コントローラのハイ アベイラビリティ(HA)によって、コントローラのフェールオーバーで生じる無線ネットワークのダウン タイムを短縮することができます。
1:1(アクティブ:スタンバイホット)のアクセス ポイント ステートフル スイッチオーバー(AP SSO)がサポートされています。 HA アーキテクチャでは、1 台のコントローラはプライマリ コントローラとして、別のコントローラはセカンダリ コントローラとして設定されています。
HA を有効にした後、プライマリおよびセカンダリ コントローラがリブートされます。 ブート プロセス中に、プライマリ コントローラのロールはアクティブとして、セカンダリ コントローラのロールはスタンバイ ホットとしてネゴシエートされます。 スイッチオーバー後、セカンダリ コントローラは、アクティブ コントローラになり、プライマリ コントローラがスタンバイホット コントローラになります。 それ以降の切り替えの後、ロールは、プライマリおよびセカンダリ コントローラ間で交換されます。 スイッチオーバーの原因は、手動トリガー、またはコントローラやネットワークの障害のいずれかです。
AP SSO 中に、すべての AP セッションはステートフルにスイッチオーバーして、FlexConnect モードでローカルに切り替えられたクライアントを除くすべてのクライアントは認証解除され、新しいアクティブ コントローラに再アソシエートされます。
スタンバイホット コントローラは、専用のリダンダンシー ポートに有線で直接接続したアクティブ コントローラの状態を連続してモニタします。 両方のコントローラは管理インターフェイスの IP アドレスを含め、同じ設定を共有します。
HA を有効にする前に、両方のコントローラがイーサネット ケーブルを使用して、冗長ポート経由で物理的に接続されていることを確認します。 また、アップリンクがインフラストラクチャ スイッチに接続され、ゲートウェイが両方のコントローラから到達可能であることを確認します。
HA アーキテクチャでは、リダンダンシー ポートおよびリダンダンシー マネジメント インターフェイスが新しく導入されました。
アクティブ コントローラからスタンバイ コントローラへのクライアントのシームレスな移行もサポートされます。 実行状態にないクライアントはスイッチオーバー後に削除されます。 クライアントのステートフル スイッチオーバー中(クライアント SSO)に、クライアントがコントローラに関連付けられている、または設定されている場合、クライアントの情報がスタンバイ コントローラと同期されます。 完全に認証されたクライアント、つまり、実行状態にあるクライアントはピア コントローラと同期されます。 クライアントのデータ構造は、クライアントの状態に基づいて同期されます。 過渡状態にあるクライアントは、スイッチオーバー後にアソシエーションが解除されます。
次に、ハイ アベイラビリティに関する注意事項を示します。 -
異なるハードウェア モデルの 2 台のコントローラを組み合わせないことを推奨します。 それらを組み合わせると、より優先順位が高いコントローラ モデルはアクティブ コントローラになり、他のコントローラはメンテナンス モードになります。
-
コントローラ ソフトウェア リリースの異なる 2 台のコントローラを組み合わせないことを推奨します。 それらを組み合わせると、優先順位のより低いリダンダンシー マネジメント アドレスを持つコントローラは、アクティブ コントローラになり、他のコントローラはメンテナンス モードになります。
-
イメージ、設定、Web 認証バンドル、およびシグニチャ ファイルなど、ダウンロードしたファイル タイプはすべて、アクティブ コントローラで最初にダウンロードされてから、スタンバイホット コントローラにプッシュされます。
-
組み合わせる前に、証明書を各コントローラに個別にダウンロードする必要があります。
-
アクティブ コントローラの GUI または CLI を使用して、設定、イベント ログ、クラッシュ ファイルなどの、ファイル タイプをスタンバイホット コントローラからアップロードできます。 また、ファイル名にアップロードされたファイルを識別するサフィックスを指定できます。
-
ピア アップロードを実行するには、サービス ポートを使用します。 管理ネットワークでは、管理 VLAN と同様に、リダンダンシー ポートまたは RMI VLAN、もしくはその両方にマッピングされたリダンダンシー マネジメント インターフェイス(RMI)を使用することもできます。 RMI および RP が 2 つの異なる L2 VLAN にあることに注意してください。これは必須設定です。
-
