Triển khai HA cho mạng doanh nghiệp

TRIỂN KHAI TÍNH NĂNG HIGH AVAILABILITY CHO MẠNG DOANH NGHIỆP *** Tóm tắt: Hầu hết hạ tầng mạng doanh nghiệp cần triển khai tính High Availability (HA) High Availability cung cấp chế dự phòng hạ tầng mạng, đảm bảo host luôn truy cập đến Server quan trọng mạng hay Internet thời điểm Hot Standby Routing Protocol (HSRP) giao thức cung cấp tính High Availability Layer cho hạ tầng mạng Các Cisco Router hay Cisco Layer Switch chạy HSRP tạo gateway ảo đảm nhiệm vai trò chuyển tiếp gói tin cho host mạng HSRP cung cấp chế tracking xác định đường kết nối khác phát đường kết nối bị lỗi hay đối tượng không hoạt động Ngoài ra, HSRP cung cấp chế Load sharing để tối ưu hoá traffic hạ tầng mạng lớn hay có triển khai VLAN Nội dung viết trình bày triển khai chi tiết tính High Availability cho hạ tầng mạng doanh nghiệp với giao thức HSRP Từ khóa: HSRP, High Availability, Virtual Router Giới thiệu Ngày nay, hệ thống CNTT-TT thành phần thiếu, góp phần lớn vào công việc quản lý vận hành doanh nghiệp, lực cạnh tranh hiệu kinh doanh Do vậy, hệ thống mạng máy tính đòi hỏi luôn hoạt động có tính sẵn sàng cao nhằm đảm bảo việc kết nối thông suốt cho việc truyền thông tổ chức Một host mạng, muốn truyền thông với host mạng khác chúng cần sử dụng Default Gateway Giả sử PC A Hình cấu hình Default Gateway hướng đến Router A để chuyển tiếp packet đến File Server A Theo mô hình Hình 1, Router A có chức định tuyến packet nhận đến Subnet, Router B có chức định tuyến đến Subnet B: Nếu Router A bị cố chế định tuyến động tính toán lại định Router B thiết bị chuyển tiếp packet thay cho router A Tuy nhiên, thân PC A nhận biết thông tin định tuyến đến Router B (do PC A cấu hình địa IP default gateway không thay đổi), kết PC A gửi packet đến File Server A Vấn đề đặt làm để Router B thực công việc Router A trường hợp Router A có cố? Hình 1: Mô hình định tuyến nhiều Gateway Trong viết này, tìm hiểu ứng dụng tính sẵn sàng cao (High Availability) chế dự phòng với HSRP thiết bị Layer Switch Cisco Cơ chế dự phòng Cisco Layer Switch với HSRP: 2.1 Giới thiệu giao thức HSRP HSRP chuẩn giao thức định tuyến Cisco Systems, cung cấp tính sẵn sàng cao cho hệ thống mạng cách đưa giải pháp dự phòng cho host mạng LAN HSRP thực định tuyến dòng lưu lượng IP mà không phụ thuộc vào router (bộ định tuyến) đơn lẻ HSRP cho phép kết hợp nhóm interface (giao tiếp) router làm việc với để tạo Virtual Router (bộ định tuyến ảo) default gateway (cổng mặc nhiên) cho host mạng LAN Khi HSRP cấu hình mạng segment (đoạn) chúng cung cấp địa Virtual MAC (địa vật lý ảo), địa Virtual IP (địa IP ảo) chia sẻ cho nhóm router Ngoài ra, HSRP cho phép hai nhiều router cấu hình tính HSRP sử dụng địa MAC địa IP Virtual Router Virtual Router khái niệm, biểu diễn thành phần chung cho routers cấu hình tính HSRP để cung cấp chế dự phòng cho router Một router chọn với vai trò Active Router router khác chọn với vai trò Standby Router Standby Router làm nhiệm vụ điều khiển nhóm địa MAC địa IP Active Router bị lỗi 2.2 Cơ chế Proxy ARP Hình 2: Mô hình mô tả hoạt động theo chế Proxy ARP Cisco IOS sử dụng chế Proxy ARP cho phép host hệ thống mạng không xác định địa MAC host đích lấy địa MAC gateway làm địa MAC host đích Ví dụ: Trong hình 2, router nhận packet ARP request từ PC cho địa IP tương ứng, địa IP không subnet