利用VRID/VMAC实现更安全的netscaler HA故障切换
利用VRID/VMAC实现更安全的netscaler HA故障切换
virtual MAC在故障切换(failover)中的作用。
在一个HA模式中,首要节点(primary node)拥有所有浮动IP,包括MIP(mapped IP)、VIP(virtual IP)等等。在网络环境中,首要节点会把这些浮动IP和自身的MAC地址返回给ARP请求,从而使得子网外的设备(例如路由器)的ARP表把该MAC和这些IP匹配起来。
当failover发生的时候,次要节点(secondary node)会取代已经故障设备而成为新的首要节点。然后,它会使用GARP(Gratuitous ARP,无故ARP)进行广播,要求其他网络设备更新ARP表,把这些浮动IP对应为它的MAC地址。
这时候问题来了。有些不支持GARP的设备会拒绝更新ARP表,依旧认为这些IP属于故障节点,导致网络流量继续流向“死亡地带”,造成严重后果。
为了解决这个问题,netscaler的方法是设置VMAC(virtual MAC)。VMAC需要在两个节点设备上都进行设置,这样他们就都拥有了一样的MAC地址。failover发生时,次要设备的MAC无须改变,外部设备的ARP表也无须更新。实现了平滑切换。
VMAC的值是用户定义的,方法很简单。在netscaler上创建一个VRID(virtual route identifiler),然后把这个VRID绑定到网络接口,这样系统就会生成一个基于这个VRID的VMAC,最后八位就是VRID的值。前5组数字是系统自己生成的。例如,某个netscaler生成的VMAC可能是00:01:02:03:04:<VRID>。
创建VRID方法:
ssh连接到netscaler,运行如下命令:
add vrid <number>
bind vrid <number> -ifnum <interface_number>
================== End