ID статьи: 25
Последнее обновление: 27 мар, 2023
KnowledgeBase: Product: UserGate NGFW Version: 6.1.8, 6.1.9
В данном разделе рассматривается пример настройки подключения к провайдеру по BGP при использовании кластера Актив-Пассив. Настройка отказоустойчивого кластераUserGate поддерживает настройку кластера отказоустойчивости для обеспечения бесперебойной работы сети. Кластер отказоустойчивости может работать в двух режимах Актив-Актив и Актив-Пассив. Оба режима поддерживают синхронизацию пользовательских сессий, что обеспечивает прозрачное для пользователей переключение трафика с одного узла на другие. В данной схеме, устройства UserGate настроены в режиме отказоустойчивого кластера по схеме Актив-Пассив. В данном режиме один из серверов выступает в роли Мастер-узла, обрабатывающего трафик, а остальные - в качестве резервных. На каждом из узлов кластера выбраны сетевые интерфейсы, которым администратор назначил виртуальные IP-адреса. Между этими интерфейсами происходит обмен сообщениями - VRRP-объявления, с помощью которых узлы обмениваются информацией о своём состоянии. При переходе роли мастер-узла на резервный сервер происходит перенос всех виртуальных IP-адресов всех кластерных интерфейсов. Безусловный переход роли происходит при следующих событиях:
Подробнее о работе кластера читайте в UserGate 6. Руководство администратора. Принципиальная схема сети будет выглядеть следующим образом: Как видно, схема содержит два устройств UserGate, подключённых к коммутатору через интерфейс port2; интерфейсы port1 используются для создания кластера; к интерфейсам port3 подключена локальная сеть (LAN). Для интерфейсов port2 и port3 использованы виртуальные интерфейсы, полученные по протоколу VRRP. Настройка UserGate.Считается, что кластер в режиме Актив-Пассив уже настроен; в данном примере рассмотрена настройка BGP. BGP (Border Gateway Protocol) - динамический протокол маршрутизации, относится к классу протоколов маршрутизации внешнего шлюза (англ. EGP - External Gateway Protocol). На текущий момент является основным протоколом динамической маршрутизации в интернете. Протокол BGP предназначен для обмена информацией о достижимости подсетей между автономными системами (АС), то есть группами маршрутизаторов под единым техническим и административным управлением, использующими протоколы внутридоменной маршрутизации для определения маршрутов внутри себя и протокол междоменной маршрутизации для определения маршрутов доставки пакетов в другие АС. Передаваемая информация включает в себя список АС, к которым имеется доступ через данную систему. Выбор наилучших маршрутов осуществляет исходя из правил, принятых в сети (подробнее о BGP читайте в UserGate 6. Руководство администратора).
Во вкладке Сети укажите IP-адрес белой подсети. Во вкладке Routemaps нажмите Добавить и укажите следующие параметры:
Далее в свойствах routemap перейдите во вкладку IP-адреса и укажите IP-адрес белой подсети. Остальные параметры можно оставить без изменений. Данная настройка необходима для передачи провайдеру информации об узле (мастер-узел), на который необходимо отправлять пакеты для нашей сети. Сохраните настройки routemap и перейдите во вкладку BGP-соседи свойств виртуального маршрутизатора. Нажмите Добавить и во вкладке Общие укажите необходимые данные:
Далее перейдите во вкладку Routemaps и отметьте чекбокс out созданного ранее routemap. Сохраните настройки BGP-маршрутизатора.
Далее, аналогично, необходимо настроить второе устройство UserGate. После настройки UserGate со стороны маршрутизатора провайдера можно просмотреть краткую информацию о BGP и таблицу маршрутизации с использованием следующих команд:
Адрес 10.10.10.5 является виртуальным и всегда находится на узле кластера, назначенном мастером. Настройка доступа в интернет на кластерах узлаПримечаниеТ.к. маршрутизатор провайдера видит маршрут только до мастер-узла, другие узлы кластера UserGate не будут иметь выхода в сеть Интернет. Доступ в Интернет необходим на всех узлах UserGate для периодической проверки лицензий и скачивания различных обновлений. Далее представлены 2 варианта сетевых настроек, которые с помощью которых можно настроить доступ в Интернет на узлах кластера.
