728x90

 


L4#1 configuration


>> Main# /c/dump
script start "Alteon 180e" 4  /**** DO NOT EDIT THIS LINE!
/* Configuration dump taken 17:41:11 Tue Jan  3, 2012
/* Version 10.0.28,  Base MAC address 00:60:cf:42:d4:10
/c/port 1
        pvid 192
/c/port 2
        pvid 20
/c/port 3
        pvid 10
/c/port 5
        pvid 10
/c/port 8
        tag ena
        pvid 100
/c/vlan 1
        def 4 6 7 9
/c/vlan 10
        ena
        name "VLAN 10"
        def 3 5 8
/c/vlan 20
        ena
        name "VLAN 20"
        def 2 8
/c/vlan 100
        ena
        name "VLAN 100"
        def 8
/c/vlan 192
        ena
        name "VLAN 192"
        def 1 8
/c/stp 1/off
/c/stp 1/clear
/c/stp 1/add 1 10 20 100 192
/c/trunk 1
        ena
        add 8
/c/ip/if 1
        ena
        addr 192.168.1.52
        vlan 192
/c/ip/if 2
        ena
        addr 20.20.20.2
        mask 255.255.255.0
        broad 20.20.20.255
        vlan 20
/c/ip/if 3
        ena
        addr 10.10.10.2
        mask 255.255.255.0
        broad 10.10.10.255
        vlan 10
/c/ip/if 8
        ena
        addr 1.1.1.2
        mask 255.255.255.0
        broad 1.1.1.255
        vlan 100
/c/ip/gw 1
        ena
        addr 192.168.1.60
/c/vrrp/on
/c/vrrp/hotstan enabled
/c/vrrp/vr 10
        ena
        vrid 10
        if 3
        addr 10.10.10.1
        adver 2
        share dis
        track
                ports e
/c/vrrp/vr 20
        ena
        vrid 20
        if 2
        addr 20.20.20.1
        adver 2
        share dis
        track
                ports e
/c/vrrp/vr 100
        ena
        vrid 100
        if 8
        addr 1.1.1.1
        adver 2
        share dis
/c/vrrp/vr 192
        ena
        vrid 192
        if 1
        addr 192.168.1.51
        adver 2
        share dis
        track
                ports e
/c/vrrp/group
        ena
        vrid 1
        if 1
        prio 101
        share dis
        track
                vrs dis
                ifs dis
                ports ena
                l4pts dis
                reals dis
                hsrp dis
                hsrv dis
/c/slb
        on
/c/slb/adv
        direct ena
/c/slb/sync
        state e
/c/slb/real 1
        ena
        rip 10.10.10.12
/c/slb/real 2
        ena
        rip 10.10.10.13
/c/slb/group 1
        metric hash
        health http
        add 1
        add 2
/c/slb/group 2
        add 1
        add 2
/c/slb/port 1
        client ena
        hotstan ena
/c/slb/port 2
        client ena
        hotstan ena
/c/slb/port 3
        client ena
        server ena
        hotstan ena
/c/slb/port 5
        server ena
        hotstan ena
/c/slb/port 8
        client ena
        intersw ena
/c/slb/virt 1
        ena
        vip 10.10.10.10
/c/slb/virt 1/service http
        group 1
/c/slb/virt 2
        ena
        vip 10.10.10.11
/c/slb/virt 2/service ftp
        group 2
        ftpp ena
/c/slb/virt 2/service ftp-data
        group 2
/
script end  /**** DO NOT EDIT THIS LINE!



