vFW搭建IRF

0f224d134848c2695d17b688cecd16df.gif

正文共:2328字 40图,预估阅读时间:5 分钟

IRF(Intelligent Resilient Framework,智能弹性架构)技术通过将多台设备连接在一起,虚拟化成一台设备,集成多台设备的硬件资源和软件处理能力,实现多台设备的协同工作、统一管理和不间断维护。

IRF主要有可实现多设备统一管理、提高可靠性、实现跨成员设备的链路聚合、提高网络的扩展能力等优势。

巧的是,操作vFW时我竟然发现有相关命令,那为什么不试一下能不能用呢?

35467e73849604df406e2daa7f348f91.png

8d5a9c37a931362e55cabf0fec546a07.png

环境准备

常规操作中,两台物理防火墙要做IRF,一般需要至少1根堆叠线(有条件的再加1根MAD检测线),在虚拟化平台内部,也就只好通过增加虚拟交换机和端口组来模拟物理线路了。

登录到ESXi管理页面,点击“网络”→“虚拟交换机”→“添加标准虚拟交换机”设置vSwitch名称信息。因为是内部线路,用不到上行链路,在这把上行链路1后面的网卡关掉;因为一个物理网卡只能加入到一个虚拟交换机中,此处删除掉上线链路能方便后续操作。

b9782899e98a86ad84c95da91a73dc68.png

然后点击“网络”→“端口组”→“添加端口组”,设置好名称并选择虚拟交换机为刚刚添加的“IRF link”。

d37047bc7ffe1cb1f74a955f4efbe627.png

创建一台名为“vFW-IRF-Linux-192.168.1.201”的虚拟机,创建过程中先添加IRF链路所用的网卡信息。

cbe10ae9dd2647107a429f6e692e2977.png

虚拟机详细配置信息如下:

b680c398205774fec9d7ed7d1b5e99c5.png

为了保证测试成功,在部署过程中特地选择了“IRF Install”。需要注意的是,不同版本支持安装方式不同,E1166系列版本支持4种部署模式。

8d9e4d7f47829287a5ed246493117900.png

E1171系列版本支持5种部署模式,多了一个Debug Mode模式。

80df4643ba50a6de0b71374cea5a9f66.png

e0c787fb1ab146da7a5c89614fce2688.png

搭建IRF基础环境

部署完成后进入系统,查看接口信息发现和普通部署不同,接口编号多了一位槽位信息。但是接口卡还是不能确定,不能确认哪个接口是IRF链路。

8d603d1993ebba7a23fa37b4c936a34e.png

简单测试一下,在设置中取消IRF port link的连接。

ae0a237674c0533397f93bbbb2419498.png

此时看到接口GE1/1/0状态DOWN了,所以初步推断vFW中接口和虚拟机设置中网卡适配器的对应关系是顺序对应

28ea831305a585a82ae051cfed8a550d.png

简单设置vFW,实现远程登录,操作更方便。(操作参考vFW设备初始化配置调优,因为控制台不支持屏幕滚动,不能查看历史信息。)

aee55ec42b5045f4479d416afd93aaea.png

本次操作我参考了vFW的IRF配置手册,和常规物理设备做IRF有所不同,官网链接如下:

http://h3c.com/cn/d_201911/1246617_30005_0.htm

验证了IRF链路之后,我们再如法炮制,添加一组MAD检测链路。创建名为MAD的虚拟交换机,并添加名为MAD link的端口组

51293bf9e1a14b4fdd23caf313b7b346.png

在虚拟机设置中添加一个新网卡

1446b4fe697a4c5d98ace5f65e384ef5.png

发现直接添加的网卡设备并没有被设备识别到。

0de7571d078191d6c196163474cbd6bf.png

此时需要重启vFW使新的网卡配置生效

a9067d773060b633e734b7b648becf70.png

efddda0c9be48fb85329161888f753c5.png

搭建IRF

链路问题都解决了,接下来先修改设备成员编号,重启生效

c1c5a7ff5f18f33e06e276446880932b.png

修改成员设备vFW1的优先级,使其成为主设备。缺省情况下,成员优先级为1

58a5efc40d03e3b01716197416460712.png

和常规配置不同,vFW配置IRF端口时端口编号需要和IRF成员设备编号相同,所以irf-port 1应该是等于常规的irf-port 1/1。

2d67937a15a5ca25b0bebd1187429499.png

cdd1513f84873b2c7819f9df4cd4dce9.png

一个IRF端口可以与一个或多个IRF物理端口绑定,以提高IRF链路的带宽以及可靠性。可绑定的IRF物理端口的最大数目为2。一个IRF端口必须有至少一个数据通道和控制通道,这两种通道可以部署在一个IRF物理端口上,也可以部署在不同的IRF物理端口上