コントローラが冗長ポートおよび RMI を介して相互に接続できない場合、プライマリ コントローラがアクティブになり、スタンバイホット コントローラはメンテナンス モードになります。
(注) |
2 つの Cisco WiSM2 プラットフォーム間の HA を実現するには、複数のシャーシ間で仮想スイッチング システム(VSS)を使用してリダンダンシー VLAN を拡張することで、コントローラを単一シャーシまたは複数のシャーシで展開する必要があります。
|
(注) |
リダンダンシー VLAN は非ルーティング VLAN にする必要があります。その場合、レイヤ 3 インターフェイスは VLAN に作成するべきではなく、複数のシャーシ間の HA 設定を展開するように、インターフェイスがトランク ポートで許可できるようにします。 リダンダンシー VLAN は、他のデータ VLAN 同様に Cisco IOS ベースのスイッチング ソフトウェアで作成する必要があります。 リダンダンシー VLAN は、バックプレーン経由でシスコ WiSM2 の冗長ポートに接続されます。 IP アドレスが自動的に生成されるため、リダンダンシー VLAN の IP アドレスを設定する必要はありません。 また、リダンダンシー VLAN が管理 VLAN と同じではないことを確認します。
|
(注) |
組み合わせている 2 台のコントローラの RMI(同じ VLAN にマッピングされ、同じレイヤ 3 スイッチに接続されている)が動作を停止すると、スタンバイ コントローラが再起動されます。
|
- HA が有効な場合、スタンバイ コントローラは常にリダンダンシー マネジメント インターフェイス(RMI)を使用します。他のすべてのインターフェイス(ダイナミック、および管理)は無効です。 ping は発信元としてリダンダンシー マネジメント インターフェイス(RMI)のみを受理する必要があり、その他のインターフェイスは受け取りません。
- HA が有効な場合、バック アップされたイメージを使用しないでください。 このイメージが使用されると、HA 機能が想定どおりに機能しない可能性があります。
-
SSO をイネーブルにすると、設定されているサービス ポートとルート情報が失われます。 SSO をイネーブルにした後は、サービス ポートとルート情報を再設定する必要があります。 peer-service-port および peer-route コマンドを使用して、スタンバイホット コントローラのサービス ポートとルート情報を設定できます。
-
Cisco WiSM2 については、冗長性をイネーブルにした後、サービス ポートの再設定が必要です。 そうしないと、Cisco WiSM2 はスーパーバイザと通信できない場合があります。 冗長性をイネーブルにする前に、サービス ポートで DHCP を有効にすることを推奨します。
-
スタンバイホット コントローラで reset コマンドを直接使用しないことを推奨します。 これを使用すると、保存されていない設定は失われます。
-
インフラストラクチャ スイッチのポート チャネルをイネーブルにする前に、コントローラのリンク集約(LAG)の設定をイネーブルにすることを推奨します。
-
アクティブ コントローラのリブートが必要なすべての設定により、結果として、スタンバイホット コントローラがリブートされます
-
[Ignore AP] リストでは、アクティブ コントローラからスタンバイホット コントローラに同期されません。 リストは、スタンバイホット コントローラがアクティブになると、Cisco Prime Infrastructure の SNMP メッセージを通じて再学習されます。
- クライアント SSO 関連の注意事項
-
スタンバイ コントローラは 2 つのクライアント リストを保持します。実行状態のクライアントのリストおよび他のすべての状態である一時的なクライアントのリストです。
-
実行状態にあるクライアントのみがフェールオーバー中に保持されます。 ローミング、802.1X キーの再生成、Web 認証のログアウトなどの過渡状態にあるクライアントのアソシエーションは解除されます。
-
AP SSO と同様に、クライアント SSO は WLAN でのみサポートされます。 コントローラは、同じサブネット内にある必要があります。 L3 接続はサポートされません。
- リリース 7.3.x では AP SSO はサポートされますが、クライアント SSO はサポートされていないため、リリース 7.3.x を使用する HA セットアップでスイッチオーバーが発生した後で、Cisco WLC に関連付けられているすべてのクライアントは認証解除され、再アソシエーションを要求されます。
- ピア コントローラにリリース 7.2 以前のコントローラ ソフトウェア リリースがある場合、スイッチオーバー後のアクティブ コントローラにモビリティ MAC アドレスを設定する必要があります。
