Chassis Cluster for Firefly Perimeter

1. 自宅ラック勉強会 4.0/2014 LT
Chassis Cluster for Firefly Perimeter
2014/2/16
@mempad

2. @mempad
Firefly Perimeterのダウンロード(ユーザ登録)
http://www.juniper.net/ にてユーザ登録が必要
①SUPPORT
②Create User Account
Guest Access権限でDemo SoftwareのDownloadができるようになります。
Web申込みからID発効まで1日くらいかかるようなので気長に返信メールを待つ(o^ｰ’)b

3. @mempad
Firefly Perimeterのダウンロード
Support > Download SoftwareにはDL可の評価版Linkが見当たらないので以下URLから♪
http://www.juniper.net/us/en/products-services/security/firefly-perimeter/
Vmware用OVAファイルGet！
Evaluation Download
からDownloadページに移動できます。

4. @mempad
インストール環境
HPメロン箱サーバ(2代目)に
Chassis Cluster用の2つのFirefly VMを
デブロイします。
Windows 2008 Server VMが動いている
けどもほぼ何もしていないので無視する
方向で(^_^;)
HP ProLiant MicroServer N40L
VMware ESXi5.1

5. @mempad
vSphere ClientからESXiにデブロイ
Downlowdした junos-vsrx-12.1X46-D10.2-domestic.ovaを
vSphere Clientからサクっとデブロイするだけ！

6. @mempad
デブロイにて作成されるNIC(Interfaces)
デブロイでは2インタフェースが作成される。
デブロイ途中にマッピングするネットワークの指定(1つ)が
あり指定したNWに2インタフェース共に所属する。
右図な利用イメージで2インタフェースなのでしょうかね？
物理SW
vSW①
NIC1
Firefly
デブロイで作られるNICは各VMに2つ
NIC2
vSW②
保護する
Guest OS

7. @mempad
今回はChassis Clusterなので こんなNIC構成にしたい！
物理SW
上位
NW
管理VLAN
Service VLAN
Ext-vSW
HA-MGMT
NIC4
NIC2
61
NIC5
NIC4
NIC1
HA-Control
NIC3
NIC1
NIC2
NIC3
62
NIC5
HA-Fabric
Int-vSW
保護する
Guest OS
Step.1
各VMのNIC追加 2⇒5
Step.2
vSWの作成 & IF割り当て
【Point 】 Control/Fabricのみ
vSWのMTU=9000
MACアドレス変更/偽装転送を承諾✔

8. @mempad
NIC構成が終わったらVM起動、Cluster化と＆IP付与
1.
2.
3.
VM起動してvSphere Clientのターミナルから作業
root , (Passなし) でログイン ⇒ root@% cli と入力し root> モード遷移
Stand-alone からClusterへ切り替え (自動再起動する)
1st-VM > set chassis cluster cluster-id 1 node 0 reboot
2nd-VM> set chassis cluster cluster-id 1 node 1reboot
4.
再起動後、NIC2(固定)を使ってClusterが組まれる
> show chassis cluster status
5.
ステータスを見るとPrimary, Secondary になる
最低限必要なコンフィグの投入 <Sample configは次スライド>
rootパスワード
User作成(hoge)
Stand-alone のコンフィグ削除 (ge-0/0/0)
Stand-alone のコンフィグ無効化 (security)
Host名
fxp0 (out-band MGMT) IP付与
fxp0 のStatic経路設定
Secondary用 fxp0 Static経路設定
WebアクセスのInterface指定解除
telnet有効化 (sshは標準で有効)
HA-Fabricのインターフェイスアサイン
ClusterのPriority付け
Multi-chassis設定

