[Juniper][Junos] SRX 방화벽 이중화

0) 각 장비 모델마다 이중화용 포트가 정해져 있으니 아래 URL를 통해 포트 확인 후 연결

https://www.juniper.net/documentation/us/en/software/junos/chassis-cluster-security-devices/topics/topic-map/security-chassis-cluster-verification.html

 

1) 방화벽 2대를 각각 이중화 모드로 만들고 cluster-id 와 node 번호를 지정 (재부팅 됨)

user@host> set chassis cluster cluster-id 1 node 0 reboot (1호기에서)

user@host> set chassis cluster cluster-id 1 node 1 reboot (2호기에서)

* 같은 네트워크 내에 여러 SRX 방화벽이 이중화 되어 있을 경우 cluster-id가 중복되지 않도록 지정

  -> cluster-id가 중복되면 가상 MAC주소가 중첩되거나 모종의 이유로 통신이 불가해짐

  -> 대표적으로 ISP의 공인IP를 DHCP로 사용 중일 때, DHCP를 받지 못하는 case가 생김

 

2) 위 절차가 정상적으로 완료되면 node0 과 node1이 정상적으로 보이는지 확인

user@host> show chassis cluster status 
Monitor Failure codes:
    CS  Cold Sync monitoring        FL  Fabric Connection monitoring
    GR  GRES monitoring             HW  Hardware monitoring
    IF  Interface monitoring        IP  IP monitoring
    LB  Loopback monitoring         MB  Mbuf monitoring
    NH  Nexthop monitoring          NP  NPC monitoring              
    SP  SPU monitoring              SM  Schedule monitoring
    CF  Config Sync monitoring      RE  Relinquish monitoring
    IS  IRQ storm
 
Cluster ID: 1
Node   Priority Status         Preempt Manual   Monitor-failures

Redundancy group: 0 , Failover count: 0
node0  100      primary        no      no       None           
node1  1        secondary      no      no       None   

 

3) 이중화 config 설정 (설정 예시 : SRX300 기준)

## 장비 동기화 및 hostname 설정

set apply-groups "${node}"
set groups node0 system host-name FW1
set groups node1 system host-name FW2

## mgmt 인터페이스 (fxp) 설정

set groups node0 interfaces fxp0 unit 0 family inet address 1.1.1.1/24
set groups node1 interfaces fxp0 unit 0 family inet address 1.1.1.2/24

set groups node0 system backup-router 1.1.1.254
set groups node0 system backup-router destination 0.0.0.0/0
set groups node1 system backup-router 1.1.1.254
set groups node1 system backup-router destination 0.0.0.0/0

## 데이터 인터페이스 (fab) 지정

set interfaces fab0 fabric-options member-interfaces ge-0/0/2
set interfaces fab1 fabric-options member-interfaces ge-1/0/2

## redundancy-group 설정

set chassis cluster redundancy-group 0 node 0 priority 100
set chassis cluster redundancy-group 0 node 1 priority 1
set chassis cluster redundancy-group 1 node 0 priority 100
set chassis cluster redundancy-group 1 node 1 priority 1

## redundancy-group의 모니터링 포트 설정
(해당 포트가 죽으면 설정한 weight 만큼 priority값이 깎이면서redundancy-group이 failover됨)

set chassis cluster redundancy-group 1 interface-monitor ge-0/0/5 weight 255
set chassis cluster redundancy-group 1 interface-monitor ge-1/0/5 weight 255
set chassis cluster redundancy-group 1 interface-monitor ge-0/0/4 weight 255
set chassis cluster redundancy-group 1 interface-monitor ge-1/0/4 weight 255

## 생성 가능한 reth 인터페이스 수 제한

set chassis cluster reth-count [숫자]

## reth 인터페이스 생성

set interfaces ge-0/0/4 gigether-options redundant-parent reth1
set interfaces ge-0/0/5 gigether-options redundant-parent reth0
set interfaces ge-1/0/4 gigether-options redundant-parent reth1
set interfaces ge-1/0/5 gigether-options redundant-parent reth0

set interfaces reth0 redundant-ether-options redundancy-group 1
set interfaces reth0 unit 0 family inet address [External IP]
set interfaces reth1 redundant-ether-options redundancy-group 1
set interfaces reth1 unit 0 family inet address [Internal IP]

set security zones security-zone Untrust interfaces reth0.0
set security zones security-zone Trust interfaces reth1.0

## 설정 체크 및 저장

commit check

commit