L4#2 configuration
>> Configuration# /c/dump
script start "Alteon AD3" 4  /**** DO NOT EDIT THIS LINE!
/* Configuration dump taken 17:46:01 Tue Jan  3, 2012
/* Version 10.0.28,  Base MAC address 00:60:cf:49:ea:d0
/c/sys
        tnet ena
/c/port 1
        pvid 192
/c/port 2
        pvid 20
/c/port 3
        pvid 10
/c/port 5
        pvid 10
/c/port 8
        tag ena
        pvid 100
/c/vlan 1
        def 4 6 7 9
/c/vlan 10
        ena
        name "VLAN 10"
        def 3 5 8
/c/vlan 20
        ena
        name "VLAN 20"
        def 2 8
/c/vlan 100
        ena
        name "VLAN 100"
        def 8
/c/vlan 192
        ena
        name "VLAN 192"
        def 1 8
/c/stp 1/off
/c/stp 1/clear
/c/stp 1/add 1 10 20 100 192
/c/trunk 1
        ena
        add 8
/c/ip/if 1
        ena
        addr 192.168.1.53
        vlan 192
/c/ip/if 2
        ena
        addr 20.20.20.3
        mask 255.255.255.0
        broad 20.20.20.255
        vlan 20
/c/ip/if 3
        ena
        addr 10.10.10.3
        mask 255.255.255.0
        broad 10.10.10.255
        vlan 10
/c/ip/if 8
        ena
        addr 1.1.1.3
        mask 255.255.255.0
        broad 1.1.1.255
        vlan 100
/c/ip/gw 1
        ena
        addr 192.168.1.60
/c/vrrp/on
/c/vrrp/hotstan enabled
/c/vrrp/vr 10
        ena
        vrid 10
        if 3
        prio 99
        addr 10.10.10.1
        adver 2
        share dis
        track
                ports e
/c/vrrp/vr 20
        ena
        vrid 20
        if 2
        prio 99
        addr 20.20.20.1
        adver 2
        share dis
        track
                ports e
/c/vrrp/vr 100
        ena
        vrid 100
        if 8
        prio 99
        addr 1.1.1.1
        adver 2
        share dis
/c/vrrp/vr 192
        ena
        vrid 192
        if 1
        prio 99
        addr 192.168.1.51
        adver 2
        share dis
        track
                ports e
/c/vrrp/group
        ena
        vrid 1
        if 1
        share dis
        track
                vrs dis
                ifs dis
                ports ena
                l4pts dis
                reals dis
                hsrp dis
                hsrv dis
/c/slb
        on
/c/slb/adv
        direct ena
/c/slb/sync
        state e
/c/slb/real 1
        ena
        rip 10.10.10.12
/c/slb/real 2
        ena
        rip 10.10.10.13
/c/slb/group 1
        metric hash
        health http
        add 1
        add 2
/c/slb/group 2
        metric hash
        health ftp
        add 1
        add 2
/c/slb/port 1
        client ena
        hotstan ena
/c/slb/port 2
        client ena
        hotstan ena
/c/slb/port 3
        server ena
        rts ena
        hotstan ena
/c/slb/port 4
        rts ena
/c/slb/port 5
        server ena
        hotstan ena
/c/slb/port 8
        client ena
        intersw ena
/c/slb/virt 1
        ena
        vip 10.10.10.10
/c/slb/virt 1/service http
        group 1
/c/slb/virt 2
        ena
        vip 10.10.10.11
/c/slb/virt 2/service ftp
        group 2
        ftpp ena
/c/slb/virt 2/service ftp-data
        group 2
/
script end  /**** DO NOT EDIT THIS LINE!

728x90

'업무이야기 > Network' 카테고리의 다른 글

ServerIron의 SLB(Server Load Balancing)  (0) 2012.01.04
Alteon L4 스위치 기본 설정방법  (0) 2011.12.26
Alteon L4 스위치 VRRP  (0) 2011.12.21
VLAN 과 Trunk  (0) 2011.11.23
Etherchannel Config 설명  (0) 2011.11.23
728x90










L4스위치 A Config





 

























L4스위치 B Config

 

 

 

 







 

 

 

 

 





 

 

 

728x90

'업무이야기 > Network' 카테고리의 다른 글

Alteon L4 스위치 기본 설정방법  (0) 2011.12.26
Alteon L4 스위치 VRRP 로 SLB 구성 (Hotstandby)  (0) 2011.12.21
VLAN 과 Trunk  (0) 2011.11.23
Etherchannel Config 설명  (0) 2011.11.23
etherchannel  (0) 2011.11.23
728x90


기본적으로 터미널 서버와 Windows 2000 터미널 서비스는 클라이언트 연결에 TCP 포트 3389를 사용합니다. 이 값은 변경하지 않는 것이 좋지만, 이 포트를 변경해야 할 경우에는 다음 지침을 따르십시오.

