Implementar un par de alta disponibilidad VPX con direcciones IP privadas en distintas zonas de AWS

Puede configurar dos instancias de NetScaler VPX en dos subredes diferentes o en dos zonas de disponibilidad de AWS diferentes mediante direcciones IP privadas en el modo INC. Esta solución se puede integrar fácilmente con el par VPX de alta disponibilidad multizona existente con direcciones IP elásticas. Por lo tanto, puede utilizar ambas soluciones juntas.

Para obtener más información sobre la alta disponibilidad, consulte Alta disponibilidad. Para obtener más información sobre INC, consulte Configuración de nodos de alta disponibilidad en distintas subredes.

Nota:

Esta implementación se admite desde NetScaler versión 13.0 compilación 67.39 en adelante. Esta implementación es compatible con AWS Transit Gateway.

Emparejamiento de alta disponibilidad con direcciones IP privadas mediante una VPC no compartida de AWS

Requisitos previos

Asegúrese de que el rol de IAM asociado a su cuenta de AWS tenga los siguientes permisos de IAM:

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Action": [
                  "ec2:DescribeInstances",
                  "ec2:DescribeAddresses",
                  "ec2:AssociateAddress",
                  "ec2:DisassociateAddress",
                  "ec2:DescribeRouteTables",
                  "ec2:DeleteRoute",
                  "ec2:CreateRoute",
                  "ec2:ModifyNetworkInterfaceAttribute",
                  "iam:SimulatePrincipalPolicy",
                  "iam:GetRole"
              ],
              "Resource": "*",
              "Effect": "Allow"
          }
      ]
  }

<!--NeedCopy-->

Implemente un par de alta disponibilidad de VPX con direcciones IP privadas mediante una VPC no compartida de AWS

A continuación se presenta un resumen de los pasos para implementar un par VPX en dos subredes diferentes o en dos zonas de disponibilidad de AWS distintas mediante direcciones IP privadas.

1. Cree una nube privada virtual de Amazon.
2. Implementa dos instancias VPX en dos zonas de disponibilidad diferentes.
3. Paso 3: Configurar alta disponibilidad
   1. Configure la alta disponibilidad en modo INC en ambas instancias.
   2. Agregue las tablas de redirección respectivas en la VPC que apunta a la interfaz del cliente.
   3. Agregue un servidor virtual en la instancia principal.

Para los pasos 1, 2 y 3b, use la consola de AWS. Para los pasos 3a y 3c, use la GUI de NetScaler VPX o la CLI.

Paso 1. Cree una nube privada virtual de Amazon (VPC).

Paso 2. Implemente dos instancias VPX en dos zonas de disponibilidad diferentes con la misma cantidad de ENI (interfaz de red).

Para obtener más información sobre cómo crear una VPC e implementar una instancia VPX en AWS, consulte Implementar una instancia independiente de NetScaler VPX en AWS y Escenario: instancia independiente

Paso 3. Configure las direcciones VIP de ADC eligiendo una subred que no se superponga con las subredes de Amazon VPC. Si su VPC es 192.168.0.0/16, para configurar las direcciones VIP de ADC, puede elegir cualquier subred de estos intervalos de direcciones IP:

• 0.0.0.0 - 192.167.0.0
• 192.169.0.0 - 254.255.255.0

En este ejemplo, la subred 10.10.10.0/24 elegida y se crearon VIP en esta subred. Puede elegir cualquier subred que no sea la subred VPC (192.168.0.0/16).

Paso 4. Agregue una ruta que apunte a la interfaz de cliente (VIP) del nodo principal desde la tabla de rutas de VPC.

En la CLI de AWS, escriba el siguiente comando:

  aws ec2 create-route --route-table-id rtb-2272532 --destination-cidr-block 10.10.10.0/24 --gateway-id <eni-client-primary>
<!--NeedCopy-->

Desde la GUI de AWS, lleve a cabo los siguientes pasos para agregar una ruta:

1. Abra la consola de Amazon EC2.
2. En el panel de navegación, elija Tablas de redireccióny seleccione la tabla de redirección.
3. Seleccione Accionesy haga clic en Modificar rutas.
4. Para agregar una ruta, elige Agregar ruta. En Destino, introduzca el bloque CIDR de destino, una única dirección IP o el ID de una lista de prefijos. Para ID de puerta de enlace, seleccione el ENI de una interfaz de cliente del nodo principal.

Nota:

Debe inhabilitar la comprobación de origen/destino en el ENI del cliente de la instancia principal.

Para inhabilitar la comprobación de origen/destino de una interfaz de red mediante la consola, realice los siguientes pasos:

1. Abra la consola de Amazon EC2.
2. En el panel de navegación, elija Interfaces de red.
3. Seleccione la interfaz de red de una interfaz de cliente principal, elija Accionesy haga clic en Cambiar fuente/destino. Comprobar.
4. En el cuadro de diálogo, seleccione Inhabilitadoy haga clic en Guardar.