với PC Router gửi packet ARP với MAC Address router A IP địa host đích Như PC tiến hành gửi toàn packet đến địa IP phân giải thành MAC address Router, sau Router lại làm tiếp công việc chuyển packet đến địa IP đích Như vậy, với tính proxy ARP, host đích kết nối mạng với host nguồn thông qua Router Trường hợp Router làm chức Proxy ARP bị lỗi host tiếp tục gửi packet đến Router packet bị huỷ Địa MAC có thời gian sống định bảng ARP cache host Sau khoảng thời gian này, host gửi ARP Request để tìm Proxy ARP để cập nhật Proxy ARP 2.3 Cơ chế dự phòng cho router với HSRP: Hình 3: Cơ chế dự phòng với HSRP Khi thiết lập HSRP router, router lúc hoạt động phối hợp với để tạo Virtual Router, cách dùng chung địa IP địa MAC, hai hay nhiều router hoạt động Virtual Router Địa IP Virtual Router (Virtual IP) cấu default gateway cho máy trạm subnet Khi packet gửi từ host đến default gateway, host dùng chế ARP để phân giải MAC address với địa IP default gateway, Proxy ARP trả với MAC address Virtual Router Các frames gửi đến VirtualMAC address sau frames xử lý tiếp tục Active Router Standby Router trực thuộc nhóm Virtual Router cấu hình Một hay nhiều Router sử dụng giao thức để định Router vật lý có trách nhiệm xử lý frames gửi đến địa Virtual IP địa Virtual MAC, host gửi packet đến Virtual Router Một router vật lý có trách nhiệm chuyển packet tiếp, nhiên router suốt host nguồn đích Router đóng vai trò Active (Active Router) đảm nhiệm công việc chuyển packet router với vai trò Standby (Standby Router) làm dự phòng cho Active Router.Khi Router bị lỗi trình chuyển đổi diễn sau: Standby Router không nhận packet hello từ mộtRouter, Standby Router giả định vai trò lúc Router Lúc trình truyền frames host không bị ảnh hưởng Router dùng địa Virtual IP Virtual MAC chung để thực 2.4 Cơ chế dự phòng Layer với giao thức HSRP Ta xét sơ đồ luận lý đây: Hình 4: Mô hình Virtual Router với HSRP HSRP định nghĩa Standby Group Mỗi router gán vai trò xác định bên Standby Group HSRP cung cấp Gateway dự phòng cho host đầu cuối cách chia sẻ chung địa Virtual IP Virtual MAC gateway dự phòng HSRP truyền thông tin Virtual IP ảo Virtual MAC router nằm HSRP group Một HSRP Group bao gồm thông tin sau: - Active Router - Standby Router - Virtual Router - Other Routers HSRP Active Router Standby Router thực gửi packet Hello đến địa multicast 224.0.0.2, dùng giao thức UDP port 1985 để trì thông tin 2.5 Quá trình hoạt động HSRP Hình 5: Quá trình hoạt động giao thức HSRP Tất router HSRP group có vai trò cụ thể tương tác với nhau: Virtual Router: router ảo tạo với địa IP MAC mà tất thiết bị đầu cuối dùng làm IP Default Gateway Trong đó, Active Router xử lý tất packet tất frame gửi tới địa Virtual Router Active Router: chọn HSRP Group để chuyển packet, gửi địa Virtual MAC đến hostđầu cuối • Trong Hình 6, Router A giả định vai trò Active chuyển tất frames đến địa MAC 0000.0c07.acXX với XX số group HSRP (XX hệ số hexa) • Địa IP địa MAC tương ứng Virtual Router trì bảng ARP Router thuộc HSRP group Để kiểm tra bảng ARP bảng ARP ta dùng lệnh show ip arp Hình 6: Mô tả bảng ARP Router thuộc HSRP Group • Hình hiển thị bảng ARP Router làm thành viên HSRP group VLAN 10 Trong bảng ARP ta thấy Virtual Router có địa 172.16.10.110 có địa MAC 0000.0c07.ac01 với 01 số group Số HSRP group thị dạng số 10 01 hệ số 16 Standby