Implementar un par de alta disponibilidad VPX con direcciones IP privadas en diferentes zonas de AWS

Puede configurar dos instancias de NetScaler VPX en dos subredes diferentes o dos zonas de disponibilidad de AWS diferentes utilizando direcciones IP privadas en el modo INC. Esta solución se puede integrar fácilmente con el par de alta disponibilidad VPX multizona existente (/es-es/vpx/current-release/deploy-aws/vpx-ha-eip-different-aws-zones.html). Por lo tanto, puede usar ambas soluciones juntas.

Para obtener más información sobre la alta disponibilidad, consulte (/es-es/citrix-adc/current-release/system/high-availability-introduction.html). Para obtener más información sobre INC, consulte (/es-es/citrix-adc/current-release/system/high-availability-introduction/configuring-high-availability-nodes-different-subnets.html).

Nota:

Esta implementación es compatible a partir de la versión 13.0 compilación 67.39 de NetScaler. Esta implementación es compatible con AWS Transit Gateway.

Par de alta disponibilidad con direcciones IP privadas mediante VPC no compartida de AWS

Requisitos previos

Asegúrese de que el rol de IAM asociado a su cuenta de AWS tenga los siguientes permisos de IAM:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ec2:DescribeInstances",
                "ec2:DescribeAddresses",
                "ec2:AssociateAddress",
                "ec2:DisassociateAddress",
                "ec2:DescribeRouteTables",
                "ec2:DeleteRoute",
                "ec2:CreateRoute",
                "ec2:ModifyNetworkInterfaceAttribute",
                "iam:SimulatePrincipalPolicy",
                "iam:GetRole"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

<!--NeedCopy-->

Implementar un par de alta disponibilidad VPX con direcciones IP privadas mediante VPC no compartida de AWS

A continuación, se muestra el resumen de los pasos para implementar un par de VPX en dos subredes diferentes o dos zonas de disponibilidad de AWS diferentes utilizando direcciones IP privadas.

1. Crear una nube privada virtual de Amazon.
2. Implementar dos instancias VPX en dos zonas de disponibilidad diferentes.
3. Configurar la alta disponibilidad
   1. Configurar la alta disponibilidad en modo INC en ambas instancias.
   2. Agregar las tablas de rutas respectivas en la VPC que apunten a la interfaz del cliente.
   3. Añada un servidor virtual en la instancia principal.

Para los pasos 1, 2 y 3b, utilice la consola de AWS. Para los pasos 3a y 3c, utilice la GUI de NetScaler VPX o la CLI.

Paso 1. Cree una nube privada virtual (VPC) de Amazon.

Paso 2. Implemente dos instancias VPX en dos zonas de disponibilidad diferentes con el mismo número de ENI (interfaz de red).

Para obtener más información sobre cómo crear una VPC e implementar una instancia VPX en AWS, consulte Implementar una instancia independiente de NetScaler VPX en AWS y Escenario: instancia independiente

Paso 3. Configure las direcciones VIP de ADC eligiendo una subred que no se superponga con las subredes de Amazon VPC. Si su VPC es 192.168.0.0/16, para configurar las direcciones VIP de ADC, puede elegir cualquier subred de estos rangos de direcciones IP:

• 0.0.0.0 - 192.167.0.0
• 192.169.0.0 - 254.255.255.0

En este ejemplo, se eligió la subred 10.10.10.0/24 y se crearon VIP en esta subred. Puede elegir cualquier subred que no sea la subred de VPC (192.168.0.0/16).

Paso 4. Agregue una ruta que apunte a la interfaz de cliente (VIP) del nodo principal desde la tabla de rutas de VPC.

Desde la CLI de AWS, escriba el siguiente comando:

aws ec2 create-route --route-table-id rtb-2272532 --destination-cidr-block 10.10.10.0/24 --gateway-id <eni-client-primary>
<!--NeedCopy-->

Desde la GUI de AWS, realice los siguientes pasos para agregar una ruta:

1. Abra la consola de Amazon EC2.
2. En el panel de navegación, elija Tablas de rutas y seleccione la tabla de rutas.
3. Elija Acciones y haga clic en Editar rutas.
4. Para añadir una ruta, seleccione Add route. En Destination, introduzca el bloque CIDR de destino, una única dirección IP o el ID de una lista de prefijos. Para el ID de la puerta de enlace, seleccione la ENI de una interfaz de cliente del nodo principal.

Nota:

Debe deshabilitar la comprobación de origen/destino en la ENI del cliente de la instancia principal.

Para deshabilitar la comprobación de origen/destino de una interfaz de red mediante la consola, realice los siguientes pasos:

1. Abra la consola de Amazon EC2.
2. En el panel de navegación, seleccione Network Interfaces.
3. Seleccione la interfaz de red de una interfaz de cliente principal, elija Actions y haga clic en Change Source/Dest. Check.
4. En el cuadro de diálogo, elija Disabled y haga clic en Save.

Paso 5. Configure la alta disponibilidad. Puede utilizar la CLI de NetScaler VPX o la GUI para configurar la alta disponibilidad.

