AWS での高可用性の仕組み
AWS 上で2つのNetScaler VPXインスタンスを高可用性 (HA) アクティブ-パッシブペアとして構成できます。一方のインスタンスをプライマリノードとして、もう一方をセカンダリノードとして構成すると、プライマリノードが接続を受け入れ、サーバーを管理します。セカンダリノードはプライマリを監視します。何らかの理由でプライマリノードが接続を受け入れられなくなった場合、セカンダリノードが引き継ぎます。
AWS では、VPXインスタンスに対して以下のデプロイタイプがサポートされています。
-
同一ゾーン内での高可用性
-
異なるゾーン間での高可用性
注:
高可用性を機能させるには、両方のNetScaler VPXインスタンスにIAMロールがアタッチされ、NSIPにElastic IP (EIP) アドレスが割り当てられていることを確認してください。NSIPがNATインスタンスを介してインターネットに到達できる場合、NSIPにEIPを割り当てる必要はありません。
同一ゾーン内での高可用性
同一ゾーン内での高可用性デプロイでは、両方のVPXインスタンスが同様のネットワーク構成を持つ必要があります。
以下の2つのルールに従ってください。
ルール1. 一方のVPXインスタンス上の任意のNICは、もう一方のVPXの対応するNICと同じサブネットにある必要があります。両方のインスタンスは以下を持つ必要があります。
-
同じサブネット上の管理インターフェース (管理サブネットと呼ばれる)
-
同じサブネット上のクライアントインターフェース (クライアントサブネットと呼ばれる)
-
同じサブネット上のサーバーインターフェース (サーバーサブネットと呼ばれる)
ルール2. 両方のインスタンスにおける管理NIC、クライアントNIC、サーバーNICの順序は同じである必要があります。 たとえば、以下のシナリオはサポートされていません。
VPX インスタンス 1
NIC 0: 管理 NIC 1: クライアント NIC 2: サーバー
VPX インスタンス 2
NIC 0: 管理
NIC 1: サーバー
NIC 2: クライアント
このシナリオでは、インスタンス 1 の NIC 1 はクライアントサブネットにあり、インスタンス 2 の NIC 1 はサーバーサブネットにあります。HA が機能するためには、両方のインスタンスの NIC 1 がクライアントサブネットまたはサーバーサブネットのいずれかに存在する必要があります。
13.0 41.xx 以降、プライマリ HA ノードの NIC (クライアント側およびサーバー側 NIC) にアタッチされたセカンダリプライベート IP アドレスを、フェイルオーバー後にセカンダリ HA ノードに移行することで、高可用性を実現できます。この展開では、次のようになります。
-
両方の VPX インスタンスは、NIC 列挙に従って同じ数の NIC とサブネットマッピングを持っています。
-
各 VPX NIC には、最初の NIC (管理 IP アドレスに対応) を除き、1 つの追加のプライベート IP アドレスがあります。この追加のプライベート IP アドレスは、AWS ウェブコンソールではプライマリプライベート IP アドレスとして表示されます。このドキュメントでは、この追加の IP アドレスをダミー IP アドレスと呼んでいます。
-
ダミー IP アドレスは、NetScaler インスタンスで VIP および SNIP として構成されていてはなりません。
-
その他のセカンダリプライベート IP アドレスは、必要に応じて作成し、VIP および SNIP として構成する必要があります。
-
フェイルオーバー時、新しいプライマリノードは構成された SNIP と VIP を探し、以前のプライマリにアタッチされていた NIC から新しいプライマリの対応する NIC にそれらを移動します。
-
NetScaler インスタンスが HA を機能させるには、IAM 権限が必要です。各インスタンスに追加された IAM ポリシーに、次の IAM 権限を追加します。
"iam:GetRole" "ec2:DescribeInstances" "ec2:DescribeNetworkInterfaces" "ec2:AssignPrivateIpAddresses"
注:
unassignPrivateIpAddress は不要です。
この方法は、従来の方式よりも高速です。従来の方式では、HAはプライマリノードのAWSエラスティックネットワークインターフェースがセカンダリノードに移行することに依存していました。
従来の方式の場合、次のポリシーが必要です。
"iam:GetRole" "ec2:DescribeInstances" "ec2:DescribeAddresses" "ec2:AssociateAddress" "ec2:DisassociateAddress"
詳細については、AWSに高可用性ペアを展開するを参照してください。
異なるゾーン間での高可用性
2つの異なるサブネットまたは2つの異なるAWSアベイラビリティゾーンに、2つのNetScaler VPXインスタンスを、独立ネットワーク構成 (INC) モードの高可用性アクティブ/パッシブペアとして構成できます。フェールオーバー時には、プライマリインスタンスのVIPのEIP (Elastic IP) がセカンダリに移行し、セカンダリが新しいプライマリとして引き継ぎます。フェールオーバープロセスでは、AWS APIは次の処理を行います。
-
IPSetsがアタッチされている仮想サーバーをチェックします。 -
仮想サーバーがリッスンしている2つのIPアドレスの中から、関連付けられたパブリックIPを持つIPアドレスを見つけます。1つは仮想サーバーに直接アタッチされ、もう1つはIPセットを介してアタッチされています。
-
パブリックIP (EIP) を、新しいプライマリVIPに属するプライベートIPに再関連付けします。
異なるゾーン間でのHAの場合、次のポリシーが必要です。
"iam:GetRole" "ec2:DescribeInstances" "ec2:DescribeAddresses" "ec2:AssociateAddress" "ec2:DisassociateAddress"
詳細については、AWSアベイラビリティゾーン間での高可用性を参照してください。
展開を開始する前に
AWS で HA 展開を開始する前に、以下のドキュメントをお読みください。
トラブルシューティング
AWS クラウド上の NetScaler VPX インスタンスの HA フェイルオーバー中に発生した障害をトラブルシューティングするには、
/var/log/ の場所にある cloud-ha-daemon.log ファイルを確認してください。