Router: theo dõi trạng thái hoạt động HSRP Group nhanh chóng chuyển sang trạng thái forwarding packet Active Router không hoạt động Cả hai Active Router Standby Router truyền hello message để thông báo cho tất Router khác Group HSRP biết vai trò lúc Các Routers dùng địa destination multicast 224.0.0.2, kiểu truyền UDP port 1985, địa IP nguồn địa IP sending router Ngoài bên HSRP Group chứa số Router khác vai trò Active hay Standby Những Router dạng theo dõi hello message gửi Active Standby Router để chắn Active Standby Router tồn HSRP Group Router forward packet đến địa IP không forward packet đặt địa đến Virtual Router Những Router dạng đọc message thời gian hai packet hello Một số thuật ngữ HSRP: Hello Interval Time: khoảng thời gian hai packet Hello HSRP thành công từ Router, thời gian giây Hold Interval Time: khoảng thời gian hai packet hello nhận giả định sender router bị fail, mặc định 10 giây Khi Active Router bị fail, Router khác thuộc HSRP group không nhận message từ Active Router, Standby Router giả định Active Router, có Router khác bên HSRP Group đưathành Standby Router Hình 7: Quá trình gửi - nhận packet Hello HSRP 2.6 Các trạng thái giao thức HSRP Một Router HSRP Group có 06 trạng thái hoạt động sau: Initial, Learn, Listen, Speak, Standby Active Hình 8: Các trạng thái giao thức HSRP Khi Router số trạng thái thực số hành động định, tất Router HSRP Group chuyển đổi sang tất trạng thái trên.Ví dụ ta có router HSRP Group, router thuộc Group không đóng vai trò Standby hay Active Router trì trạng thái Listen Tất router bắt đầu trạng thái Initial, điều hiển thị HSRP không hoạt động Sau chuyển sang trạng thái Learn, trạng thái router mong chờ thấy HSRP packet từ cácpacket định xem Virtual IP xác định Active Router HSRP Group Khi Interface nhận HSRP Packet kiểm tra Virtual IP tiếp tục chuyển sang trạng thái Listen Mục đích trạng thái Listen để xác định xem có Active hay Standby Router cho HSRP group hay không Nếu có Active hay Standby Router giữ nguyên trạng thái Tuy nhiên packet hello không thấy từ router nào, Interface chuyển sang trạng thái Speak Với trạng thái Speak, router chủ động tham dự vào trình chọn lựa Active Router, Standby Router cách nhìn vào packet hello để xác định vai trò Có dạng timer sử dụng giao thức HSRP active, standby hello Nếu packet hello nhận từ Active HSRP Router khoảng thời gian active, Router chuyển sang trạng thái HSRP mới: Active timer: dùng để giám sát Active Router Timer reset lại vào thời điểm router HSRP Group nhận packet hello gửi từ Active Router Giá trị Timer expire phù hợp với giá trị hold time thiết lập tương ứng với field HSRP hello message Standby timer: dùng để giám sát Standby Router Timer reset lại vào thời điểm Router group HSRP nhận packet hello gửi từ Standby Router Giá trị Timer expire phù hợp với giá trị hold time thiết lập tương ứng với field HSRP hello message Hello timer: thời gian hello packet Tất HSRP Router trạng thái HSRP tạo hello packetkhi mà hello timer hết Hình 9: Quá trình chuyển đổi trạng thái giao thức HSRP Ở trạng thái Standby, Router lúc ứng viên để trở thành Active Router Nó định kỳ gửi packet hello Nó lắng nghe hello message từ Active Router Trong mạng HSRP có Standby Router Hình 10: Quá trình gửi packet Hello Stanby Router Ở trạng thái Active, Router có nhiệm vụ forward packet, gửi