경고: 레지스트리 편집기를 잘못 사용하면 심각한 문제가 발생할 수 있으며 문제를 해결하기 위해 운영 체제를 다시 설치해야 할 수도 있습니다. Microsoft는 레지스트리 편집기를 잘못 사용함으로써 발생하는 문제에 대해 해결을 보증하지 않습니다. 레지스트리 편집기의 사용에 따른 모든 책임은 사용자에게 있습니다.

터미널 서버에서 만든 새로운 모든 연결에 대한 기본 포트를 변경하려면 다음과 같이 하십시오.

  1. Regedt32를 실행하고 다음 키로 이동합니다.
    HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp
    참고: 위의 레지스트리 키는 하나의 경로이며, 읽기 쉽도록 두 줄로 표시했습니다.

  2. "PortNumber" 하위 키를 찾아 값이 (3389)의 16진수 값인 00000D3D인지 확인합니다. 16진수로 포트 번호를 수정하고 새 값을 저장합니다.

    터미널 서버에서 만든 특정 연결에 대한 포트를 변경하려면 다음과 같이 하십시오.
    • Regedt32를 실행하고 다음 키로 이동합니다.
      HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\connection
      참고: 위의 레지스트리 키는 하나의 경로이며, 읽기 쉽도록 두 줄로 표시했습니다.
  3. "PortNumber" 하위 키를 찾아 값이 (3389)의 16진수 값인 00000D3D인지 확인합니다. 16진수로 포트 번호를 수정하고 새 값을 저장합니다.

    참고: Terminal Server 4.0에서 대체 포트 사용이 완전히 구현되지 않았기 때문에 Microsoft는 "합당한 노력"을 기울여 지원할 것이지만 문제가 발생하는 경우 포트를 3389로 다시 설정해야 할 수 있습니다.

클라이언트 쪽에서 포트를 변경하려면

  1. 클라이언트 연결 관리자를 엽니다.
  2. 파일 메뉴에서 새 연결을 누른 다음 새 연결을 만듭니다. 마법사를 실행하면 마법사에 새 연결이 표시됩니다.
  3. 새 연결이 선택되어 있는지 확인하고 파일 메뉴에서 내보내기를 누릅니다. 파일을 name.cns로 저장합니다.
  4. 메모장에서 .cns 파일을 편집하여 "Server Port=3389"를 "Server Port=xxxx"로 변경합니다. 여기서 xxxx는 터미널 서버에서 지정한 새 포트입니다.
  5. 이제 클라이언트 연결 관리자로 파일을 다시 가져옵니다. 이름이 같은 파일이 있으면 해당 파일을 덮어쓸 것인지 묻는 메시지가 나타날 수 있습니다. 계속 진행하여 파일을 덮어씁니다. 이제 클라이언트의 포트 설정이 변경된 터미널 서버 설정과 일치합니다.

참고 Windows 2000 터미널 서버 ActiveX 클라이언트는 TCP 포트 3389에만 연결됩니다. 이 구성은 변경할 수 없습니다. Microsoft Windows XP와 Microsoft Windows Server 2003에서 사용할 수 있는 터미널 서버 ActiveX 클라이언트는 포트 설정을 수정하는 기능을 지원합니다. 자세한 내용은 Microsoft 기술 자료의 다음 문서를 참조하십시오.

326945  (http://support.microsoft.com/kb/326945/ ) Windows Terminal Server 웹 클라이언트에서 수신 대기 포트를 변경하는 방법


참고: 새 수신 대기 포트가 활성화되기 전에 터미널 서버를 다시 시작하거나 터미널 서비스 구성을 통해 RDP 수신기를 다시 만들어야 합니다.

