FireCluster フェイルオーバーについて

FireCluster フェイルオーバープロセスは、アクティブ／アクティブクラスタまたはアクティブ／パッシブクラスタの両方の場合で同じです。両方のタイプのクラスタにおいて、各クラスタメンバーは常に状況およびセッション情報を保持します。フェールオーバーが発生すると、失敗したデバイスからのパケットフィルタ接続、ブランチオフィス VPN トンネル、ユーザーセッションはクラスタ内の他のデバイスへ自動的にフェールオーバーします。

一方の Firebox がクラスタマスタになり、他方のデバイスがバックアップマスタになります。バックアップマスタは、接続とセッション情報をクラスタマスタと同期させるためにプライマリクラスタインターフェイスを使用します。プライマリクラスタインターフェイスが失敗したまたは切断された場合、バックアップマスタはバックアップクラスタインターフェイスを使用してクラスタマスタと通信します。また、クラスタマスタはプライマリクラスタインターフェイスとバックアップクラスタインターフェイスの両方を使用して、1 秒毎に 1 回ハートビートパケットをバックアップマスタに送信します。常にプライマリクラスタインターフェイスおよびバックアップクラスタインターフェイスの両方を構成することをお勧めします。

フェールオーバーをトリガするイベント

クラスタのフェールオーバーをトリガできるイベントには、次の 3 つの種類があります。

クラスタマスターの健全性指数がバックアップマスターの健全性指数よりも低い

各クラスタメンバーが、デバイスの総合的な健全性を示す計算済の健全性指数を持っています。クラスタマスターの健全性指数がバックアップマスターの健全性指数よりも低い場合、クラスタマスターのフェールオーバーがトリガされます。

クラスタの健全性指標の詳細については、次を参照してください：クラスタの状態を監視する。

クラスタマスタから喪失ハートビート

このクラスタマスターは、プライマリクラスタインターフェイスとバックアップクラスタインターフェイスでハートビートパケットを 1 秒に 1 回送信します。バックアップマスターが 3 つの連続するハートビートを受信しなかった場合、クラスタマスターのフェールオーバーがトリガされます。喪失ハートビートのデフォルトの最大値は、3 です。FireCluster の詳細設定のフェールオーバーでは、喪失ハートビートのしきい値を増加させることができます。

喪失ハートビートのしきい値の詳細については、次を参照してください：FireCluster の詳細設定を構成する。

クラスタがフェールオーバーマスタコマンドを受信

Firebox システム管理で、ツール＞クラスタ＞マスタのフェールオーバー の順に選択すると、強制的にクラスタマスタからバックアップマスタにフェイルオーバーさせることができます。

このコマンドの詳細については、次を参照してください：クラスタマスタのフェールオーバーを強制する。

フェールオーバーが発生すると、どうなるか

クラスタマスタのフェールオーバーが発生すると、バックアップマスタがクラスタマスタになります。次に、元のクラスタマスタが、バックアップマスタとしてクラスタを再結合します。フェールオーバーが発生すると、クラスタではパケットフィルタ接続、ブランチオフィス VPN トンネル、ユーザーセッションが維持されます。この動作は、アクティブ/アクティブ FireCluster またはアクティブ/パッシブ FireCluster で同じです。

アクティブ/アクティブクラスタでバックアップマスタが失敗すると、クラスタマスターは、すべてのパケットフィルタ接続、ブランチオフィス VPN トンネル、ユーザーセッションを維持します。このリストの説明に従い、プロキシ接続と Mobile VPN 接続を遮断できます。アクティブ/パッシブクラスタでバックアップマスタが失敗すると、バックアップマスタにトラフィックが割り当てられていないため、接続もセッションも遮断されません。

接続/セッションの種類	フェールオーバーイベントの影響
パケットフィルタ接続	他のクラスタメンバーに接続がフェールオーバーします。
ブランチオフィス VPN トンネル	他のクラスタメンバーにトンネルがフェールオーバーします。
ユーザーセッション	他のクラスタメンバーにセッションがフェールオーバーします。
プロキシ接続	失敗したデバイス (マスタまたはバックアップマスタ) に割り当てられている接続を再起動する必要があります。他のデバイスに割り当てられている接続は遮断されません。
Mobile VPN with IPSec	クラスタマスタがフェールオーバーすると、すべてのセッションを再起動する必要があります。バックアップマスタがフェールオーバーすると、バックアップマスタに割り当てられているセッションのみを再起動する必要があります。クラスタマスタに割り当てられているセッションは遮断されません。
Mobile VPN with SSL	いずれかのデバイスがフェールオーバーすると、すべてのセッションを再起動する必要があります。
Mobile VPN with L2TP	アクティブ/アクティブクラスタの場合も含めて、すべての L2TP セッションがクラスタマスタに割り当てられます。クラスタマスタがフェールオーバーすると、すべてのセッションを再起動する必要があります。バックアップマスタが失敗しても、L2TP セッションは遮断されません。