địa VirtualMAC HSRP Group, hồi đáp packet ARP request hướng đến địa Virtual IP Active Router định kỳ gửi hello message Trong HSRP group có Active Router Hình 11: Quá trình gửi packet Hello Active Router Triển khai HA với Cisco Layer Switch cho mạng doanh nghiệp 3.1 Mô hình triển khai: Hình 12: Mô hình triển khai HA Cisco Layer Switch 3.2 Cấu hình HSRP cho Cisco Layer Switch: - Cấu hình HSRP DS_SW1: Theo hình 13, cấu hình DS_SW1 với 03 standby group cho DS_SW1 làm Active Router cho vlan10, vlan30 làm Standby Router cho vlan20 Khi cổng FastEthernet1/3 DS_SW1 không hoạt động DS_SW2 lên đóng vai trò Active Router cho vlan 10, vlan30 DS_SW1(config)#interface vlan10 DS_SW1(config-if)#ip address 192.168.10.2 255.255.255.0 DS_SW1(config-if)#standby ip 192.168.10.1 DS_SW1(config-if)#standby priority 150 DS_SW1(config-if)#standby preempt DS_SW1(config-if)#standby track FastEthernet1/3 55 DS_SW1(config-if)#standby authentication ispace10 DS_SW1(config-if)#no shutdown DS_SW1(config)# interface vlan20 DS_SW1(config-if)# ip address 192.168.20.2 255.255.255.0 DS_SW1(config-if)# standby ip 192.168.20.1 DS_SW1(config-if)#standby preempt DS_SW1(config-if)# standby track FastEthernet1/3 DS_SW1(config-if)#standby authentication ispace20 DS_SW1(config-if)#no shutdown DS_SW1(config-if)# interface vlan30 DS_SW1(config-if)#ip address 192.168.30.2 255.255.255.0 DS_SW1(config-if)#standby ip 192.168.30.1 DS_SW1(config-if)#standby priority 150 DS_SW1(config-if)#standby preempt DS_SW1(config-if)#standby track FastEthernet1/3 70 DS_SW1(config-if)#standby authentication ispace30 DS_SW1(config-if)#no shutdown - Cấu hình HSRP DS_SW2: Theo hình 13, cấu hình DS_SW2 với 03 standby group cho DS_SW2 làm Active Router cho vlan20 làm Standby Router cho vlan10, vlan 30 Và cổng FastEthernet1/3 DS_SW2 không hoạt động DS_SW1 lên đóng vai trò Active Router cho vlan 20 DS_SW2(config)#interface vlan10 DS_SW2(config-if)#ip address 192.168.10.3 255.255.255.0 DS_SW2(config-if)#standby ip 192.168.10.1 DS_SW2(config-if)#standby preempt DS_SW2(config-if)#standby track FastEthernet1/3 DS_SW2(config-if)#standby authentication ispace10 DS_SW2(config-if)#no shutdown DS_SW2(config)# interface vlan20 DS_SW2(config-if)# ip address 192.168.20.3 255.255.255.0 DS_SW2(config-if)# standby ip 192.168.20.1 DS_SW2(config-if)#standby priority 150 DS_SW2(config-if)#standby preempt DS_SW2(config-if)# standby track FastEthernet1/3 60 DS_SW2(config-if)#standby authentication ispace20 DS_SW2(config-if)#no shutdown DS_SW2(config-if)# interface vlan30 DS_SW2(config-if)#ip address 192.168.30.3 255.255.255.0 DS_SW2(config-if)#standby ip 192.168.30.1 DS_SW2(config-if)#standby preempt DS_SW2(config-if)#standby track FastEthernet1/3 DS_SW2(config-if)#standby authentication ispace30 DS_SW2(config-if)#no shutdown 3.3 Một số vấn đề lưu ý: Trường hợp cổng FastEthernet1/3 DS_SW1 cổng FastEthernet1/3 DS_SW2 không hoạt động DS_SW1 trở thành Active Router cho vlan10, vlan30 có độ ưu tiên cao DS_SW2 standby group standby group Còn DS_SW2 trở thành Active Router cho vlan20 Lúc traffic vlan forward qua cổng FastEthernet1/2 DS_SW2 Mặc định tính preempt HSRP chưa enable để chiếm quyền active có độ ưu tiên cao Do cấu hình triển khai mạng doanh nghiệp ta cần enable tính lên Interface tracking cho phép theo dõi hoạt động Interface, interface bị