Первый вариантпредполагает использование мастер-узла (master) для проксирования доступа в Интернет для других узлов кластера (slave). ПримечаниеСетевые настройки являются уникальными для каждого узла кластера и не синхронизируются, т.е. каждый узел кластера настраивается индивидуально.
Для настройки перейдите в раздел Сеть ➜ Шлюзы и добавьте второй шлюз с IP-адресом кластерного интерфейса соседнего узла (т.е. на узле А добавьте адрес узла В; на узле В - адрес узла А). Далее необходимо включить Проверка сети (для этого необходимо нажать на одноимённую кнопку). В открывшемся окне:
ПримечаниеДанное решение предполагает использование белых адресов на внешних интерфейсах всех узлов кластера, чтобы проверка сети проходила даже при отсутствии виртуального адреса.
При такой настройке узел кластера (slave) будет производить проверку доступности тестового адреса в Интернете. Т.к. напрямую ответы от удалённого хоста доходить до узла не будут, узел переключит шлюз по умолчанию на следующий указанный в списке шлюз, т.е. на адрес кластерного интерфейса мастер-узла. Так узел сможет проверять лицензию и наличие доступных обновлений. Также для работы такой схемы необходима корректная настройка правил межсетевого экрана - мастер-узел не должен блокировать трафик от другого узла кластера. Второй вариантпозволяет работать с кластерами, содержащими более двух узлов, но требует несколько адресов в стыковочной сети и белых адресов. В данном способе будут опубликованы BGP-маршруты на маршрутизаторы провайдера, специфичные для всех узлов кластера. Т.е. удаленному маршрутизатору будут указаны пути до всех устройств кластера напрямую и, дополнительно, путь для виртуального адреса, который всегда будет находиться на мастер-узле и на который будет возвращаться ответный трафик пользователей, а также который будет использоваться в случае публикации сервисов. Таким образом, трафик, сгенерированный на самих устройствах, будет маршрутизироваться обратно на эти устройства, а трафик, сгенерированный в пользовательском сегменте и проходящий через кластер, будет маршрутизироваться на виртуальный IP-адрес, который всегда находится на мастер-узле. Необходимо настроить правила NAT и соответствующие им BGP routemaps. Ниже представлена таблица правил NAT серых адресов в белые.
Для настройки правил NAT необходимо перейти в раздел Политики сети ➜ NAT и маршрутизация. Правила NAT настроены таким образом, что если трафик сгенерирован в условной зоне Trusted (т.е. пользовательский трафик), то локальные адреса преобразуются в виртуальный белый IP-адрес; если зона источника трафика неизвестна (Unknown) и IP-адрес источника трафика равен IP-адресу интерфейса UserGate, то адрес будет преобразован в один из белых IP-адресов согласно таблице выше. ПримечаниеПорядок правил NAT в списке важен, т.к. исполнение правил происходит сверху вниз и срабатывает первое правило, удовлетворяющее всем заданным условиям.
Указать зону Unknown невозможно, поэтому для срабатывания правил не нужно указывать зону (Any). Для создания правила NAT, применяемого к пользовательскому трафику, необходимо во вкладке Общие указать:
Во вкладке Источник:
Во вкладке Назначение:
Настройка правила NAT в случае, если зона источника трафика неизвестна (Unknown) и IP-адрес источника трафика равен IP-адресу интерфейса UserGate. Во вкладке Общие укажите:
Во вкладке Источник:
Во вкладке Назначение:
Далее необходимо опубликовать отдельные IP-адреса. Перейдите в раздел Сеть ➜ Виртуальные маршрутизаторы и настройте BGP-маршрутизатор (настройка аналогична представленной выше). Во вкладке Сети свойств виртуального маршрутизатора укажите белые IP-адреса (WhiteIP 1, WhiteIP 2, WhiteIP 3). Во вкладке Routemaps укажите следующие карты Далее включите созданные карты в настройках BGP-соседей, активировав чекбокс out. После настройки UserGate со стороны маршрутизатора провайдера можно просмотреть BGP-маршруты:
В результате настроек трафик с NAT IP-адреса, используемого для пользовательского трафика будет отправляться на виртуальный IP-адрес 10.10.10.2.
Эта статья была:
Полезна |
Не полезна
Сообщить об ошибке
ID статьи: 25
Последнее обновление: 27 мар, 2023
Ревизия: 13
Просмотры: 5420
Комментарии: 0
|