رای بدهید

تا حدود 16 ابزار سیسکو ASA مشابه را میتوان در یک خوشه قرار داد تا با هم به عنوان یک سیستم عمل کنند، در این حالت ASA همچنان از مزایای failover بهرهمند است؛ در یک خوشه از آدرس‌های IP و MAC مجازی برای افزونگی First-hop استفاده می‌شود. کلیه اعضای یک کلاستر ملزم به داشتن تنظیمات سخت افزاری، SSP، ماژول‌های نرمافزاری و کارت رابط یکسانی هستند. شکل زیر سه سیسکو ASA که به صورت یک کلاستر پیکربندی شده‌اند، را نشان میدهد.
در این خصوص شما می‌توانید لایسنس سیسکو ASA را در پایه ریزان خریداری کنید.

خوشه بندی سیسکو ASA

خوشه سیسکو ASA

در یک خوشه سیسکو ASA تنظیمات به کلیه اعضا انعکاس داده می شود و وضعیت ارتباط ها پس از وقوع هرگونه مشکلی در یکی از اعضا، حفظ می شود. سیسکو ASA خوشه بندی شده موجب تقارن جریان و دسترس پذیری عالی برای ماژول سیسکو ASA FirePOWER می‌شود؛ پکت ها و جریان ها توسط ماژول کنار گذاشته نمی شوند لیکن به شکل “drop” و یا “drop with TCP reset” علامت گذاری شده به سیسکو ASA ارسال می‌شوند؛ این شیوه در صورت لزوم، امکان پاک کردن جدول وضعیت ارتباطات و بازنشانی TCP، را در اختیار سیسکو ASA قرار می‌دهد. زمانیکه خوشه بندی پیکربندی شده باشد، توزیع بار stateless از طریق IP روتینگ و یا spanned etherchannel with LACP امکان پذیر می شود، علاوه بر این کلیه اداوات سیسکو ASA هریک به یک اینترفیس منطقی با زیرشبکه یکسان متصل شده اند. در همین راستا، شما می‌توانید 14 مدل از لایسنس ASA را در پایه ریزان مشاهده کنید.

شکل زیر سیسکو ASA خوشه بندی شده از طریق spanned EtherChannel را نشان می دهد.

خوشه‌بندی سیسکو ASA

همچنین می توان خوشه بندی را در وضعیت اینترفیس اختصاصی پیکربندی کرد، که این حالت در سیسکو ASA که در وضعیت routed (لایه 3) پیکربندی شده اند امکان پذیر است. شکل زیر سیسکو ASA خوشه بندی شده در حالت اینترفیس اختصاصی را نشان می‌دهد.

خوشه بندی سیسکو به روش ip

در این حالت مدیر خوشه یک آدرس IP مجازی در اینترفیس Data برای مدیریت خوشه در اختیار دارد، کلیه اعضا آدرس های IP اینترفیس data خود را به ترتیبی که عضو خوشه شده اند از IP address pool دریافت می کنند.

انتخاب اعضای یک خوشه در فایروال سیسکو فایر پاور

زمانی که سیسکو ASA به شکل خوشه پیکربندی می شود یک عضو به عنوان پایه و بقیه سیسکو ASA پیرو خواهند بود، پایه اولین واحدی است که عضو خوشه شده است؛ پایه جدید تنها در صورت بروز هرگونه مشکل در پایه خوشه انتخاب خواهد شد. کلیه توابع و ابزارهای مدیریتی در واحد مدیریت متمرکز شده است و چنین تنظیماتی در واحد های پیرو مسدود شده اند. شکل زیر فرایند انتخاب واحدهای پیرو و پایه را نشان می‌دهد.

فرایند انتخاب واحد های پیرو و پایه

مراحل زیر در شکلبالا شرح داده شده است:

گام اول: سیسکو ASA با قابلیت خوشه بندی پس از BOOT به جستجوی پایه خوشه می پردازد.

گام دوم: تا 45 ثانیه منتظر پاسخ از پایه خوشه باقی می ماند، چنانچه هیچ پاسخی دریافت نشود فرض اولین ابزاری که به عضویت خوشه درآمده است به عنوان پایه خوشه در نظر گرفته می شود، در نظر گرفته می شود.

گام سوم: اگر پایه خوشه وجود داشته باشد سیسکو ASA نقش پیرو را به عهده می گیرد و تنظیمات و پیکربندی‌اش را با سیسکو ASA که پایه خوشه است همگام سازی می‌کند.

گام چهارم: پایه تنها یک واحد را در هر لحظه پذیرش می‌کند.

گام پنجم: پیرو خوشه آماده انتقال ترافیک خواهد بود.

مالکیت آدرس های IP مجازی بر عهده اتصالات پیرو است و پایه و پیرو خوشه هر دو به شکل منظم اتصالات گذرا را مورد بررسی قرار می‌دهند. اگر پایه خوشه دچار مشکل شود کلیه اتصالات و ترافیک مدیریتی متمرکز شده در آن دوباره برقرار خواهد شد.