リダンダンシー マネジメント インターフェイス
アクティブおよびスタンバイホット コントローラでは、リダンダンシー マネジメント インターフェイスを使用して、ネットワーク インフラストラクチャを介して管理インターフェイスのピア コントローラおよびデフォルト ゲートウェイの健全性をチェックします。
また、障害が発生または手動でリセットした場合に、リダンダンシー マネジメント インターフェイスがアクティブ コントローラからスタンバイホット コントローラに通知を送信するために使用されます。 スタンバイホット コントローラは、Syslog、NTP、FTP および TFTP サーバと通信するためにリダンダンシー マネジメント インターフェイスを使用します。
プライマリ コントローラおよびセカンダリ コントローラの両方で同じサブネット内のリダンダンシー マネジメント インターフェイスおよび管理インターフェイスの IP アドレスを設定する必要があります。
リダンダンシー ポート
リダンダンシー ポートは、設定、動作データの同期、プライマリおよびセカンダリ コントローラ間のロール ネゴシエーションに使用されます。
リダンダンシー ポートは、スタンバイホット コントローラからアクティブ コントローラに 100 ミリ秒ごとに(デフォルトの頻度)UDP キープアライブ メッセージを送信することによってピアの到達可能性を確認します。 アクティブ コントローラの障害が発生した場合、リダンダンシー ポートがスタンバイホット コントローラを通知するために使用されます。
NTP サーバが設定されていない場合、リダンダンシー ポートがアクティブ コントローラからスタンバイホット コントローラに時刻同期を行います。
Cisco WiSM2 では、利用可能な物理リダンダンシー ポートがないため、リダンダンシー VLAN を Cisco Catalyst 6000 スーパーバイザ エンジンで設定する必要があります。
Cisco WiSM2 のリダンダンシー ポートおよびリダンダンシー VLAN には、最後の 2 オクテットがリダンダンシー マネジメント インターフェイスの最後の 2 オクテットから取得され、自動的に生成された IP アドレスが割り当てられます。 最初の 2 オクテットは常に 169.254 です。 たとえば、リダンダンシー マネジメント インターフェイスの IP アドレスが 209.165.200.225 の場合、リダンダンシー ポートの IP アドレスは 169.254.200.225 です。
リダンダンシー ポートは L2 スイッチを介して接続できます。 リダンダンシー ポートのラウンドトリップ時間は、キープアライブ タイマーがデフォルトの 100 ミリ秒に設定されている場合は 80 ミリ秒未満、キープアライブ タイマーが 100 ミリ秒~ 400 ミリ秒の範囲に設定されている場合はキープアライブ タイマーの 80% にしてください。 たとえば、キープアライブ タイマーが 100 ミリ秒に設定されている場合、障害検出時間は次のように計算されます:3 * 100 = 300 + 60 = 360 + ジッタ(12 ミリ秒) = ~ 400 ミリ秒。 リダンダンシー ポート間の帯域幅が 60 Mbps 以上であることを確認します。 最大伝送単位(MTU)が 1500 バイト以上であることを確認します。
暗号化のサポート
アクティブおよびスタンバイ コントローラ間の HA 関連メッセージの暗号化は、Data Transport Layer Security(DTLS)の使用でサポートされています。 暗号化は、デフォルトで無効になっています。 暗号化は、設定、AP とクライアントの同期化でサポートされています。
暗号化は、アクティブおよびスタンバイ コントローラが管理ポートのリダンダンシー インターフェイス経由で通信する場合にのみサポートされます。 暗号化は、リダンダンシー ポートがアクティブ コントローラとスタンバイ コントローラ間の通信に使用される場合はサポートされません。 ただし、リダンダンシー ポートにマッピングされたリダンダンシー マネジメント インターフェイスはデフォルトのオプションです。 リダンダンシー マネジメント インターフェイスがリダンダンシー ポートにマッピングされていない場合、HA 情報がネットワークに送信されるので、暗号化が有効になります。
暗号化が 1 台のコントローラで有効になっており、他方で無効の場合、コントローラはペアになりますが、冗長リンクによるデータ同期は暗号化されません。 暗号化は、設定および AP とクライアントの同期化でサポートされています。 ロール ネゴシエーションとキープアライブ メッセージは暗号化されません。