Explicación de las técnicas VGMP utilizado en firewall de Huawei - parte 2

3 Técnica VGMP cuando los firewalls acceden de manera transparente y se conectan a los enrutadores

En la Figura 1-3, las interfaces de servicio ascendente y descendente de dos firewalls funcionan en la Capa 2 y están conectadas a los enrutadores. OSPF se está ejecutando entre los dos cortafuegos. En este tipo de redes, los métodos de supervisión de fallas y dirección de tráfico adoptados por los grupos de VGMP de los firewalls son esencialmente los mismos que en la técnica de 02 VGMP cuando los firewalls acceden de manera transparente y se conectan a los switches, es decir, que VLAN se usa para monitorear fallas de interfaz y controlar la dirección del tráfico.

La diferencia entre estos métodos radica en el hecho de que la red descrita en esta sección solo es compatible con el método de reparto de carga de espera activa, y no es compatible con la conmutación por error activa / en espera. Esto se debe a que, si funciona con el método de conmutación por error activo / en espera, se deshabilitará la VLAN del dispositivo de respaldo y sus enrutadores ascendentes y descendentes no podrán comunicarse o establecer rutas OSPF. Por lo tanto, cuando se produjo el cambio activo / en espera, la VLAN del nuevo dispositivo primario (el dispositivo de respaldo original) se habilitaría, y sus enrutadores ascendentes y descendentes solo comenzarían a construir nuevas rutas OSPF. Sin embargo, la construcción de nuevas rutas OSPF requiere una cierta cantidad de tiempo, y esto resultaría en una interrupción temporal del servicio.

Figura 1-3 Conexión en red con firewall que accede de forma transparente a los enrutadores y se conecta a ellos.

Los pasos para configurar el grupo VGMP para monitorear los estados de la interfaz (compartir la carga) a través de la VLAN se muestran en la Tabla 1-3.

Tabla 1-3 Configuración del grupo VGMP para monitorear interfaces usando una VLAN (carga compartida)

NOTA

Cuando las interfaces de servicio de los firewalls funcionan en la Capa 2 y están conectadas a los routers, no utilice el método hot standby active/standby. Esto ya  que la VLAN del dispositivo de respaldo está deshabilitada y sus routers ascendentes y descendentes no puede comunicarse y, por lo tanto, no pueden establecer rutas. Por lo tanto, durante la conmutación active/standby, el dispositivo de respaldo no puede reemplazar inmediatamente el dispositivo primario, lo que resulta en una interrupción del servicio.

Después de la configuración, ya que hay grupos VGMP activos tanto en FW1 como en FW2, FW1 y FW2 son dispositivos primarios, y cada uno de sus VLAN2 reenviará el tráfico. En este momento, la tabla de enrutamiento de R1 muestra que el tráfico que va a PC2 se puede reenviar a través de FW1 o FW2.

<R1> display ip routing-table

Route Flags: R - relay, D - download to fib

------------------------------------------------------------------------------

Routing Tables: Public

         Destinations : 14       Routes : 15      

Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface

1.1.1.0/24      OSPF    10    2           D    10.1.1.2        GigabitEthernet0/0/1

OSPF    10    2           D    10.1.2.2        GigabitEthernet0/0/2

Después de que una de las interfaces de servicio de FW1 falla, los dos grupos de VGMP de los cortafuegos realizarán la conmutación de estado y el estado de espera activa cambiará de carga compartida a conmutación por error active/standby. Cuando el estado del grupo VGMP de FW1 cambia de acti**** en espera, todas las interfaces en los grupos VLAN se apagarán y luego se activarán. Esto hará que las rutas de los enrutadores ascendentes y descendentes cambien y converjan, por lo que todo el tráfico se dirigirá a FW2.

En este momento, la tabla de enrutamiento de R1 (a continuación) también muestra que el siguiente salto de paquetes que van a la red 1.1.1.0 ha cambiado a la dirección 10.1.2.2 de R2 GE0 / 0/2.