Configurar la alta disponibilidad mediante la CLI

1. Configure la alta disponibilidad en modo INC en ambas instancias.

   En el nodo principal:

   add ha node 1 \<sec\_ip\> -inc ENABLED
   <!--NeedCopy-->
   

   En el nodo secundario:

   add ha node 1 \<prim\_ip\> -inc ENABLED
   <!--NeedCopy-->
   

   <sec_ip> se refiere a la dirección IP privada de la NIC de administración del nodo secundario.

   <prim_ip> se refiere a la dirección IP privada de la NIC de administración del nodo principal.

2. Agregue un servidor virtual en la instancia principal. Debe agregarlo desde la subred elegida, por ejemplo, 10.10.10.0/24.

   Escriba el siguiente comando:

   add \<server\_type\> vserver \<vserver\_name\> \<protocol\> \<primary\_vip\> \<port\>
   <!--NeedCopy-->
   

Configurar la alta disponibilidad mediante la GUI

1. Configure la alta disponibilidad en modo INC en ambas instancias.

2. Inicie sesión en el nodo principal con el nombre de usuario nsroot y el ID de instancia como contraseña.

3. Vaya a Configuration (Configuración) > System (Sistema) > High Availability (Alta disponibilidad) y haga clic en Add (Agregar).

4. En el campo Remote Node IP address (Dirección IP del nodo remoto), agregue la dirección IP privada de la NIC de administración del nodo secundario.

5. Seleccione el modo Turn on NIC (Independent Network Configuration) (Activar NIC (configuración de red independiente)) en el nodo propio.

6. En Remote System Login Credential (Credencial de inicio de sesión del sistema remoto), agregue el nombre de usuario y la contraseña para el nodo secundario y haga clic en Create (Crear).

7. Repita los pasos en el nodo secundario.

8. Agregue un servidor virtual en la instancia principal

   Vaya a Configuration (Configuración) > Traffic Management (Administración de tráfico) > Virtual Servers (Servidores virtuales) > Add (Agregar).

   

Implementar un par HA de VPX con direcciones IP privadas usando VPC compartida de AWS

En un modelo de VPC compartida de AWS, la cuenta propietaria de la VPC (propietario) comparte una o más subredes con otras cuentas (participantes). Por lo tanto, tiene una cuenta de propietario de VPC y una cuenta de participante. Una vez que se comparte una subred, los participantes pueden ver, crear, modificar y eliminar sus recursos de aplicación en las subredes compartidas con ellos. Los participantes no pueden ver, modificar ni eliminar recursos que pertenezcan a otros participantes o al propietario de la VPC.

Para obtener información sobre la VPC compartida de AWS, consulte la documentación de AWS.

Nota:

Los pasos de configuración para implementar un par HA de VPX con direcciones IP privadas usando VPC compartida de AWS son los mismos que los de Implementar un par HA de VPX con direcciones IP privadas usando VPC no compartida de AWS con la siguiente excepción:

• Las tablas de enrutamiento en la VPC que apuntan a la interfaz del cliente deben agregarse desde la cuenta propietaria de la VPC.

Requisitos previos

• Asegúrese de que el rol de IAM asociado a la instancia de NetScaler VPX en la cuenta de participante de AWS tenga los siguientes permisos de IAM:

   "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "ec2:DisassociateAddress",
                   "iam:GetRole",
                   "iam:SimulatePrincipalPolicy",
                   "ec2:DescribeInstances",
                   "ec2:DescribeAddresses",
                   "ec2:ModifyNetworkInterfaceAttribute",
                   “ec2:AssociateAddress”,
                   "sts:AssumeRole"
           ],
               "Resource": "*"
           }
       ]
   }
   <!--NeedCopy-->
  

  Nota:

  El AssumeRole permite que la instancia de NetScaler VPX asuma el rol de IAM entre cuentas, que es creado por la cuenta propietaria de la VPC.

• Asegúrese de que la cuenta propietaria de la VPC proporcione los siguientes permisos de IAM a la cuenta de participante utilizando el rol de IAM entre cuentas:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateRoute",
                   "ec2:DeleteRoute",
                   "ec2:DescribeRouteTables"
               ],
               "Resource": "*"
           }
       ]
   }
   <!--NeedCopy-->
  

Crear rol de IAM entre cuentas

1. Inicie sesión en la consola web de AWS.
2. En la pestaña IAM, navegue hasta Roles y luego elija Crear rol.

3. Elija Otra cuenta de AWS.

   

4. Introduzca el número de ID de cuenta de 12 dígitos de la cuenta de participante a la que desea conceder acceso de administrador.

Establecer el rol de IAM entre cuentas mediante la CLI de NetScaler

El siguiente comando permite que la instancia de NetScaler VPX asuma el rol de IAM entre cuentas que existe en la cuenta propietaria de la VPC.

set cloud awsParam -roleARN <string>
<!--NeedCopy-->

Establecer el rol de IAM entre cuentas mediante la GUI de NetScaler

1. Inicie sesión en el dispositivo NetScaler y vaya a Configuration > AWS > Change cloud parameters.

   

2. En la página Configure AWS Cloud Parameters, introduzca el valor del campo RoleARN.

   

Escenario

En este escenario, se crea una única VPC. En esa VPC, se crean dos instancias VPX en dos zonas de disponibilidad. Cada instancia tiene tres subredes: una para administración, una para cliente y otra para el servidor back-end.