9. @mempad
Cluster化と＆IP付与 までのSample config
標準のConfigration は下記に含まず (Default-config からの差分)
delete interfaces ge-0/0/0
deactivate security
delete system services web-management http interface ge-0/0/0
set groups node0 system host-name firefly-node61
set groups node0 system backup-router 192.168.10.253
set groups node0 system backup-router destination 192.168.0.0/16
set groups node0 interfaces fxp0 unit 0 family inet address 192.168.10.61/24
set groups node0 interfaces fxp0 unit 0 family inet address 192.168.10.63/24 master-only
set groups node1 system host-name firefly-node62
set groups node1 system backup-router 192.168.10.253
set groups node1 system backup-router destination 192.168.0.0/16
set groups node1 interfaces fxp0 unit 0 family inet address 192.168.10.62/24
set groups node1 interfaces fxp0 unit 0 family inet address 192.168.10.63/24 master-only
set apply-groups "${node}"
set system root-authentication encrypted-password “$1$/ePylYpM$TfIkrWdT1KTCBBxGb8UiG0”
set system login user hoge class super-user
set system login user hoge authentication encrypted-password “$1$/ePylYpM$TfIkrWdT1KTCBBxGb8UiG0”
set system services telnet
set chassis cluster redundancy-group 0 node 0 priority 200
set chassis cluster redundancy-group 0 node 1 priority 100
set interfaces fab0 fabric-options member-interfaces ge-0/0/2
set interfaces fab1 fabric-options member-interfaces ge-7/0/2
set routing-options static route 192.168/16 next-hop 192.168.10.254
{primary:node0}[edit]
set multi-chassis
mempad@firefly-node61# commit
node0:
configuration check succeeds
node1:
commit complete
node0:
commit complete
JUNOS なので設定完了
したらcommitで設定反映！

10. @mempad
Firefly内部のInterfacesの割り当て
上位
NW
管理VLAN
Service VLAN
Ext-vSW
HA-MGMT
reth0
ge-0/0/3
node0
61
ge-0/0/4
ge-7/0/3
fxp0
fxp1
HA-Control
fab0
fxp0
node1
fxp1
fab1
HA-Fabric
62
ge-7/0/4
reth1
Int-vSW
保護する
Guest OS

11. @mempad
で・・・・・

12. @mempad
Traffic Generatorで負荷かけてみる (゜∀゜)b
上位
NW
管理VLAN
Service VLAN
reth0
HA-MGMT
reth0
ge-0/0/3
node0
61
ge-0/0/4
ge-7/0/3
fxp0
fxp1
HA-Control
fab0
fxp1
fab1
HA-Fabric
62
ge-7/0/4
reth1
reth1
Test VLAN
fxp0
node1

13. @mempad
のまえに、事前ヘルスチェック

14. @mempad
まずは優しくラージパケット ～1518Byte incl.FCS～
上位
NW
管理VLAN
Service VLAN
reth0
HA-MGMT
100Mbps
1518Byte(8,1270pps)
reth0
ge-0/0/3
node0
61
ge-0/0/4
ge-7/0/3
fxp0
fxp1
HA-Control
fab0
fxp1
fab1
HA-Fabric
62
ge-7/0/4
reth1
reth1
Test VLAN
fxp0
node1

15. @mempad
CPUかなり高騰、メモリは倍増

16. @mempad
続いて容赦なくスモールパケット ～64Byte incl.FCS～
上位
NW
管理VLAN
物理SWのtxまではOK
Service VLAN
Firefly にくる前にDrop
reth0
HA-MGMT
100Mbps
64Byte(148,810pps)
reth0
ge-0/0/3
node0
61
ge-7/0/3
fxp0
fxp1
HA-Control
fab0
ge-0/0/4
fxp1
fab1
HA-Fabric
reth1
26Mbps くらい・・・・
62
ge-7/0/4
reth1
Test VLAN
fxp0
node1

17. @mempad
CPUさらに高騰↑、メモリは戻る(別要因だった？)