چگونگی برقراری و ردیابی اتصالات در یک خوشه فایروال سیسکو FirePOWER

در این بخش به شرح چگونگی برقراری و ردیابی اتصالات در یک سیسکو ASA که به شکل خوشه پیکربندی شده است پرداخته می شود.

چگونگی برقرار یک ارتباط TCP جدید در خوشه

شکل زیر به شرح چگونگی برقراری یک ارتباط TCP جدید در یک خوشه می‌پردازد.

چگونگی برقراری یک ارتباط TCP جدید در یک خوشه

مراحل نشان داده شده در شکل بالا به شرح زیر است:

گام اول: یک ارتباط TCP جدی از سمت کلاینت دریافت می شود.(TCP SYN)

گام دوم: سیسکو ASA که TCP SYN را دریافت کرده است مالک این جریان شده و آن را به cookie خود اضافه می‌کند.

گام سوم: سرور از طریق یک واحد دیگر در خوشه پاسخ TCP SYN ACK را ارسال می کند.

گام چهارم: اگر سیسکو ASA دیگری در خوشه پاسخ را دریافت کند پکت را به سمت Flow owner ارسال کرده و خود Flow forwarder آن می‌شود.

گام پنجم: Flow owner پکت TCP SYN را به کلاینت ارسال می کند.

گام ششم: Flow owner مراحل flow را با اطلاعات ارتباطات به روز رسانی می‌کند.

چگونگی برقراری و ردیابی یک ارتباط UDP جدید در یک خوشه

شکل زیر چگونگی برقراری و ردیابی ارتباط UDP جدید و یا pseudo-stateful connection در یک خوشه را شرح می‌دهد.

برقراری و ردیابی ارتباط UDP جدید

مراحل نشان داده شده در شکلبالا به شرح زیر است:

گام اول: یک ارتباط UDP جدید و یا pseudo-stateful connection از کلاینت دریافت می شود.

گام دوم: سیسکو ASA که استعلام وجود ارتباط را دریافت کرده است به بررسی جریان ارتباطات با میزبان می پردازد.

گام سوم: اگر ارتباط وجود داشته باشد سیسکو ASA که پکت را دریافت کرده است به عنوان flow owner خواهد شد.

گام چهارم: پکت به سرور تحویل داده می شود.

گام پنجم: Flow owner اطلاعات ارتباطات هدایت کننده را به روز رسانی می کند.

گام ششم: سرور به کلاینت پاسخ می دهد. اگر سیسکو ASA دیگری پاسخ را دریافت کند، پکت را به سمت Flow owner ارسال کرده و flow forwarderx آن می شود.

گام هفتم: Flow forwarder در لیست جستجوهای هدایت کننده به جستجوی Flow owner می پردازد.

گام هشتم: هدایت کننده اطلاعات Flow forwarder را از طریق flow owner به روز رسانی می کند.

گام نهم: Flow forwarder به سرور پاسخ می دهد.

گام دهم: سرور پاسخ را به کلاینت تحویل می دهد.

ارتباطات متمرکز شده در خوشه Cisco FIREPOWER

ویژگی های مخلتفی در سیسکو ASA ، مانند مدیریت VPN، بازبینی نرم افزار ها و AAA[3] جهت کنترل دسترسی های شبکه، که در آن ارتباطات بصورت متمرکز است. اگر ارتباطی به شکل متمرکز قابل دسترسی باشد پایه خوشه قادر به کنترل تمامی وظایف آن خواهد بود.

نکته

پکت هایی با پروتکل های توزیع نشده، به سمت پایه خوشه جهت انجام پردازش ارسال می‌شوند.

ارتباطات متمرکز شده کارایی کل خوشه را کمتر خواهد کرد زیرا موجب افزایش تعداد نقاط ارسال پکت و زمان پردازش لازم برای اتمام یک عمل خواهد شد.

کلیه ویژگی های با دسترسی متمرکز شده معمولا حاوی Flow که به سمت پایه خوشه ارسال می‌شود هستند.

شکل زیر نحوه برقراری و ردیابی ارتباطات متمرکز شده را در یک خوشه نشان می‌دهد.

برقراری و ردیابی ارتباطات متمرکز شده را در یک خوشه

مراحل نشان داده شده در شکل بالا به شرح زیر است:

گام اول: یک ارتباط جدید از کلاینت دریافت می‌شود.

گام دوم: سیسکو ASA که ارتباط را دریافت کرده آن را جزو ویژگی‌های متمرکز شده تشخیص داده و ارتباط را به سمت پایه خوشه هدایت میکند.

گام سوم: پایه خوشه به عنوان flow owner پکت را به سرور ارسال می‌کند.

گام چهارم: پایه خوشه اطلاعات ارتباطات هدایت کننده را به روز رسانی می‌کند.

در صورت بروز هرگونه مشکلی در Flow owner چه اتفاقی می‌افتد

خوشه بندی سیسکو ASA دسترس پذیری و افزونگی شایان توجهی را فراهم می‌آورد. شکل زیر به شرح رویدادهایی که در صورت بروز هرگونه مشکلی در Flow owner چه اتفاقی می افتد، می‌پردازد.