<R1>display ip routing-table

Route Flags: R - relay, D - download to fib

------------------------------------------------------------------------------

Routing Tables: Public

         Destinations : 10       Routes : 11      

Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface

        1.1.1.0/24    OSPF    10   2            D   10.1.2.2        GigabitEthernet0/0/2

        10.1.2.0/24   Direct  0    0            D   10.1.2.1        GigabitEthernet0/0/2

4 Técnicas de Monitoreo de Interfaz Remota de Grupos VGMP

Las técnicas utilizadas por los grupos VGMP para manejar varias redes de espera activa se describieron anteriormente, y en estos grupos los grupos VGMP monitoreaban las interfaces propias del firewall. A continuación, veremos dos técnicas para la supervisión en grupo VGMP de interfaces remotas. Las "interfaces remotas" se refieren a las interfaces de otros dispositivos en un enlace. Cuando falla una interfaz remota supervisada por un grupo VGMP, la prioridad del grupo VGMP se reduce en 2, tal como hemos visto anteriormente. Las técnicas mediante las cuales VGMP supervisa las interfaces propias de los firewalls se pueden utilizar junto con las técnicas mediante las cuales se supervisan las interfaces remotas.

Es importante tener en cuenta que los dos tipos de técnicas para que VGMP monitoree las interfaces remotas solo se pueden usar en redes en las que las interfaces de servicio de los firewalls funcionan en la Capa 3, porque solo las interfaces de la Capa 3 tienen direcciones IP y pueden enviar enlaces IP Paquetes de detección de BFD a los dispositivos remotos.

·         Monitoreo del estado de las interfaces remotas usando un enlace IP

El método es establecer un enlace IP para probar la interfaz remota y luego hacer que el grupo VGMP monitoree el estado del enlace IP. Cuando una interfaz que se prueba a través de un enlace IP falla, el estado del enlace IP cambiará a Inactivo, y el grupo VGMP percibirá el cambio de estado del enlace IP y, por lo tanto, reducirá su propia prioridad.

Como se muestra en la Figura 1-4, necesitamos usar IP-Link 1 en FW1 (FW2) para inspeccionar la interfaz GE1 / 0/1 de R1 (R2) (una interfaz remota conectada de manera indirecta), y luego agregar IP-Link 1 a la Grupo VGMP activo (en espera) para monitorear el estado de IP-Link 1.

Figura 1-4 Monitoreo VGMP de interfaces remotas utilizando un enlace IP.

Los detalles de la configuración se muestran en la Tabla 1-4 (la configuración de la función de espera activa debe completarse antes de la configuración a continuación)

Tabla 1-4 Configuración de la supervisión VGMP de interfaces remotas mediante el enlace IP.

Monitoreo del estado de la interfaz remota usando BFD

Este método implica el uso de BFD para sondear interfaces remotas, con un grupo de VGMP monitoreando el estado de BFD. Cuando hay una falla en la interfaz remota que está siendo inspeccionada por BFD, el estado de BFD cambiará a Down, y el grupo VGMP percibirá el cambio de estado BFD y, por lo tanto, disminuirá su propia prioridad.

Como se muestra en la Figura 1-5, necesitamos usar la sesión BFD 10 en FW1 (FW2) para probar la interfaz GE1 / 0/1 de R1 (R2) (una interfaz remota conectada indirectamente), y luego agregar la sesión 1 de BFD al activo ( en espera) Grupo VGMP para monitorear el estado de la sesión 1 de BFD.

Figura 1-5 Monitoreo VGMP de interfaces remotas utilizando BFD.

Los detalles de la configuración se muestran en la Tabla 1-5 (la función de espera activa debe configurarse antes de la configuración a continuación)

Tabla 1-5 Configuración de la supervisión VGMP de interfaces remotas utilizando BFD

5 Resumen

En resumen, aunque hay muchas técnicas diferentes de monitoreo de grupo VGMP y dirección de tráfico, todas cumplen con los siguientes dos principios:

·         Siempre que ocurra una falla en una interfaz que está siendo monitoreada por un grupo VGMP, independientemente de si se monitorea directa o indirectamente, y si la supervisión es de la propia interfaz de un firewall o una interfaz remota, la prioridad del grupo VGMP será bajado por 2.

·         Solo los dispositivos primarios (grupo VGMP en el estado activo) dirigirán el tráfico hacia sí mismos, mientras que los dispositivos de respaldo (grupo VGMP en el estado de espera) pensarán en una forma de rechazar que el tráfico se dirija a ellos.

Finalmente, resumiré las relaciones entre las diversas redes de espera activa típicas y las técnicas de supervisión de fallas y dirección de tráfico de VGMP en la Tabla 1-6.

Tabla 1-6 Resumen de las diversas técnicas VGMP de las redes en espera activa.