L2 redundantsus
Allikas: Kuutõrvaja
Sisukord
Sissejuhatus
TODO
Eesmärk
Olgu eesmärgiks suurendada tulemüüride ja serverite vahelise L2 kihi ehk lüliti (ingl. k. switch) redundantsust. Üks võimalus seda saavutada oleks nt sellise asjakorraldusega
teenusepakkuja juurde
...
|
___________|___________
| |
| lüliti |
|_______________________| ...
| |
em0 | | em0 em0 | carp0 | em0
___|___ ___|___ ___|___ ___|___
| | | | | | | |
| TM1 | | TM2 | | TM1 | | TM2 |
|_______| |_______| |_______| |_______|
em2 | | em1 em2 | | em1 | |
| \ / | em2 | em1 em2 | em01
| \ |
| / \ | trunk0 trunk0
| | | |
| | | | vlan101, vlan102 vlan101, vlan102
| | | |
| | | | carp101, carp102
| | | |
_|___|____ ___|___|__ ...
| | | |
| lüliti1 |------| lüliti2 |
|__________| link |__________|
| |
| ________ |
eth0 | | | | eth1 (VLAN101)
|---| server1 |---|
| |_________| |
| |
| _________ |
eth0 | | | | eth1 (VLAN102)
|---| server2 |---|
| |_________| |
| |
...
kus
- TM1, TM2 - tulemüür üks ja tulemüür kaks, samaaegselt läbib liiklus ainult ühte või teist tulemüüri; ja need episoodid, kus liiklus käib läbi ühte või teist tulemüüri ei kesta reeglina millisekundite kaupa, kord üks kord teine, vaid nt kaks kaks nädalat, st kuni ühe tulemüüriga toimub rike või nt administratiivsetel põhjusel lülitatakse liiklus teisele ümber
- tulemüüride ees oleva lüliti redundantsusega antud juhtumil ei tegelda
- lüliti1, lüliti2 - kaks lülitit, millest peab samaaegselt olema töökorras vähemalt üks
- server1, server2 - kaks serverit, tööks võib olla piisav, et ainult üks võrguseade on korras; serverid asuvad erinevates VLANides
- tulemüüride em1 ja em2 seadmed on ühendatud erinevate lülititega ja neist on moodustatud failover trunk'id
- link lülitite vahel on vajalik nt juhtumiks, kui TM1 on aktiivne ning tema em2 seade on aktiivne, mõlemad lülitid töötavad ja serveri aktiivne seade on eth1; sel juhul käib serveri ja tulemüüri vaheline liiklus läbi kahe lüliti
- kasutatavad lülitid võivad olla täiesti nö tavalised, juhul kui kasutatatakse VLANisid, siis peavad lülitid ilmselt nende kasutamist toetama, aga lülitid ei pea olema stackitavad vms
- paremal joonisel on selguse eesmärgil esitatud tulemüüride sisemistele füüsilistele seadmetele moodustatud loogilised seadmed kihtide kaupa
Lihtsustatud juhtumil kasutatakse ühte tulemüüri ja ei kasutata VLAN seadmeid
teenusepakkuja juurde
...
|
___________|___________
| |
| lüliti |
|_______________________|
|
em0 |
___|___
| |
| TM1 |
|_______|
em2 | | em1 <---- trunk0
| \
| \
| \
| |
| |
| |
| |
| |
_|________ ___|______ ...
| | | |
| lüliti1 |------| lüliti2 |
|__________| link |__________|
| |
| ________ |
eth0 | | | | eth1 (VLAN101)
|---| server1 |---|
| |_________| |
| |
| _________ |
eth0 | | | | eth1 (VLAN102)
|---| server2 |---|
| |_________| |
| |
...
kus
- tulemüüri sisemistest seadmetest em1 ja em2 on moodustatud failover režiimis töötav trunk seade trunk0
OpenBSD tulemüüri seadistamine
Mõlema OpenBSD tulemüüri seadmetest em1 ja em2 tuleb moodustada failover režiimis töötav trunk0 seade öeldes
# ifconfig trunk0 trunkport em1 trunkport em2 trunkproto failover
Seejärel tuleb trunk seadmetele seadistada vlannid öeldes tulemüür ühes
# ifconfig vlan101 vlandev trunk0 10.1.1.2/24 # ifconfig vlan102 vlandev trunk0 10.1.2.2/24
ja tulemüür kahes
# ifconfig vlan101 vlandev trunk0 10.1.1.3/24 # ifconfig vlan102 vlandev trunk0 10.1.2.3/24
Ning moodustada carp seadmed, nendega seotud ip aadressi kasutavad serverid vaikelüüsina, öeldes tulemüür ühes
# ifconfig carp101 vhid 101 carpdev vlan101 10.1.1.1/24 # ifconfig carp102 vhid 102 carpdev vlan102 10.1.2.1/24
ja tulemüür kahes
# ifconfig carp101 vhid 101 carpdev vlan101 advskew 100 10.1.1.1/24 # ifconfig carp102 vhid 102 carpdev vlan102 advskew 100 10.1.2.1/24
Serverite seadistamine
Debian GNU/Linux
Linuxi seadistamiseks sobib öelda
# modprobe bonding mode=active-backup miimon=100 # ifconfig bond0 10.100.0.200 netmask 255.255.255.0 # ifenslave bond0 eth0 eth1
tulemusena tekib selline bonding seade
# cat /proc/net/bonding/bond0 Ethernet Channel Bonding Driver: v3.2.5 (March 21, 2008) Bonding Mode: fault-tolerance (active-backup) Primary Slave: None Currently Active Slave: eth4 MII Status: up MII Polling Interval (ms): 100 Up Delay (ms): 0 Down Delay (ms): 0 Slave Interface: eth4 MII Status: up Link Failure Count: 1 Permanent HW addr: 00:06:4f:63:e3:d7 Slave Interface: eth5 MII Status: down Link Failure Count: 1 Permanent HW addr: 00:06:4f:32:00:35
FreeBSD
L2 redundantsuse kasutamine
Tulemusena peab süsteem jääma käima kui ühendada lahti kummagi switchi küljest üks kaabel, kusjuures ükskõik kumb.