728x90
728x90
VLAN 과 Trunk

■ Switch

  1. MAC 주소를 학습 : 인바운드 프레임 소스 주소를 학습한다. VLAN

  2. 포워딩(전달) 과 필터링(차단) : VLAN

     필터링 - 유입된 프레임은 다시 질의 하지 않는다.     Flood - 소스포트를 제외하고는 나머지 포트에게 전달한다.

  3. LOOP 방지 : STP

 

  스위치 에서는 vlan 1 에 가상 ip를 설정할 수 있다. 디바이스에 할당 한 것이다.

  스위치  - 하드웨어 기반, 브리지 - 소프트웨어 기반

 

 ※ Switch 모델

     2950 fa(퍼스트 이더넷) , 2960 gi(기가비트 이더넷)

   

 ◆ Tag 와 Untag

    Port access 모드일 경우 tag 와 untag 를 한다.

vlan 으로 구성하지 않는 스위치는 정상적인 프레임으로 포워딩 한다. 하지만 vlan 은 프레임 헤더에 vlan id 를 추가해서 보낸다.

A 에서 C로 프레임을 보낼때 TAG를 해서 보낸다. 즉 VLAN 10 이란 꼬리표를 붙여서 보낸다. C에서는 프레임을 받을때는 Untag 한 프레임을 받는다. 꼬리표를 잘라내서 정상적인 프레임으로 받을 수 있게 하는 것이다.

 

VLAN (Virtual LAN)
 - 기본적으로 VLAN 소속이 다른 노드간에는 통신이 어렵다
  - broadcast domain을 만들어 불필요한 트래픽을 현격히 줄인다.
  - vlan 소속을 지정하지 않으면 vlan 1(Native vlan) 로 할당된다.
  - 다수의  Broadcast Domain을 만들 수 있다.
 
vlan 기본 구성이다.
모두 스위치 안에 있는 호스트 이지만 vlan 10 과 vlan 20 은 서로 통신이 되지 않는다.
vlan은 이더넷 네트워크에서 논리적인 브로드 캐스트 도메인을 나눌 수 있기에 이더넷 네트워크 를 확장하는데 필수 적이다.
 
 VLAN 과 IP 주소
 - VLAN이 다르면 IP 서브넷도 달라야 한다. VLAN 이 같으면서 IP 서브넷 주소가 다른 경우에는 통신이 가능하다. 하지만, 이때에도 라우터에 세컨더리 IP주소를 설정하는 등 관리가 복잡해 질 수 있다. 가장 바람직한 것은 하나의 VLAN당 하나의 서브넷을 할당하는 것이다.
 
 VLAN 모드
  - Access mode
  - Trunk mode
  - Dynamic mode

 

 VLAN 구성

 (config)# vlan 10  

//vlan 그룹 만들기, vlan 정보는 안전한 flash 에 vlan.dat로 저장된다.

 (config-vlan)# name hot  

//vlan 이름 변경

 (config)# int fa0/1

 (config-if)# switchport mode access      

// vlan 포트 설정시 access port 구성 되야 한다.

 (config-if)# switchport access vlan 10   

// fa0/1을 vlan 10 으로 설정한다.

 

* TIP)switchport mode access 를 포트 마다 하나씩 지정하기 귀찮다면 한꺼번에 설정이 가능하다.

(config)# interface range fa0/1 - fa0/24   

//access 범위 지정

(config-if-range)#switch mode access   

// 포트1번 ~ 24번까지 모두 access로 설정된다.

 

 ⊙ #show vlan - vlan 확인 명령

 

Trunk

  - 보통 802.1Q 에 정의되어 있으며 시스코에서 만든 ISL 있다.

  - vlan 마다 서로다른 ARPA 동작한다. 다중 ARPA를 순서대로 하나씩 전송한다.

  - 스위치와 스위치 사이에는 access port를 쓰지 않는다. 왜냐하면 하나의 vlan만 쓸 수 있기 때문이다.