配置时可以看到,添加成员端口时后面可选type类型,如果不选择,则是将数据通道和控制通道部署在了一个物理端口上

fb95d3eb0de16c03f45263e6d23b902d.png

而如果指定参数区分端口类型,则需要添加两个成员端口;这些差异在配置中都可以看到。

3a71f8ee993ef7c864c97310028df0c4.png

并且从命令提示可以看到,IRF配置的生效方式和常规也不同,需要保存配置后重启网卡来生效。相对于之前的操作,算是有所简化。

vFW2修改成员编号之后发现无法远程,登录控制台查看确认为配置不匹配导致。启动配置文件信息如下,接口仍是旧的接口编号。

d3f67ca96a3efb2ac75bfaad13d0f352.png

97f15d2ff3fa96d0c585fe01e62f9b6a.png

官网解释如下:

修改成员编号后,但是没有重启本设备,则原编号继续生效,各物理资源仍然使用原编号来标识。修改成员编号后,如果保存当前配置,重启本设备,则新的成员编号生效,需要用新编号来标识物理资源;配置文件中,只有IRF端口的编号以及IRF端口下的配置、成员优先级会继续生效,其它与成员编号相关的配置(比如普通物理接口的配置等)不再生效,需要重新配置。

55b6512f9ce83cb606b687dd334ca695.png

保存一下当前配置。

826a6a276d06bb436fa57535476a20b4.png

再次查看配置文件,发现接口编号同步过来了。

eebebd0fe35a656407a721af203a1945.png

按照指导操作(进入到IRF-port下,添加成员端口,重启网卡)完成IRF配置,因为默认开启了irf auto-merge,所以会自动加入IRF。

08e70dd671e0459379a1ffe6fcc7765c.png

搭建完成后,查看IRF状态如下。

321b61e3d7aae0385da945e228ce2d23.png

查看设备接口信息如下。

4ace69c8c763f0b3e1a61dbfd966fba9.png

并且又发现了一个save safely操作,实际使用发现和常规保存一样。

e334ea3189e42bb03bccde35a4b3eccd.png

6516032475637d4ae5f2b6446414e252.png

MAD检测

IRF链路故障会导致一个IRF变成多个新的IRF。未尽量降低IRF分裂对业务的影响,一般建议配置MAD(Multi-Active Detection,多Active检测)检测。MAD主要提供分裂检测、冲突处理和故障恢复功能,不同MAD检测方式冲突处理原则不同,不允许同时配置:LACP MAD和ARP MAD、ND MAD冲突处理的原则不同;BFD MAD和ARP MAD、ND MAD冲突处理的原则不同。

虽然当前环境下用不到,但我还是选择用BFD MAD这种常用的检测方式来演示一下。首先按照完成配置,具体如下:

#
vlan 3000
#
interface Vlan-interface3000
 mad bfd enable
 mad ip address 30.3.3.1 255.255.255.0 member 1
 mad ip address 30.3.3.2 255.255.255.0 member 2
#
interface GigabitEthernet1/3/0
 port link-mode bridge
 port access vlan 3000
#
interface GigabitEthernet2/3/0
 port link-mode bridge
 port access vlan 3000

检测状态发现不正常,显示为Faulty,正常应该显示Normal

242ab77661970e1dbdb1c1215dbdd422.png

调整端口组VLAN ID为对应的3000

8e0bcb4849d01a66cc18649670d3a986.png

此时MAD状态恢复正常Normal状态。

5e9f9b2037798ae06742fa78e8a9a715.png

f72e5c43f284d19a73d6a6ecf4760438.png

IRF信息查看

日常操作中,除了使用display irf显示IRF中所有成员设备的相关信息使用display mad verbose显示MAD配置信息外,还会用到display irf configuration显示IRF中所有成员设备的配置信息

