ISP 冗長化およびロードバランシングの設定方法

kishikawa · ‎04-20-2016

※この記事は以下の記事の日本語訳です。
How to Configure ISP Redundancy and Load Balancing
https://live.paloaltonetworks.com/t5/Configuration-Articles/How-to-Configure-ISP-Redundancy-and-Load...

定義

ISP ロードバランシングは 1 つ以上のインターネットプロバイダがファイアウォールに接続している場合に使用されます。ポリシーベースフォワーディング (PBF) は送信元サブネットに基づいてトラフィックを転送するために使用されます。
ISP 冗長化は、1 つのサービスプロバイダがダウンし、すべてのトラフィックがその他のサービスプロバイダにルーティングされる必要がある場合に使用されます。

通常、ファイアウォールはパケット中の宛先 IP アドレスを使用して出力インターフェイスを決定します。ファイアウォールは、そのインターフェイスが接続している仮想ルータに関連するルーティングテーブルを使用してルートのルックアップを行います。ポリシーベースフォワーディング (PBF) を使用することにより、ユーザーは、ルーティングテーブルをオーバーライドして、送信元／宛先 IP アドレスやトラフィックのタイプのような特定のパラメータに基づいて出力インターフェイスを指定することができます。

次のトポロジーは以下を含んでいます:

2 つの内部サブネット

サブネット1: 192.168.1.0/24
サブネット2: 172.16.1.0/24

2 つの ISP ゲートウェイ

ISP1: 10.30.6.254
ISP2: 10.30.1.254

覚えておくべき 2 つの重要事項:

PBF ルールは 1 つ目のパケット (SYN) または 1 つ目のパケットに対する最初のレスポンス (SYN/ACK) のいずれかに適用されます。アプリケーション固有のルールを PBF と併用することは推奨されません。
アドレス変換 (NAT) ルールは、セキュリティルールがコネクションにマッチしなかった場合は適用されません。そのため、アドレス変換が正常に行われるためにはセキュリティルールが適切に設定されている必要があります。

冗長化の設定

プライマリ ISP の設定:

デフォルトゲートウェイにトラフィックを転送する PBF ルールを作成する。
トンネルモニタープロファイルを追加して、アクションを「失敗した場合は無効」となるよう設定します。

モニタープロファイル:

この設定は、192.168.1.0/24 サブネットから送信されたすべてのトラフィックを強制的に Ethernet 1/3 から送出します。

モニタープロファイルは、IP アドレスをモニターするために設定します。このテストコンフィグでは、モニターファイル "multiple isp" はパブリック DNS 8.8.8.8 をモニターするために使用します。

モニターがこの IP アドレスに到達できなくなると、定義したアクション (fail-over) が発生します。PBF ルールは無効化され、下記にあるように、ファイアウォールは仮想ルータに作成されているスタティックルートにフォールバックします。Path Monitoring が IP アドレスへの接続性を確認することで、ファイアウォールはトラフィックを代替ルートへ転送することが可能になります。ファイアウォールは、指定の IP アドレスが到達可能であることを確認するためにハートビートとして ICMP ping を使用します。

モニタープロファイルにて、IP アドレスが到達可能かどうかを判断するためのハートビート数のしきい値を指定できます。モニター対象の IP アドレスが到達不能な場合、ユーザーは PBF ルールを無効にするか、fail-over アクションか、wait-recover アクションを指定することができます。PBF ルールを無効にすると、仮想ルータがルーティングの決定を引き継ぐことができます。

セカンダリー ISP の設定

通常のメトリックでスタティックルートを作成する

ロードシェアリングの設定

例 1: バックアップなしのロードバランシング

この場合、PBF は、異なるサブネットからのトラフィックが各 ISP を経由して送信されるようにするために使用されます。このシナリオでは、サブネット 192.168.1.0/24 からのトラフィックはすべて Ethernet 1/3 から転送され、サブネット 172.16.1.0/24 からのトラフィックはすべて Ethernet 1/4 から転送されます。

ルール: