关于 Cisco Secure Firewall 3100的集群
本节介绍集群架构及其工作原理。
集群如何融入网络中
集群包含多台防火墙，作为单一设备工作。要用作集群，该防火墙需要以下基础设施：
-
独立的高速背板网络（称为集群控制链路）用于集群内的通信。
-
对每台防火墙的管理访问权限，用于进行配置和监控。
将集群接入网络中时，上游和下游路由器需要能够使用跨网络 EtherChannel 使出入集群的数据实现负载均衡：将多个集群成员上的接口分组为一个 EtherChannel；EtherChannel 在设备之间执行负载均衡。
控制和数据节点角色
一个集群成员是控制节点。如果多个集群节点同时上线，则控制节点由中的优先级设置决定；优先级可设置为 1 到 100，其中 1 为最高优先级。所有其他成员都是数据节点。 首次创建集群时，您可以指定要成为控制节点的节点，因为它是添加到集群的第一个节点，所以它将成为控制节点。
集群中的所有节点共享同一个配置。您最初指定为控制节点的节点将在数据节点加入集群时覆盖数据节点上的配置，因此您只需在形成集群之前在控制节点上执行初始配置。
有些功能在集群中无法扩展，控制节点将处理这些功能的所有流量。
集群接口
您可以将每个机箱的一个或多个接口组成跨集群中所有机箱的 EtherChannel。EtherChannel 汇聚通道中所有可用活动接口上的流量。在路由模式和透明防火墙模式下均可配置跨区以太网通道。在路由模式下，EtherChannel 配置为具有单个 IP 地址的路由接口。在透明模式下，IP 地址分配到 BVI 而非网桥组成员接口。负载均衡属于 EtherChannel 固有的基本操作。
集群控制链路
每台设备至少必须将一个硬件接口专门用作集群控制链路。我们建议将 EtherChannel 用于集群控制链路（如果可用）。
集群控制链路流量概述
集群控制链路流量包括控制流量和数据流量。
控制流量包括：
-
控制节点选举。
-
配置复制。
-
运行状况监控。
数据流量包括：
-
状态复制。
-
连接所有权查询和数据包转发。
集群控制链路接口和网络
您可以将任何物理接口或 EtherChannel 用于集群控制链路。VLAN 子接口不能用作集群控制链路。您也无法使用管理/诊断接口。
每条集群控制链路都有一个属于同一子网的 IP 地址。此子网应与所有其他流量隔离，并且只包括集群控制链路接口。
 注 |
对于有 2 个成员的集群，请勿将集群控制链路从一个节点直接连接到另一个节点。如果直接连接两个接口，则当一台设备发生故障时，集群控制链路失效，会导致剩下的那台正常设备也发生故障。而如果通过交换机连接集群控制链路，则集群控制链路仍会对正常设备打开。如果需要直接连接设备（例如，出于测试目的），则应在形成集群之前在两个节点上配置并启用集群控制链路接口。 |
确定集群控制链路规格
如果可能，应将集群控制链路的大小设定为与每个机箱的预期吞吐量匹配，以使集群控制链路可以处理最坏情况。
集群控制链路流量主要由状态更新和转发的数据包组成。集群控制链路在任一给定时间的流量大小不尽相同。转发流量的大小取决于负载均衡的效率或是否存在大量用于集中功能的流量。例如：
-
NAT 会使连接的负载均衡不佳，需要对所有返回流量进行再均衡，将其转发到正确的设备。
-
当成员身份更改时，集群需要对大量连接进行再均衡，因此会暂时耗用大量集群控制链路带宽。
带宽较高的集群控制链路可以帮助集群在发生成员身份更改时更快地收敛，并防止出现吞吐量瓶颈。
注 |
如果集群中存在大量不对称（再均衡）流量，应增加集群控制链路的吞吐量大小。 |
集群控制链路冗余
下图显示了如何在虚拟交换系统 (VSS)、虚拟端口通道 (vPC)、StackWise 或 StackWise Virtual 环境中使用 EtherChannel 作为集群控制链路。EtherChannel 中的所有链路都是活动链路。如果交换机是冗余系统的一部分，则您可以将同一个 EtherChannel 中的防火墙接口连接到冗余系统中单独的交换机。交换机接口是同一个 EtherChannel 端口通道接口的成员，因为两台不同的交换机的行为就像一台交换机一样。请注意，此 EtherChannel 是设备本地的，而非跨网络 EtherChannel。
集群控制链路可靠性
为了确保集群控制链路的功能，设备之间的往返时间 (RTT) 务必要小于 20 毫秒。此最大延迟能够增强与不同地理位置安装的集群成员的兼容性。要检查延迟，请在设备之间的集群控制链路上执行 ping 操作。
集群控制链路必须可靠，没有数据包无序或丢弃数据包的情况；例如，站点间部署应使用专用链路。
配置复制
集群中的所有节点共享一个配置。您只能在控制节点上进行配置更改（引导程序配置除外），这些更改会自动同步到集群中的所有其他节点。
管理网络
您必须使用管理接口来管理每个节点；集群不支持从数据接口进行管理。
）
）
）
）
反馈