85038190b1ce554c1c03e2ba6fd8ba71.png

使用display irf forwarding显示指定成员设备收到的IRF Hello报文的信息

19b5736301efb5fced0fbf2c5535ac14.png

使用display irf link显示IRF链路信息

9fd38267df6a408f4b450d53b071889c.png

还有一些其它操作可以参考之前文章(IRF堆叠使用问题分析)。

0abfa27e6b405405ea4ec45d337d6cd0.png

使用场景探索

提醒一下,也就是做实验,日常使用可不要像我这么玩,还是很吃服务器性能的,CPU消耗最严重。vFW设备内查看CPU、内存利用率。

ce221f8437cb894ae292b65e7d3c1c28.png

主机CPU使用情况。

8b0075449713b26dd14dcc3c80be5fe2.png

数据转发消耗了很大的CPU。

ef32a22820622dc306af91f0f5798c17.png

IRF接口使用率始终保持在500Mb左右。

750d835d710270c31b4091e8c55dcd61.png

MAD检测端口也差不多有100Mb的广播报文。

66abcab6e83feb2c3b1105ae538fa410.png

最终确认为MAD检测链路消耗了过多主机资源,关掉之后CPU利用率降到了25%。

3f74452fcc28fe4a89b82e36d68a610d.png

我开始也在想,既然都使用vFW了,为什么还要做IRF呢?配置不够了直接扩容配置不就行了吗?但后来我意识到这实际上主要是为了提高网络的健壮性

像我这样在一台服务器上搭两台vFW的实际应用场景应该是没有,更多的可能是现场有多台服务器的场景,不同服务器上的vFW做IRF,这样能分担不同的流量场景,并且通过冗余配置和联动配置来实现业务的高可靠性,实现一台服务器挂死之后另一台服务器的感知,来响应这部分业务。

关于在vFW环境下怎么验证冗余备份的可靠性配置,还得容我再想一下。

8c437334c6bee83a79ef77700543c2ea.gif

长按二维码
关注我们吧

39a3d25b049eb60beeb5c250cf237d33.jpeg

更多推荐

           

脱掉等保的“神秘外衣”

主机安全漏洞解决方案

H3C防火墙特征库升级失败排查

V7防火墙配置基本操作

vFW设备初始化配置调优

网络后沿:零信任网络

       

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:/a/219440.html

如若内容造成侵权/违法违规/事实不符,请联系我们进行投诉反馈qq邮箱809451989@qq.com,一经查实,立即删除!

相关文章

Selenium自动化测试技巧还不知道吗?

1、前言 与以前瀑布式开发模式不同,现在软件测试人员具有使用自动化工具执行测试用例套件的优势,而以前,测试人员习惯于通过测试脚本执行来完成测试。 但自动化测试的目的不是完全摆脱手动测试,而是最大程度地减少手动运行的测试…

玻色量子计算应用奖公布!MathorCup大赛圆满落幕

2023年8月15日,中国优选法统筹法与经济数学研究会主办的2023年第十三届MathorCup高校数学建模挑战赛圆满落幕。为了培养优秀学子的创新意识及运用数学方法和量子计算技术解决实际问题的能力,推动量子计算的实际落地应用,北京玻色量子科技有限…

计算机网络:可靠数据传输(rdt)、流水协议、窗口滑动协议

文章目录 前言一、Rdt1.Rdt1.02.Rdt2.03.Rdt2.14.Rdt2.25.Rdt3.0 二、流水线协议1.滑动窗口(slide window)协议发送窗口接收窗口正常情况下的2个窗口互动异常情况下GBN的2个窗口互动异常情况下SR的2窗口互动GBN协议和SR协议的异同 2.小结 总结 前言 Rdt…

Linux之重谈文件和c语言文件接口

重谈文件 文件 内容 属性, 所有对文件的操作都是: a.对内容操作 b.对属性操作 关于文件 一: 即使文件的内容为空,该文件也会在磁盘上也会占空间,因为文件不仅仅只有内容还有文件对应的属性,文件的内容会占用空间, 文件的属性也…

Leetcode每日一题学习训练——Python3版(从二叉搜索树到更大和树)

版本说明 当前版本号[20231204]。 版本修改说明20231204初版 目录 文章目录 版本说明目录从二叉搜索树到更大和树理解题目代码思路参考代码 原题可以点击此 1038. 从二叉搜索树到更大和树 前去练习。 从二叉搜索树到更大和树 给定一个二叉搜索树 root (BST),请…

麦田医学CEO参加2023年度苏州市青年创业标兵授奖仪式

麦田医学CEO参加2023年度苏州市青年创业标兵授奖仪式 2023年12月4日,麦田(苏州)医学科技有限公司(下简称麦田医学)首席执行官(CEO)李任远同志受邀参加在苏州广电总台举行的2023年度苏州大学生创…

如何在亚马逊平台上找到最畅销的产品

这是您掌握在全球最大的在线市场上销售艺术的首选资源。在本博客中,我们将深入探讨在英国亚马逊上查找最畅销产品的秘密。在浩瀚的选择海洋中导航可能会令人不知所措,但不要害怕——有了正确的策略,您就可以发现利润丰厚的机会并提高销售额。…

C++ day53 最长公共子序列 不相交的线 最大子序和

题目1:1143 最长公共子序列 题目链接:最长公共子序列 对题目的理解 返回两个字符串的最长公共子序列的长度,如果不存在公共子序列,返回0,注意返回的是最长公共子序列,与前一天的最后一道题不同的是子序…

uniapp 在线预览PDF

1、官网地址&#xff1a; https://mozilla.github.io/pdf.js/getting_started/ 2、解压文件到static中 3、定义查看组件FilePreview <template><view><web-view :src"allUrl"></web-view></view> </template><script> e…