theo dõi HSRP group không hoạt động độ ưu tiên group bị giảm theo số khai báo kèm tracking Ví dụ: DS_SW1(config-if)# standby track FastEthernet1/3 70 cổng FastEthernet1/3 không hoạt động độ ưu tiên HSRP group giảm 70 hay nói cách khác độ ưu tiên group DS_SW1 lại 150 – 70 = 80 nhỏ HSRP group DS_SW2, DS_SW2 chuyển lên thành Active Router cho HSRP group Có thể dùng chế chứng thực HSRP group câu lệnh DS_SW2(config-if)# standby authentication ispace30 với key truyền dạng cleartext Từ phiên IOS version 12.3 (2) T trở sau sử dụng chế chứng thực mã hoá key với MD5 HSRP có hai version, ta triển khai cấu hình version (HSRP default) HSRP version tạo group từ đến 255 Các HSRP Router trao đổi gói tin Hello thông qua địa multicast 224.0.0.2, xung đột với giao thức Cisco Group Management Protocol (CGMP) Do hai giao thức không hoạt động đồng thời HSRP version tạo group từ đến 4095 có MAC address từ 0000.0C9F.F000 đến 0000.0C9F.FFFF HSRP version sử dụng địa multicast 224.0.0.102 để gửi gói tin Hello, không bị xung đột với giao thức CGMP Kết luận Hệ thống mạng doanh nghiệp cần phải triển khai sở hạ tầng mạng cho Client truy cập đến Server quan trọng hệ thống mạng hay Internet vào thời điểm Cơ chế dự phòng router cho phép hai nhiều router làm việc group để trì chế forward gói tin IP Một Default Gateway Proxy ARP đơn không cung cấp chế dự phòng cho hệ thống mạng doanh nghiệp HSRP số tính Cisco cung cấp chế dự phòng router hay Cisco Layer Switch cho thiết bị đầu cuối.Các hoạt động HSRP cung cấp chế dự phòng nonstop path cho gói tin IP Một router kích hoạt tính HSRP tồn trạng thái cụ thể di chuyển đến dãy trạng thái HSRP kích hoạt Interface cấu hình với lệnh standby Preempt, timers, Interface tracking tuỳ chọn dùng để cấu hình làm tối ưu chế HA với HSRP Ngoài ra, HSRP cung cấp chế Load Sharing, interface router thành viên nhiều HSRP group Trên group đưa kế hoạch triển khai đóng vai trò Active hay Standby group Nếu Active cho group phải đóng vai trò Standby cho group ngược lại Trong khuôn khổ viết này, trình bày chế dự phòng với HSRP cấu hình Chúng tiếp tục loạt viết chế dự phòng với giao thức VRRP, GLBP, triển khai lab nâng cao với giao thức Hơn nữa, cung cấp cách thức triển khai giao thức trên môi trường mạng doanh nghiệp chạy tảng IPv6 Tài liệu tham khảo [1] Slide giảng môn học Xây dựng hạ tầng mạng, Khoa MTT, Trường CĐN CNTT iSpace, 2012 [2] Campus Network for High Availability Design Guide, Cisco Systems, 2008 [3] Wade Edwards, CCNP® Complete Study Guide, SYBEX Inc, 2005 [...]... Hello của Active Router 3 Triển khai HA với Cisco Layer 3 Switch cho mạng doanh nghiệp 3.1 Mô hình triển khai: Hình 12: Mô hình triển khai HA trên Cisco Layer 3 Switch 3.2 Cấu hình HSRP cho các Cisco Layer 3 Switch: - Cấu hình HSRP trên DS_SW1: Theo hình 13, cấu hình DS_SW1 với 03 standby group sao cho DS_SW1 làm Active Router cho các vlan10, vlan30 và làm Standby Router cho vlan20 Khi cổng FastEthernet1/3... hệ thống mạng hay Internet vào bất kỳ thời điểm nào Cơ chế dự phòng trên router cho phép hai hoặc nhiều router làm việc như một group để duy trì cơ chế forward các gói tin IP Một Default Gateway hoặc Proxy ARP đơn sẽ không cung cấp được cơ chế dự phòng cho hệ thống mạng doanh nghiệp HSRP là một trong số các tính năng của Cisco cung cấp cơ chế dự phòng trên router hay Cisco Layer 3 Switch