Implementar un par VPX de alta disponibilidad con direcciones IP privadas en diferentes zonas de AWS

Puede configurar dos instancias de NetScaler VPX en dos subredes diferentes o en dos zonas de disponibilidad de AWS diferentes utilizando direcciones IP privadas en el modo INC. Esta solución se puede integrar fácilmente con el (/es-es/vpx/13-1/deploy-aws/vpx-ha-eip-different-aws-zones.html) par VPX de alta disponibilidad multizona existente con direcciones IP elásticas. Por lo tanto, puede utilizar ambas soluciones juntas.

Para obtener más información sobre la alta disponibilidad, consulte (/es-es/citrix-adc/13-1/system/high-availability-introduction.html). Para obtener más información sobre INC, consulte (/es-es/citrix-adc/13-1/system/high-availability-introduction/configuring-high-availability-nodes-different-subnets.html).

Nota:

Esta implementación es compatible a partir de la versión 13.0 compilación 67.39 de NetScaler. Esta implementación es compatible con AWS Transit Gateway.

Par de alta disponibilidad con direcciones IP privadas utilizando VPC no compartida de AWS

Requisitos previos

Asegúrese de que el rol de IAM asociado a su cuenta de AWS tenga los siguientes permisos de IAM:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ec2:DescribeInstances",
                "ec2:DescribeAddresses",
                "ec2:AssociateAddress",
                "ec2:DisassociateAddress",
                "ec2:DescribeRouteTables",
                "ec2:DeleteRoute",
                "ec2:CreateRoute",
                "ec2:ModifyNetworkInterfaceAttribute",
                "iam:SimulatePrincipalPolicy",
                "iam:GetRole"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

<!--NeedCopy-->

Implementar un par HA de VPX con direcciones IP privadas utilizando VPC no compartida de AWS

A continuación se presenta el resumen de los pasos para implementar un par VPX en dos subredes diferentes o en dos zonas de disponibilidad de AWS diferentes utilizando direcciones IP privadas.

1. Crear una nube privada virtual de Amazon.
2. Implementar dos instancias VPX en dos zonas de disponibilidad diferentes.
3. Configurar la alta disponibilidad
   1. Configurar la alta disponibilidad en modo INC en ambas instancias.
   2. Añadir las tablas de rutas respectivas en la VPC que apuntan a la interfaz del cliente.
   3. Añada un servidor virtual en la instancia principal.

Para los pasos 1, 2 y 3b, utilice la consola de AWS. Para los pasos 3a y 3c, utilice la GUI de NetScaler VPX o la CLI.

Paso 1. Cree una nube privada virtual (VPC) de Amazon.

Paso 2. Implemente dos instancias VPX en dos zonas de disponibilidad diferentes con el mismo número de ENI (interfaz de red).

Para obtener más información sobre cómo crear una VPC e implementar una instancia VPX en AWS, consulte Implementar una instancia independiente de NetScaler VPX en AWS y Escenario: instancia independiente

Paso 3. Configure las direcciones VIP de ADC eligiendo una subred que no se superponga con las subredes de Amazon VPC. Si su VPC es 192.168.0.0/16, para configurar las direcciones VIP de ADC, puede elegir cualquier subred de estos rangos de direcciones IP:

• 0.0.0.0 - 192.167.0.0
• 192.169.0.0 - 254.255.255.0

En este ejemplo, se eligió la subred 10.10.10.0/24 y se crearon VIP en esta subred. Puede elegir cualquier subred que no sea la subred de la VPC (192.168.0.0/16).

Paso 4. Añada una ruta que apunte a la interfaz de cliente (VIP) del nodo principal desde la tabla de rutas de la VPC.

Desde la CLI de AWS, escriba el siguiente comando:

aws ec2 create-route --route-table-id rtb-2272532 --destination-cidr-block 10.10.10.0/24 --gateway-id <eni-client-primary>
<!--NeedCopy-->

Desde la GUI de AWS, realice los siguientes pasos para añadir una ruta:

1. Abra la consola de Amazon EC2.
2. En el panel de navegación, elija Tablas de rutas y seleccione la tabla de rutas.
3. Elija Acciones y haga clic en Editar rutas.
4. Para añadir una ruta, seleccione Añadir ruta. En Destino, introduzca el bloque CIDR de destino, una única dirección IP o el ID de una lista de prefijos. Para el ID de la puerta de enlace, seleccione la ENI de una interfaz de cliente del nodo principal.

Nota:

Debe deshabilitar la comprobación de origen/destino en la ENI del cliente de la instancia principal.