FireCluster のフェールオーバーとサーバー負荷分散

サーバー負荷分散を使用して内部サーバー間の接続を分散する場合、フェールオーバーイベントが発生した時に、リアルタイム同期は実行されません。フェールオーバーした後には、新しいクラスタマスタが、どのサーバーが利用可能であるかを発見するためにサーバーの負荷分散のリストにあるすべてのサーバーに接続を送信します。その後、使用可能なすべてのサーバーにサーバー負荷分散アルゴリズムが適用されます。

サーバの負荷分散の詳細については、次を参照してください：サーバー負荷分散を構成する。

FireCluster のフェールオーバーと動的ルーティング

FireCluster で動的ルーティングを有効にした場合、クラスタマスタのみが動的ルーティングのドメインに直接参加します。クラスタマスタは、動的ルーターの情報を他のクラスタメンバーに同期化します。フェールオーバーが発生すると、新しいクラスタマスタは以前に学習した動的ルートを使用します。新しいクラスタマスタは続いて動的ルーティングのドメインに参加し、構成済み動的ルーティングプロトコルを使用してすべての宛先ネットワークへの最新のルートを検出します。新しいクラスタマスタが更新済みの動的ルートを検出すると、古い動的ルートは消去され、新しいルートに置き換えられます。

新しいクラスタマスタと接続されたすべてのルーターが共通のルータで合意するまでにかかる時間 (収束時間) は、動的ルーティングプロトコルによって異なります。

RIPv1 および RIPv2 の場合

ピア RIP ルーターは、フェールオーバー中に接続が中断されない場合でも、FireCluster のフェールオーバーを検出しません。

OSPFv2

ピアルーターは FireCluster のフェールオーバーイベントを検出します。OSPF の収束時間は 10 秒から 40 秒です。新しいクラスタマスタは更新済み動的ルートが検出されるまでに以前のクラスタマスタから同期化した既知の動的ルートをのセットを使用するため、収束時間が短くなることがあります。

BGPv4

ピアルーターは FireCluster のフェールオーバーイベントを検出します。BGP の収束時間は 1 分から 3 分です。新しいクラスタマスタは更新済み動的ルートが検出されるまでに以前のクラスタマスタから同期化した既知の動的ルートをのセットを使用するため、収束時間が短くなることがあります。

フェールオーバー中にクラスタを監視する

Firebox System Manager の フロントパネル タブで、メンバー名の後に各デバイスのロールが表示されます。クラスタマスタのフェールオーバー中に フロントパネル タブを参照すると、クラスタマスタのロールがあるデバイスから別のデバイスに移動することが確認できます。フェールオーバー中に、以下のことを確認できます。

古いバックアップマスタのロールは バックアップマスタ から マスタ に変わります。
古いクラスタマスタのロールは 非アクティブ に変わり、デバイスの再起動時に アイドル に変わります。
デバイスが再起動した後、古いクラスタマスタのロールはバックアップマスタ に変わります。

詳細については、次を参照してください：FireCluster メンバーを監視および制御する。

FireCluster フェールオーバーと登録サービス

FireCluster でライセンス付与された登録サービスを有効にした場合、そのサービスは、FireCluster メンバーに必要な登録サービスを購入してある限りはフェールオーバー後も引き続き稼働します。アクティブ/アクティブ FireCluster に対する要件は、アクティブ/パッシブ FireCluster に対するものとは異なります。

アクティブ/アクティブ — 両方のクラスタメンバーの機能キーに同じ登録サービスを有効にしていることが必要です。各クラスタメンバーは、独自の機能キーにサービスを適用します。
アクティブ/パッシブ — 1つのみのクラスタメンバーの機能キーに登録サービスを有効にすることが必要です。アクティブなクラスタメンバーがいずれかのクラスタメンバーの機能キーで有効な登録サービスを使用します。

機能キーと FireCluster の詳細については、機能キーと FireCluster についてを参照してください。