個々のコンセントレーターの物理IPアドレスではなくVIPに送信されます。仮想IPは、Warm Spareを設定するときに、Security & SD-WAN(セキュリティ & SD-WAN) > Monitor(監視) > Appliance status(機器のステータス)に移動して設定します。これは両方のアプライアンスのIPアドレスと同じサブネットに存在する必要があり、一意である必要があります。特に、プライマリまたはWarm SpareのIPアドレスと同じにすることはできません。
障害検出
2つのコンセントレーターは、VRRPプロトコルを介してネットワーク上で正常性情報を共有します。障害検出は、インターネット/Merakiダッシュボードへの接続に依存しません。
プライマリ ユニットに障害が発生した場合、Warm Spareは元のプライマリが再びオンラインに戻るまで、プライマリの役割を引き受けます。プライマリVPNコンセントレーターがオンラインに戻り、スペアがVRRPハートビートを再び受信し始めると、Warm Spareコンセントレーターはアクティブの役割をプライマリ コンセントレーターに譲ります。
障害検出、Warm Spareコンセントレーターへのフェールオーバー、およびVPNパケットの処理の再開までの合計時間は、通常は30秒未満です。
NAT Warm Spare
NAT Warm Spareは、MXセキュリティ アプライアンスがNATゲートウェイとして使用されているときに、インターネット接続およびアプライアンス サービスに冗長性を提供するために使用されます。
WAN仮想IP
仮想IPアドレス(VIP)は、プライマリとWarm Spareの両方のアプライアンスで共有されます。インバウンドおよびアウトバウンド トラフィックは、このアドレスを使用して、フェールオーバー中に同じIPアドレスを保持し、中断を削減します。仮想IPは、Security & SD-WAN(セキュリティ & SD-WAN) > Monitor(監視) > Appliance status(機器のステータス)ページの左上のSPARE(スペア)セクションで設定します。2つのアップリンクが設定されている場合、各アップリンクのVIPを設定できます。各VIPは、(VIPが設定されているアップリンク用の)両方のアプライアンスのIPアドレスと同じサブネットに存在する必要があり、一意である必要があります。特に、プライマリまたはWarm SpareのIPアドレスと同じにすることはできません。
LAN IPアドレスは、設定済みのいずれかのVLANのアプライアンスIPに基づいて設定されます。LANでは仮想IPは不要です。
障害検出
NATモードのWarm Spareには2つの障害検出方法があります。
WANフェールオーバー: WANモニタリングは、アップリンク フェールオーバーに使用されるものと同じインターネット接続テストを使用して実行されます。これらの検査に関する詳細なデータは、Cisco Meraki Knowledge Baseを参照してください。プライマリ アプライアンスが、これらのテストに基づく有効なインターネット接続を持たない場合、VRRPハートビートの送信を停止し、結果としてフェールオーバーが発生します。 元のプライマリ アプライアンスのアップリンク接続が復元し、Warm SpareがVRRPハートビートを再び受信し始めると、Warm Spareはアクティブの役割をプライマリ アプライアンスに譲ります。
LANフェールオーバー: 2つのアプライアンスは、VRRPプロトコルを介してネットワーク上で正常性情報を共有します。これらのVRRPハートビートはレイヤー2で発生し、設定済みのすべてのVLANで実行されます。アドバタイズメントがどのVLANのスペアにも到達しない場合、フェールオーバーをトリガーします。 Warm SpareがVRRPハートビートを再び受信し始めると、Warm Spareはアクティブの役割をプライマリ アプライアンスに譲ります。
DHCP同期
NATモードの高可用性ペアのMXは、LANのUDPポート3483経由でDHCP状態情報を交換します。これにより、DHCP IPアドレスがフェールオーバーよりも前にクライアントにすでに割り当てられていた場合に、フェールオーバー後に別のクライアントに渡されるのを防ぎます。
要件およびベストプラクティス
NAT HAを設定するときには、両方のMXがLAN上で互いへの信頼できる接続を確立し、プライマリMXのVRRPハートビートをスペアが確実に認識できるようにすることが不可欠です。この接続性の信頼性を確保するには、次のことが必要です。
- 2つのMXをLANのダウンストリーム スイッチ(理想的には複数のスイッチ)経由で互いに接続することで、VRRPハートビートを渡せるようにする必要があります。
- それらの間の追加のホップは1回までとする必要があり、それらはすべてのVLANで通信できる必要があります。