Para deshabilitar la comprobación de origen/destino de una interfaz de red mediante la consola, siga estos pasos:

1. Abra la consola de Amazon EC2.
2. En el panel de navegación, seleccione Interfaces de red.
3. Seleccione la interfaz de red de una interfaz de cliente principal y elija Acciones, y haga clic en Cambiar comprobación de origen/destino.
4. En el cuadro de diálogo, elija Deshabilitado y haga clic en Guardar.

Paso 5. Configure la alta disponibilidad. Puede usar la CLI o la GUI de NetScaler VPX para configurar la alta disponibilidad.

Configurar la alta disponibilidad mediante la CLI

1. Configure la alta disponibilidad en modo INC en ambas instancias.

   En el nodo principal:

   add ha node 1 \<sec\_ip\> -inc ENABLED
   <!--NeedCopy-->
   

   En el nodo secundario:

   add ha node 1 \<prim\_ip\> -inc ENABLED
   <!--NeedCopy-->
   

   <sec_ip> se refiere a la dirección IP privada de la NIC de administración del nodo secundario.

   <prim_ip> se refiere a la dirección IP privada de la NIC de administración del nodo principal.

2. Agregue un servidor virtual en la instancia principal. Debe agregarlo desde la subred elegida, por ejemplo, 10.10.10.0/24.

   Escriba el siguiente comando:

   add \<server\_type\> vserver \<vserver\_name\> \<protocol\> \<primary\_vip\> \<port\>
   <!--NeedCopy-->
   

Configurar la alta disponibilidad mediante la GUI

1. Configure la alta disponibilidad en modo INC en ambas instancias

2. Inicie sesión en el nodo principal con el nombre de usuario nsroot y el ID de instancia como contraseña.

3. Vaya a Configuration > System > High Availability y haga clic en Add.

4. En el campo Remote Node IP address, agregue la dirección IP privada de la NIC de administración del nodo secundario.

5. Seleccione el modo Turn on NIC (Independent Network Configuration) en el nodo propio.

6. En Remote System Login Credential, agregue el nombre de usuario y la contraseña para el nodo secundario y haga clic en Create.

7. Repita los pasos en el nodo secundario.

8. Agregue un servidor virtual en la instancia principal

   Vaya a Configuration > Traffic Management > Virtual Servers > Add.

   

Implementar un par HA de VPX con direcciones IP privadas mediante VPC compartida de AWS

En un modelo de VPC compartida de AWS, la cuenta propietaria de la VPC (propietario) comparte una o varias subredes con otras cuentas (participantes). Por lo tanto, tiene una cuenta de propietario de VPC y una cuenta de participante. Una vez que se comparte una subred, los participantes pueden ver, crear, modificar y eliminar sus recursos de aplicación en las subredes compartidas con ellos. Los participantes no pueden ver, modificar ni eliminar recursos que pertenezcan a otros participantes o al propietario de la VPC.

Para obtener información sobre la VPC compartida de AWS, consulte la documentación de AWS.

Nota:

Los pasos de configuración para implementar un par HA de VPX con direcciones IP privadas mediante VPC compartida de AWS son los mismos que los de Implementar un par HA de VPX con direcciones IP privadas mediante VPC no compartida de AWS con la siguiente excepción:

• Las tablas de rutas de la VPC que apuntan a la interfaz del cliente deben agregarse desde la cuenta del propietario de la VPC.

Requisitos previos

• Asegúrese de que el rol de IAM asociado a la instancia de NetScaler VPX en la cuenta de participante de AWS tenga los siguientes permisos de IAM:

   "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "ec2:DisassociateAddress",
                   "iam:GetRole",
                   "iam:SimulatePrincipalPolicy",
                   "ec2:DescribeInstances",
                   "ec2:DescribeAddresses",
                   "ec2:ModifyNetworkInterfaceAttribute",
                   “ec2:AssociateAddress”,
                   "sts:AssumeRole"
           ],
               "Resource": "*"
           }
       ]
   }
   <!--NeedCopy-->
  

  Nota:

  La opción AssumeRole permite que la instancia de NetScaler VPX asuma el rol de IAM entre cuentas, que es creado por la cuenta del propietario de la VPC.

• Asegúrese de que la cuenta del propietario de la VPC proporcione los siguientes permisos de IAM a la cuenta del participante mediante el rol de IAM entre cuentas:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateRoute",
                   "ec2:DeleteRoute",
                   "ec2:DescribeRouteTables"
               ],
               "Resource": "*"
           }
       ]
   }
   <!--NeedCopy-->
  

Crear rol de IAM entre cuentas

1. Inicie sesión en la consola web de AWS.
2. En la ficha IAM, vaya a Roles y, a continuación, elija Crear rol.

3. Elija Otra cuenta de AWS.

   

4. Introduzca el número de ID de cuenta de 12 dígitos de la cuenta participante a la que desea conceder acceso de administrador.