Los siguientes diagramas ilustran la configuración de alta disponibilidad de NetScaler VPX en modo INC, en AWS. La subred personalizada 10.10.10.10, que no forma parte de la VPC, se utiliza como VIP. Por lo tanto, la subred 10.10.10.10 se puede utilizar en todas las zonas de disponibilidad.

Para este escenario, utilice la CLI para configurar la alta disponibilidad.

1. Configure la alta disponibilidad en modo INC en ambas instancias.

   Escriba los siguientes comandos en los nodos principal y secundario.

   En el nodo principal:

   add ha node 1 192.168.4.10 -inc enabled
   <!--NeedCopy-->
   

   Aquí, 192.168.4.10 se refiere a la dirección IP privada de la NIC de administración del nodo secundario.

   En el nodo secundario:

   add ha node 1 192.168.1.10 -inc enabled
   <!--NeedCopy-->
   

   Aquí, 192.168.1.10 se refiere a la dirección IP privada de la NIC de administración del nodo principal.

2. Agregue un servidor virtual en la instancia principal.

   Escriba el siguiente comando:

   add lbvserver vserver1 http 10.10.10.10 80
   <!--NeedCopy-->
   

3. Guarde la configuración.

4. Después de una conmutación por error forzada:

   • La instancia secundaria se convierte en la nueva instancia principal.
   • La ruta de VPC que apunta a la ENI principal migra a la ENI de cliente secundaria.
   • El tráfico del cliente se reanuda a la nueva instancia principal.

Configuración de AWS Transit Gateway para la solución de IP privada de alta disponibilidad

Necesita AWS Transit Gateway para que la subred VIP privada sea enrutable dentro de la red interna, a través de VPC de AWS, regiones y redes locales. La VPC debe conectarse a AWS Transit Gateway. Se crea una ruta estática para la subred VIP o el grupo de IP dentro de la tabla de rutas de AWS Transit Gateway y se apunta hacia la VPC.

Para configurar la Puerta de enlace de tránsito de AWS, siga estos pasos:

1. Abra la consola de Amazon VPC.
2. En el panel de navegación, elija Tablas de enrutamiento de la puerta de enlace de tránsito.

3. Elija la pestaña Rutas y haga clic en Crear ruta estática.

   

4. Cree una ruta estática donde CIDR apunte a su subred VIPS privada y el adjunto apunte a la VPC que tiene NetScaler VPX.

   

5. Haga clic en Crear ruta estática y, a continuación, elija Cerrar.

Solución de problemas

Si tiene algún problema al configurar la solución de IP privada de alta disponibilidad (HA) en HA multizona, compruebe los siguientes puntos clave para la solución de problemas:

• Tanto el nodo principal como el secundario tienen el mismo conjunto de permisos de IAM.
• El modo INC está habilitado tanto en el nodo principal como en el secundario.
• Tanto el nodo principal como el secundario tienen el mismo número de interfaces.
• Al crear una instancia, siga la misma secuencia para adjuntar interfaces tanto en el nodo principal como en el secundario, según el número de índice del dispositivo. Por ejemplo, en un nodo principal, la interfaz de cliente se adjunta primero y la interfaz de servidor se adjunta en segundo lugar. Siga la misma secuencia también en el nodo secundario. Si hay alguna discrepancia, desvincule y vuelva a vincular las interfaces en el orden correcto.
• Puede verificar la secuencia de interfaces siguiendo esta ruta de navegación: Consola de AWS > Red y seguridad > ENI > Número de índice de dispositivo. De forma predeterminada, los siguientes números de índice de dispositivo se asignan a estas interfaces:
  • Interfaz de administración – 0
  • Interfaz de cliente – 1
  • Interfaz de servidor – 2

• Si la secuencia de números de índice de dispositivo en la ENI principal es: 0, 1, 2. La ENI secundaria también debe seguir la misma secuencia de números de índice de dispositivo: 0, 1, 2.

  Si hay una discrepancia en la secuencia de números de índice de dispositivo, todas las rutas no coincidentes se transfieren al índice 0, la interfaz de administración, para evitar cualquier pérdida de rutas. Pero aún debe desconectar las interfaces y volver a conectarlas en la secuencia correcta para evitar el movimiento de rutas a la interfaz de administración, ya que esto puede causar congestión del tráfico.

• Si el tráfico no fluye, asegúrese de que la «Comprobación de origen/destino» esté deshabilitada en la interfaz de cliente del nodo principal por primera vez.
• Asegúrese de que el comando cloudhadaemon (ps -aux | grep cloudha) se esté ejecutando en Shell.
• Asegúrese de que la versión del firmware de NetScaler sea 13.0 build 70.x o posterior.
• Para problemas con el proceso de conmutación por error, consulte el archivo de registro disponible en: /var/log/cloud-ha-daemon.log