(04730)电路分析基础之电阻、电容及电感元件

04730电子技术基础 语雀&#xff08;完全笔记&#xff09; 电阻元件、电感元件和电容元件的概念、伏安关系&#xff0c;以及功率分析是我们以后分析电 路的基础知识。 电阻元件 电阻及其与温度的关系 电阻 电阻元件是对电流呈现阻碍作用的耗能元件&#xff0c;例如灯泡、…

mongoose学习记录

mongoose安装和连接数据库 npm i mongoose导入mongoose const mongoose require(mongoose) mongoose.set("strictQuery",true)连接数据库 mongoose.connect(mongodb:127.0.0.1:27017/test)设置回调 mongoose.connection.on(open,()>{console.log("连接成…

弱口令防护和网站防盗链有什么用

弱口令防护主要针对用户账户的安全。弱口令是指容易被猜测或破解的密码&#xff0c;如常见的密码、简单的数字序列或字典中的单词等。弱口令防护的目的是防止恶意用户或攻击者通过猜测或暴力破解密码的方式获取合法用户的账户权限。通过实施强密码策略、密码复杂度要求和账户锁…

centos 7.9 二进制部署 kubernetes 1.27.7

文章目录 1. 预备条件2. 基础配置2.1 配置root远程登录2.2 配置主机名2.3 安装 ansible2.4 配置互信2.5 配置hosts文件2.6 关闭防firewalld火墙2.7 关闭 selinux2.8 关闭交换分区swap2.9 修改内核参数2.10 安装iptables2.11 开启ipvs2.12 配置limits参数2.13 配置 yum2.14 配置…

【JavaEE进阶】 Spring核⼼与设计思想

文章目录 &#x1f332;Spring 是什么&#xff1f;&#x1f384;什么是IoC呢&#xff1f;&#x1f388;传统程序开发&#x1f388;传统程序开发的缺陷&#x1f388;如何解决传统程序的缺陷&#xff1f;&#x1f388;控制反转式程序开发&#x1f388;对⽐总结规律 &#x1f340;…

十二、FreeRTOS之FreeRTOS任务相关API函数

本节需要掌握以下内容&#xff1a; 1&#xff0c;FreeRTOS任务相关API函数介绍&#xff08;熟悉&#xff09; 2&#xff0c;任务状态查询API函数实验&#xff08;掌握&#xff09; 3&#xff0c;任务时间统计API函数实验&#xff08;掌握&#xff09; 4&#xff0c;课堂总结…

【鸿蒙应用开发】开发环境搭建及IDE安装使用

1.下载安装包 安装包下载地址&#xff1a; 点击跳转下载页面 可以根据自己的操作系统选择对应版本下载。 本文以Windows安装为例&#xff0c;Mac安装方式相同 2. 安装 下载好后&#xff0c;打开安装包&#xff0c;进入安装界面&#xff1a; 点击Next&#xff0c;进入安…

vue创建项目,使用可视化界面安装插件

安装项目&#xff1a; vue create vue-app 选择默认配置就行&#xff0c;也可以按需选择自定义配置 vue ui通过可视化管理项目 通过可视化安装全家桶插件

Spring Cloud 配置 Druid(二)

不废话&#xff0c;直接上代码&#xff0c; Nacos搭建的微服务&#xff0c;可以看Spring Cloud 配置 Nacos&#xff08;一&#xff09;-CSDN博客 一&#xff0c;pom文件 spring-cloud-starter-alibaba-nacos-discovery 和 spring-cloud-starter-openfeign 都是基于spring-cl…

95所双一流高校参与,“搜索界奥林匹克”决出28个获奖团队

只需要回答几个问题&#xff0c;就能生成个性化的简历&#xff0c;还提供优化建议&#xff0c;安排AI模拟面试。这样的效率神器&#xff0c;就出现第二届百度搜索创新大赛的赛场上。 &#x1f680; 来自南京航空航天大学的“肝到凌晨”团队&#xff0c;利用文心一言插件平台“…

【新手解答8】深入探索 C 语言:递归与循环的应用

C语言的相关问题解答 写在最前面问题&#xff1a;探索递归与循环在C语言中的应用解析现有代码分析整合循环示例代码修改注意事项结论 延伸&#xff1a;递归和循环的退出条件设置解析使用递归使用循环选择适合的方法 写在最前面 一位粉丝私信交流&#xff0c;回想起了当初的我C…