cho các thiết... Protocol (CGMP) Do vậy hai giao thức này không được hoạt động đồng thời HSRP version 2 có thể tạo các group từ 0 đến 4095 và có MAC address từ 0000.0C9F.F000 đến 0000.0C9F.FFFF HSRP version 2 sử dụng địa chỉ multicast 224.0.0.102 để gửi các gói tin Hello, do vậy không bị xung đột với giao thức CGMP 4 Kết luận Hệ thống mạng của doanh nghiệp luôn cần phải triển khai cơ sở hạ tầng mạng sao cho các Client luôn... group chúng ta sẽ đưa ra kế hoạch triển khai đóng vai trò Active hay Standby group đó Nếu đã Active cho group này thì phải đóng vai trò Standby cho group kia và ngược lại Trong khuôn khổ bài viết này, chúng tôi chỉ trình bày về cơ chế dự phòng với HSRP và cấu hình cơ bản Chúng tôi sẽ tiếp tục loạt bài viết về cơ chế dự phòng với các giao thức VRRP, GLBP, cũng như triển khai lab nâng cao với các giao thức... Active Router cho vlan10, vlan30 vì có độ ưu tiên cao hơn ở DS_SW2 trên standby group 1 và standby group 3 Còn DS_SW2 trở thành Active Router cho vlan20 Lúc này traffic ở các vlan sẽ được forward qua cổng FastEthernet1/2 trên cả DS_SW2 Mặc định tính năng preempt trong HSRP chưa được enable để chiếm quyền active khi có độ ưu tiên cao hơn Do vậy khi cấu hình triển khai trong mạng doanh nghiệp ta cần... các giao thức VRRP, GLBP, cũng như triển khai lab nâng cao với các giao thức đó Hơn thế nữa, chúng tôi sẽ cung cấp cách thức triển khai các giao thức trên trên môi trường mạng doanh nghiệp chạy trên nền tảng IPv6 5 Tài liệu tham khảo [1] Slide bài giảng môn học Xây dựng hạ tầng mạng, Khoa MTT, Trường CĐN CNTT iSpace, 2012 [2] Campus Network for High Availability Design Guide, Cisco Systems, 2008 [3]... Listen Mục đích của trạng thái Listen là để xác định xem có Active hay Standby Router cho HSRP group hay không Nếu như đã có Active hay Standby Router rồi thì nó vẫn giữ nguyên trạng thái Tuy nhiên nếu các packet hello không được thấy từ bất kỳ router nào, Interface chuyển sang trạng thái Speak Với trạng thái Speak, các router chủ động tham dự vào quá trình chọn lựa ra Active Router, Standby Router bằng... DS_SW2, do đó DS_SW2 sẽ chuyển lên thành Active Router cho HSRP group 3 Có thể dùng cơ chế chứng thực giữa các HSRP group bằng câu lệnh DS_SW2(config-if)# standby 3 authentication ispace30 với key truyền đi ở dạng cleartext Từ phiên bản IOS version 12.3 (2) T trở về sau có thể sử dụng cơ chế chứng thực mã hoá key với MD5 HSRP có hai version, ta đang triển khai cấu hình ở trên là version 1 (HSRP default) HSRP... năng này lên Interface tracking cho phép theo dõi hoạt động của Interface, khi interface đang bị theo dõi bởi HSRP group không còn hoạt động thì độ ưu tiên trên group đó bị giảm đi theo số khai báo đi kèm trong tracking Ví dụ: DS_SW1(config-if)# standby 3 track FastEthernet1/3 70 thì khi cổng FastEthernet1/3 không còn hoạt động nữa độ ưu tiên của HSRP group 3 sẽ giảm đi 70 hay nói cách khác độ ưu tiên... DS_SW1(config-if)#no shutdown - Cấu hình HSRP trên DS_SW2: Theo hình 13, cấu hình DS_SW2 với 03 standby group sao cho DS_SW2 làm Active Router cho vlan20 và làm Standby Router cho các vlan10, vlan 30 Và khi cổng FastEthernet1/3 trên DS_SW2 không hoạt động thì DS_SW1 sẽ lên đóng vai trò Active Router cho các vlan 20 DS_SW2(config)#interface vlan10 DS_SW2(config-if)#ip address 192.168.10.3 255.255.255.0 DS_SW2(config-if)#standby