 

 ⊙ 802.1Q 프레임 포맷

 

목적지 주소 출발지 주소 802.1Q 타입/길이 데이터 FCS

 

 

 

802.1Q =====> 이더타입
(16 bits)
우선순위
(3 bit)
CFI
(1 bit)
VLAN 번호
(12bit)

 

 

 ⊙ Trunk 필요성

  - Ethernet Switched Network의 확장성과 비용 절감을 위해 반드시 필요함.
  - VLAN ID는 같으나 물리적인 위치가 다른 VLAN사이에 통신이 필요한 경우.
  - Switch 사이에서 하나 이상의 VLAN Traffic들을 효과적으로 전송해야 하는 경우.
  - 여러 VLAN이 하나의 라우터와 하나의 물리 인터페이스를 공유해야 하는 경우.
  - 여러 VLAN이 하나의 Server를 공유 해야 하는 경우.

 

 ⊙ Trunk 조건

 1) Defult는 vlan 이어야 한다.

 2) trunk 모드 상태야 한다.

 3) trunk 인캡슐 기법이 동일 해야 한다.

 

Native vlan - vlan 1 이 Native vlan 이다. 지정하지 않는 vlan은 native vlan 소속이 된다.

                   native vlan 은 변경할 수 있으나 실무에서는 거의 변경하지 않는다.

 

 ⊙ Trunk 구성

 (config)# int gi 1/1

 (config-if)# switchport mode trunk        

//trunk 모드로 변경

 (config-if)# switchport trunk encapsulation dot1q(isl) 

//802.1q , ISL 트렁크 프로토콜을 선택한다.                                                                     만약 설정하지 않으면 기본값 802.1q 로 구성된다.

 

 ⊙ Trunk 실습

각각 다른 vlan 구성시 ip 대역을 다른 네트워크로 설정 해주는것이 좋다.

왼쪽 스위치 한쪽에만 trunk 구성시 정상적으로 정보는 전달한다. 이유는 스위치는 자동으로 협상을 맺기 때문이다.

하지만 오른쪽 스위치에서 sh run 을 할경우 trunk 구성을 볼 수 없다. 가급적이면 두 스위치에 트렁크 명령어를 구성해주면 된다.

 

 ⊙ #show int trunk, sh run - trunk 확인 명령

728x90

'업무이야기 > Network' 카테고리의 다른 글

Alteon L4 스위치 VRRP 로 SLB 구성 (Hotstandby)  (0) 2011.12.21
Alteon L4 스위치 VRRP  (0) 2011.12.21
Etherchannel Config 설명  (0) 2011.11.23
etherchannel  (0) 2011.11.23
[ALTEON] VRRP Hot-Standby 설정예제  (0) 2011.11.14
728x90

Cat6500#show run
!

!

! #### Cat6500의 네개의 FastEthernet 포트를 하나의 그룹으로 묶는 인터페이스에 대한 설정입니!

! #### 다.
interface Port-channel1
switchport 

### Port-channel1을 Layer 2 포트로 만들어 줍니다.(L3로 하고자 할 경우에는

### no switchport로 설정하면 됩니다.)
switchport trunk encapsulation dot1q 

### 아래에서 Trunk로 설정시 모든 VLAN에 대한 정보가 

### 이 인터페이스를 송/수신되구 trunking protocol이 시스
### 코용 ISL과 open standard인 dot1q가 있는데 여기는 
### dot1q를 사용

                                                
switchport mode trunk 

### 모든 VLAN 정보가 송/수신되어서 양 단 스위치의 동일 VLAN은

### 라우터없이도 통신이 되도록 만듬
no ip address
!

### 아래는 Port-channel1에 속하는 인터페이스에 대한 설정입니다.

!

interface FastEthernet4/2
switchport
switchport trunk encapsulation dot1q
switchport mode trunk
no ip address
channel-group 1 mode desirable

### 인터페이스가 port-channel1 그룹에 포함되도록 설정

!

interface FastEthernet4/3
switchport
switchport trunk encapsulation dot1q
switchport mode trunk
no ip address
channel-group 1 mode desirable

!

interface FastEthernet4/4
switchport
switchport trunk encapsulation dot1q
switchport mode trunk
no ip address
channel-group 1 mode desirable 
 

!