- 正しく設定されたHAトポロジーではネットワークにループが生じるため、ダウンストリーム スイッチ インフラストラクチャでSTPを有効にしてください。
- NAT HAを初めて設定するときには、デバイスを物理的に導入する前に、スペアをダッシュボードに追加して設定し、スペアがその設定をただちに取得して適切に動作するようにする必要があります。
さらに、以下の考慮事項にも留意する必要があります。
- 仮想IPが使用されている場合、2つのMXの各アップリンクはWAN側の同じブロードキャスト ドメインを共有する必要があります。
セルラー フェールオーバーの動作
Merakiでは現在、高可用性(HA)ペアによるセルラー フェールオーバーをサポートしていません。これは、HAアップリンク フェールオーバーで必要なセルラー アップリンクの接続モニタリングを(MX 10.X以上で)実行しないためです。現時点では、HAペアでセルラー アップリンクが使用された場合、以下のことが順に発生します。
- プライマリMX WAN 1+2の障害により、セカンダリMXにフェールオーバーする
- セカンダリMX WAN 1+2の障害により、プライマリMXセルラーにフェールオーバーする
- プライマリMXセルラーの障害により、セカンダリMXセルラーにフェールオーバーする
上記のようにセルラー フェールオーバーを使用できますが、これはMerakiによって正式にサポートされていません。
推奨されるトポロジー
NAT Warm Spare導入には、2つの物理アーキテクチャが使用可能です。
完全な冗長構成(複数スイッチ)
このアーキテクチャでは、プライマリMXとセカンダリMXが直接接続されず、VRRPハートビートはダウンストリーム スイッチ間で伝送されます。 このトポロジーには単一障害点がないため、これはほとんどの導入で推奨されるアーキテクチャです。
完全な冗長構成(スイッチ スタック)
このアーキテクチャでは、プライマリMXとセカンダリMXはダウンストリーム スイッチ スタック経由で接続されます。各スイッチには、各MXへのアップリンクが少なくとも1つ存在します。これにより、トポロジーの単一障害点がなくなります。
3つ以上の物理WANアップリンクを使用した高可用性
アクティブなプライマリMXでは同時に2つのアクティブ アップリンクのみがサポートされますが、セカンダリMXの第3のフェールオーバーのためには追加のアップリンクを使用する必要があります。セカンダリMXで1つまたは2つの追加アップリンクを使用でき、プライマリMXのすべてのアップリンクに障害が発生したか、プライマリMXにハードウェア障害が発生した場合にアクティブになります。セカンダリMXに接続されたこれらの追加アップリンクは、プライマリMXのアップリンクとは異なるIPサブネットに属することができます。
NAT Warm Spareのトラブルシューティング
NAT HA設定に問題がある場合、ネットワークに影響を及ぼすさまざまな症状が現れることがあり、根本原因がNAT HAであることが明白でないこともあります。このセクションでは、HAの問題が通常はどのように現れるかに加えて、推奨されるトラブルシューティング手順について説明します。
デュアル マスターの問題
NAT HAで最もよくある問題の兆候は、デュアル マスター シナリオです。このシナリオでは、プライマリMXとスペアMXの両方がダッシュボードでアクティブ(マスター)として報告されます。これは、ダッシュボードのSecurity & SD-WAN(セキュリティ & SD-WAN) > Monitor(監視) > Appliance status(機器のステータス)に移動し、各アプライアンスの現在の状態を比較することで確認できます。
この問題は、プライマリMXがオンラインであり、ハートビートを送信しているが、ハートビートがスペアによって認識されず、プライマリが停止しているとスペアが認識した場合に発生します。 プライマリとスペアの両方がマスター状態の場合、DHCP、ルーティング、VPNなどに影響するネットワークのさまざまな問題の原因となります。
推奨されるトラブルシューティング手順
NAT HAに関連すると思われるネットワーク問題が発生している場合、以下のトラブルシューティング手順を実行して、根本原因を特定する必要があります。
- ダッシュボード(Security & SD-WAN(セキュリティ & SD-WAN) > Monitor(監視) > Appliance status(機器のステータス))で、両方のアプライアンスを確認し、上記のデュアル マスター シナリオがないか調べます。
- HAペアがアップリンク側で仮想IPを使用するように設定されている場合、WAN接続の各ペア(たとえば、各MXのWAN 1)が同じブロードキャスト ドメインを共有していることを確認し、これらが両方ともアップストリーム デバイスによって認識できることを確認します。