18. @mempad
トラフィック印加によるFireflyステータス変化①
> show chassis routing-engine よりnode0抜粋
Routing Engine status:
Total memory
Control plane memory
Data plane memory
CPU utilization:
User
Background
Kernel
Interrupt
Idle
Routing Engine status:
Total memory
Control plane memory
Data plane memory
CPU utilization:
User
Background
Kernel
Interrupt
Idle
Routing Engine status:
Total memory
Control plane memory
Data plane memory
CPU utilization:
User
Background
Kernel
Interrupt
Idle
2048 MB Max
1150 MB Max
898 MB Max
1
0
1
0
98
percent
percent
percent
percent
percent
2048 MB Max
1150 MB Max
898 MB Max
0
0
1
0
98
←トラフィック印加前
819 MB used ( 40 percent)
472 MB used ( 41 percent)
350 MB used ( 39 percent)
percent
percent
percent
percent
percent
2048 MB Max
1150 MB Max
898 MB Max
13
0
9
0
78
819 MB used ( 40 percent)
460 MB used ( 40 percent)
350 MB used ( 39 percent)
percent
percent
percent
percent
percent
←ラージパケット印加
819 MB used ( 40 percent)
472 MB used ( 41 percent)
350 MB used ( 39 percent)
←ショートパケット印加

19. @mempad
トラフィック印加によるFireflyステータス変化②
fpc 0 pic 0
Last 60 seconds:
0:
0
1:
0
6:
0
7:
0
12:
0 13:
0
18:
0 19:
0
24:
0 25:
0
30:
0 31:
0
36:
0 37:
0
42:
0 43:
0
48:
0 49:
0
54:
0 55:
0
2:
8:
14:
20:
26:
32:
38:
44:
50:
56:
0
0
0
0
0
0
0
0
0
0
3:
9:
15:
21:
27:
33:
39:
45:
51:
57:
0
0
0
0
0
0
0
0
0
0
4:
10:
16:
22:
28:
34:
40:
46:
52:
58:
0
0
0
0
0
0
0
0
0
0
5:
11:
17:
23:
29:
35:
41:
47:
53:
59:
0
0
0
0
0
0
0
0
0
0
fpc
Last
0:
6:
12:
18:
24:
30:
36:
42:
48:
54:
0 pic 0
60 seconds:
28
1: 26
21
7: 23
21 13: 20
26 19: 28
29 25: 26
26 31: 26
27 37: 25
27 43: 29
27 49: 25
26 55: 26
2:
8:
14:
20:
26:
32:
38:
44:
50:
56:
25
27
20
27
26
22
26
24
26
26
3:
9:
15:
21:
27:
33:
39:
45:
51:
57:
23
27
26
29
25
20
24
25
27
25
4:
10:
16:
22:
28:
34:
40:
46:
52:
58:
25
30
26
27
23
25
25
26
24
27
5:
11:
17:
23:
29:
35:
41:
47:
53:
59:
30
32
22
26
25
26
24
26
24
26
fpc
Last
0:
6:
12:
18:
24:
30:
36:
42:
48:
54:
0 pic 0
60 seconds:
100
1: 100
2: 100
3: 100
4: 100
5: 100
100
7: 100
8: 100
9: 100 10: 99 11: 100
100 13: 100 14: 100 15: 100 16: 100 17: 100
100 19: 99 20: 100 21: 100 22: 100 23: 100
100 25: 100 26: 100 27: 100 28: 100 29: 100
100 31: 100 32: 100 33: 100 34: 100 35: 100
100 37: 100 38: 100 39: 100 40: 100 41: 100
100 43: 99 44: 100 45: 100 46: 100 47: 100
100 49: 100 50: 100 51: 100 52: 100 53: 100
100 55: 100 56: 100 57: 100 58: 100 59: 100
> show security monitoring performance spu
より node0抜粋
←トラフィック印加前
←ラージパケット印加
←ショートパケット印加

20. @mempad
(付録)Smart Window設定
ショートパケット時は
60Byte (+4Byte FCS)

21. Thanx a lot !