Establecer rol de IAM entre cuentas mediante la CLI de NetScaler

El siguiente comando permite que la instancia de NetScaler VPX asuma el rol de IAM entre cuentas que existe en la cuenta propietaria de la VPC.

set cloud awsParam -roleARN <string>
<!--NeedCopy-->

Establecer rol de IAM entre cuentas mediante la GUI de NetScaler

1. Inicie sesión en el dispositivo NetScaler y vaya a Configuration > AWS > Change cloud parameters.

   

2. En la página Configure AWS Cloud Parameters, introduzca un valor para el campo RoleARN.

   

Escenario

En este escenario, se crea una única VPC. En esa VPC, se crean dos instancias VPX en dos zonas de disponibilidad. Cada instancia tiene tres subredes: una para administración, una para cliente y otra para el servidor back-end.

Los siguientes diagramas ilustran la configuración de alta disponibilidad de NetScaler VPX en modo INC, en AWS. La subred personalizada 10.10.10.10, que no forma parte de la VPC, se utiliza como VIP. Por lo tanto, la subred 10.10.10.10 se puede utilizar en todas las zonas de disponibilidad.

Para este escenario, utilice la CLI para configurar la alta disponibilidad.

1. Configure la alta disponibilidad en modo INC en ambas instancias.

   Escriba los siguientes comandos en los nodos principal y secundario.

   En el nodo principal:

   add ha node 1 192.168.4.10 -inc enabled
   <!--NeedCopy-->
   

   Aquí, 192.168.4.10 se refiere a la dirección IP privada de la NIC de administración del nodo secundario.

   En el nodo secundario:

   add ha node 1 192.168.1.10 -inc enabled
   <!--NeedCopy-->
   

   Aquí, 192.168.1.10 se refiere a la dirección IP privada de la NIC de administración del nodo principal.

2. Agregue un servidor virtual en la instancia principal.

   Escriba el siguiente comando:

   add lbvserver vserver1 http 10.10.10.10 80
   <!--NeedCopy-->
   

3. Guarde la configuración.

4. Después de una conmutación por error forzada:

   • La instancia secundaria se convierte en la nueva instancia principal.
   • La ruta de VPC que apunta a la ENI principal migra a la ENI de cliente secundaria.
   • El tráfico del cliente se reanuda a la nueva instancia principal.

Configuración de AWS Transit Gateway para la solución de IP privada de HA

Necesita AWS Transit Gateway para que la subred VIP privada sea enrutable dentro de la red interna, a través de VPC de AWS, regiones y redes locales. La VPC debe conectarse a AWS Transit Gateway. Se crea una ruta estática para la subred VIP o el grupo de IP dentro de la tabla de rutas de AWS Transit Gateway y se apunta hacia la VPC.

Para configurar AWS Transit Gateway, siga estos pasos:

1. Abra la consola de Amazon VPC.
2. En el panel de navegación, elija Tablas de enrutamiento de Transit Gateway.

3. Elija la pestaña Rutas y haga clic en Crear ruta estática.

   

4. Cree una ruta estática donde CIDR apunte a su subred VIPS privada y los puntos de conexión apunten a la VPC que tiene NetScaler VPX.

   

5. Haga clic en Crear ruta estática y, a continuación, elija Cerrar.

Solución de problemas

Si tiene algún problema al configurar la solución de IP privada de alta disponibilidad en HA multizona, compruebe los siguientes puntos clave para la solución de problemas:

• Ambos nodos, primario y secundario, tienen el mismo conjunto de permisos de IAM.
• El modo INC está habilitado en los nodos primario y secundario.
• Ambos nodos, primario y secundario, tienen el mismo número de interfaces.
• Al crear una instancia, siga el mismo orden de conexión de interfaces en ambos nodos. En un nodo primario, si la interfaz de cliente se conecta primero y la interfaz de servidor se conecta en segundo lugar, siga el mismo orden en el nodo secundario. Si hay alguna discrepancia, desconecte y vuelva a conectar las interfaces en el orden correcto.
• Si el tráfico no fluye, asegúrese de que la «Comprobación de origen/destino» esté deshabilitada en la interfaz de cliente del nodo principal por primera vez.
• Asegúrese de que el comando cloudhadaemon (ps -aux | grep cloudha) se esté ejecutando en Shell.
• Asegúrese de que la versión de firmware de NetScaler sea 13.0 build 70.x o posterior.
• Para problemas con el proceso de conmutación por error, compruebe el archivo de registro disponible en: /var/log/cloud-ha-daemon.log