Paso 5. Configurar alta disponibilidad. Puede utilizar la CLI o la GUI de NetScaler VPX para configurar la alta disponibilidad.

Configurar la alta disponibilidad mediante la CLI

1. Configure la alta disponibilidad en modo INC en ambas instancias.

   En el nodo principal:

     add ha node 1 \<sec\_ip\> -inc ENABLED
   <!--NeedCopy-->
   

   En el nodo secundario:

     add ha node 1 \<prim\_ip\> -inc ENABLED
   <!--NeedCopy-->
   

   <sec_ip>hace referencia a la dirección IP privada de la NIC de administración del nodo secundario.

   <prim_ip>hace referencia a la dirección IP privada de la NIC de administración del nodo principal.

2. Agregue un servidor virtual en la instancia principal. Debe agregarlo desde la subred elegida, por ejemplo, 10.10.10.0/24.

   Escriba este comando:

     add \<server\_type\> vserver \<vserver\_name\> \<protocol\> \<primary\_vip\> \<port\>
   <!--NeedCopy-->
   

Configure la alta disponibilidad mediante la interfaz gráfica de usuario

1. Configurar la alta disponibilidad en modo INC en ambas instancias

2. Inicie sesión en el nodo principal con el nombre de usuario nsroot y el ID de instancia como contraseña.

3. Vaya a Configuración > Sistema > Alta disponibilidady haga clic en Agregar.

4. En el campo Dirección IP del nodo remoto, agregue la dirección IP privada de la NIC de administración del nodo secundario.

5. Seleccione Activar el modo NIC (Configuración de red independiente) en el nodo propio.

6. En Credencial de inicio de sesión en el sistema remoto, agregue el nombre de usuario y la contraseña del nodo secundario y haga clic en Crear.

7. Repita los pasos en el nodo secundario.

8. Agregar un servidor virtual en la instancia principal

   Vaya a Configuración > Administración del tráfico > Servidores virtuales > Agregar.

   

Implemente un par de alta disponibilidad de VPX con direcciones IP privadas mediante la VPC compartida de AWS

En un modelo de VPC compartida de AWS, la cuenta propietaria de la VPC (propietario) comparte una o más subredes con otras cuentas (participantes). Por lo tanto, tiene una cuenta de propietario de VPC y una cuenta de participante. Después de compartir una subred, los participantes pueden ver, crear, modificar y eliminar sus recursos de aplicación en las subredes compartidas con ellos. Los participantes no pueden ver, modificar ni eliminar recursos que pertenezcan a otros participantes o al propietario de la VPC.

Para obtener información sobre la VPC compartida de AWS, consulte la documentación de AWS.

Nota:

Los pasos de configuración para implementar un par de alta disponibilidad de VPX con direcciones IP privadas mediante una VPC compartida de AWS son los mismos que los de Implementar un par de alta disponibilidad de VPX con direcciones IP privadas mediante una VPC no compartida de AWS, con la siguiente excepción:

• Las tablas de rutas de la VPC que apuntan a la interfaz del cliente deben agregarse desde la cuenta del propietario de la VPC.

Requisitos previos

• Asegúrese de que el rol de IAM asociado a la instancia de NetScaler VPX en la cuenta del participante de AWS tenga los siguientes permisos de IAM:

     "Version": "2012-10-17",
         "Statement": [
             {
                 "Sid": "VisualEditor0",
                 "Effect": "Allow",
                 "Action": [
                     "ec2:DisassociateAddress",
                     "iam:GetRole",
                     "iam:SimulatePrincipalPolicy",
                     "ec2:DescribeInstances",
                     "ec2:DescribeAddresses",
                     "ec2:ModifyNetworkInterfaceAttribute",
                     “ec2:AssociateAddress”,
                     "sts:AssumeRole"
             ],
                 "Resource": "*"
             }
         ]
     }
   <!--NeedCopy-->
  

  Nota:

  AssumeRole permite a la instancia de NetScaler VPX asumir la función de IAM multicuenta, que crea la cuenta del propietario de la VPC.

• Asegúrese de que la cuenta del propietario de la VPC proporcione los siguientes permisos de IAM a la cuenta del participante mediante la función de IAM multicuenta:

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Sid": "VisualEditor0",
                 "Effect": "Allow",
                 "Action": [
                     "ec2:CreateRoute",
                     "ec2:DeleteRoute",
                     "ec2:DescribeRouteTables"
                 ],
                 "Resource": "*"
             }
         ]
     }
   <!--NeedCopy-->
  

Crear función de IAM multicuenta

1. Inicie sesión en la consola web de AWS.
2. En la ficha IAM, vaya a Roles y, a continuación, elija Create Role.

3. Elija otra cuenta de AWS.

   

4. Introduzca el número de identificación de cuenta de 12 dígitos de la cuenta de participante a la que quiere conceder acceso de administrador.

