利用VRID/VMAC实现更安全的netscaler HA故障切换

    大家都知道netscaler或bigip等负载均衡产品都可以实现HA模式下的故障切换，这也是负载均衡产品的主要特性之一。但是这个特性是如何实现的呢?
    下面以netscaler为例，简要介绍一下virtual MAC在故障切换(failover)中的作用。
    在一个HA模式中，首要节点（primary node）拥有所有浮动IP，包括MIP（mapped IP）、VIP（virtual IP）等等。在网络环境中，首要节点会把这些浮动IP和自身的MAC地址返回给ARP请求，从而使得子网外的设备（例如路由器）的ARP表把该MAC和这些IP匹配起来。
    当failover发生的时候，次要节点（secondary node）会取代已经故障设备而成为新的首要节点。然后，它会使用GARP（Gratuitous ARP,无故ARP）进行广播，要求其他网络设备更新ARP表，把这些浮动IP对应为它的MAC地址。
    这时候问题来了。有些不支持GARP的设备会拒绝更新ARP表，依旧认为这些IP属于故障节点，导致网络流量继续流向“死亡地带”，造成严重后果。
    为了解决这个问题，netscaler的方法是设置VMAC（virtual MAC）。VMAC需要在两个节点设备上都进行设置，这样他们就都拥有了一样的MAC地址。failover发生时，次要设备的MAC无须改变，外部设备的ARP表也无须更新。实现了平滑切换。
    VMAC的值是用户定义的，方法很简单。在netscaler上创建一个VRID(virtual route identifiler)，然后把这个VRID绑定到网络接口，这样系统就会生成一个基于这个VRID的VMAC，最后八位就是VRID的值。前5组数字是系统自己生成的。例如，某个netscaler生成的VMAC可能是00:01:02:03:04:<VRID>。
   
    创建VRID方法：
    ssh连接到netscaler，运行如下命令：
    add vrid <number>
    bind vrid <number> -ifnum <interface_number>
  

    查看VMAC方法：
    ssh连接到netscaler，运行如下命令：
    show interface <interface_number>

    (能查看到实际MAC与虚拟MAC的值，他们是不同的)
 

本文出自 “网站运营技术交流” 博客，转载请与作者联系！