Establecer la función de IAM multicuenta mediante la CLI de NetScaler

El siguiente comando permite que la instancia NetScaler VPX asuma la función de IAM multicuenta que existe en la cuenta del propietario de la VPC.

  set cloud awsParam -roleARN <string>
<!--NeedCopy-->

Establecer la función de IAM multicuenta mediante la GUI de NetScaler

1. Inicie sesión en el dispositivo NetScaler y vaya a Configuración > AWS > Cambiar parámetros de la nube.

   

2. En la página Configure AWS Cloud Parameters, introduzca un valor para el campo RoleARN .

   

Caso

En este caso, se crea una única VPC. En esa VPC, se crean dos instancias VPX en dos zonas de disponibilidad. Cada instancia tiene tres subredes: una para administración, otra para el cliente y otra para el servidor back-end.

Los diagramas siguientes ilustran la configuración de alta disponibilidad de NetScaler VPX en modo INC, en AWS. La subred personalizada 10.10.10.10, que no forma parte de la VPC, se utiliza como VIP. Por lo tanto, la subred 10.10.10.10 se puede utilizar en todas las zonas de disponibilidad.

En este caso, utilice la CLI para configurar la alta disponibilidad.

1. Configure la alta disponibilidad en modo INC en ambas instancias.

   Escriba los siguientes comandos en los nodos primario y secundario.

   En el nodo principal:

     add ha node 1 192.168.4.10 -inc enabled
   <!--NeedCopy-->
   

   En este caso, 192.168.4.10 se refiere a la dirección IP privada de la NIC de administración del nodo secundario.

   En el nodo secundario:

     add ha node 1 192.168.1.10 -inc enabled
   <!--NeedCopy-->
   

   En este caso, 192.168.1.10 se refiere a la dirección IP privada de la NIC de administración del nodo principal.

2. Agregue un servidor virtual en la instancia principal.

   Escriba este comando:

     add lbvserver vserver1 http 10.10.10.10 80
   <!--NeedCopy-->
   

3. Verifique la configuración.

4. Tras una conmutación por error forzada:

   • La instancia secundaria se convierte en la nueva instancia principal.
   • La ruta de la VPC que apunta al ENI principal migra al ENI del cliente secundario.
   • El tráfico del cliente se reanuda en la nueva instancia principal.

Configuración de AWS Transit Gateway para solución IP privada de alta disponibilidad

Necesita AWS Transit Gateway para que la subred VIP privada se pueda redirigir dentro de la red interna, en las VPC de AWS, regiones y redes locales. La VPC debe conectarse a AWS Transit Gateway. Se crea una ruta estática para la subred VIP o el grupo de IP dentro de la tabla de rutas de AWS Transit Gateway y se dirige hacia la VPC.

Para configurar AWS Transit Gateway, siga estos pasos:

1. Abra la consola de Amazon VPC.
2. En el panel de navegación, elija Tablas de rutas de Transit Gateway.

3. Seleccione la ficha Rutas y haga clic en Crear ruta estática.

   

4. Cree una ruta estática en la que CIDR apunte a su subred VIPS privada y apunte a la VPC que tiene NetScaler VPX.

   

5. Haga clic en Crear ruta estáticay selecciona Cerrar.

Solución de problemas

Si tiene algún problema al configurar la solución IP privada de alta disponibilidad en una HA multizona, compruebe los siguientes puntos clave para solucionar problemas:

• Tanto el nodo principal como el secundario tienen el mismo conjunto de permisos de IAM.
• El modo INC está activado tanto en el nodo principal como en el secundario.
• Tanto los nodos primarios como los secundarios tienen el mismo número de interfaces.
• Al crear una instancia, siga el mismo orden de conexión de las interfaces en ambos nodos. En un nodo principal, si la interfaz del cliente se conecta primero y la interfaz del servidor se conecta en segundo lugar. A continuación, siga también el mismo orden en el nodo secundario. Si hay alguna discrepancia, separe y vuelva a conectar las interfaces en el orden correcto.
• Si el tráfico no fluye, asegúrese de seleccionar “Fuente/destino”. La opción “Comprobar” está inhabilitada en la interfaz de cliente del nodo principal por primera vez.
• Asegúrese de que el comando cloudhadaemon (ps -aux | grep cloudha) se esté ejecutando en Shell.
• Asegúrese de que la versión del firmware de NetScaler sea la 13.0 build 70.x o posterior.
• Si hay problemas con el proceso de conmutación por error, compruebe el archivo de registro disponible en: /var/log/cloud-ha-daemon.log