(생략)

 

 

Cat2950#show run

!

!

!
interface Port-channel1
switchport mode trunk

### 위의 Cat6500 장비는 L3도 모두 지원하기 때문에 switchport라구 명시

### 해야만 L2로 동작하지만 cat2950는 Layer 2 스위치이기 떄문에 별도의

### 설정없이도 L2로 동작함. 또한 모든 VLAN 정보 송/수신 가능하게 설정

!

!

### port-channel1 그룹에 속하는 인터페이스에 대한 설정입니다.

!        
interface FastEthernet0/2
switchport mode trunk
channel-group 1 mode desirable

!

!        
interface FastEthernet0/3
switchport mode trunk
channel-group 1 mode desirable

!

!        
interface FastEthernet0/4
switchport mode trunk
channel-group 1 mode desirable

!

(생략)

 

마지막으로 주의할 점은

   1)       Etherchannel로 설정되는 포트는 동일한 VLAN, 속도, Duplex로 설정이 되어 있어야 합니다.

728x90

'업무이야기 > Network' 카테고리의 다른 글

Alteon L4 스위치 VRRP  (0) 2011.12.21
VLAN 과 Trunk  (0) 2011.11.23
etherchannel  (0) 2011.11.23
[ALTEON] VRRP Hot-Standby 설정예제  (0) 2011.11.14
Piolink L4 전체 설정  (0) 2011.11.09
728x90

====== etherchannel =======
Etherchannel 의 mode 설정방법
  LACP (IEEE)  802.3ad
  PAGP (CISCO)

  ON

 

LACP config

# interface range fa0/23 - 24
  # channel-protocol lacp
  # channel-group 1 mode  (active, passive)

 

PAgP config

# interface range fa0/23 - 24
  # channel-protocol pagp
  # channel-group 1 mode (desirable, auto)

 

ON config

# interface range fa0/23 - 24
   # channel-group 1 mode on

 

Verify
config)# show etherchannel 1 summary
config)# show interface port-channel 1

 

Delete ethchannel

config)# default interface range fa0/23 - 24
config)# no interface port-channel 1

 

======= L2 etherchannel =====

# interface range fa0/23 - 24
 # switchport trunke encapsulation isl
 # switchport mode trunk
 # channel-group 1 mode active

 

Verify

config)# show etherchannel 1 summary== (L2 Etherchannel)

Group  Port-channel  Protocol    Ports
------+-------------+-----------+-----------------------------------------------
1            Po1(SU)         LACP      Fa0/23(P)   Fa0/24(P) 

 

 

===== L3 etherchannel =====

# interface range fa0/23 - 24
  # no switchport (중요)
  # channel-group 1 mode active
 
# interface port-channel 1
  # ip address 10.1.12.1 255.255.255.0

 

# ip routing
# router eigrp 109
  # network 10.1.12.0 0.0.0.255

 

Verify

config)# show etherchannel 1 summary== (L3 Etherchannel)

Group  Port-channel  Protocol    Ports
------+-------------+-----------+-----------------------------------------------
1              Po1(RU)         LACP      Fa0/23(P)   Fa0/24(P)  

 

 

======= port-channel load-balance =======

config)# port-channel load-balance ?

                                                            dst-ip       Dst IP Addr
                                                            dst-mac      Dst Mac Addr
                                                            src-dst-ip   Src XOR Dst IP Addr
                                                            src-dst-mac  Src XOR Dst Mac Addr
                                                            src-ip       Src IP Addr
                                                            src-mac      Src Mac Addr

 

Verify

# show etherchannel ?

  brief                 Brief information
  detail               Detail information
  load-balance  Load-balance/frame-distribution scheme among ports in
                           port-channel
  port                  Port information
  port-channel    Port-channel information
  summary         One-line summary per channel-group

728x90

'업무이야기 > Network' 카테고리의 다른 글

VLAN 과 Trunk  (0) 2011.11.23
Etherchannel Config 설명  (0) 2011.11.23
[ALTEON] VRRP Hot-Standby 설정예제  (0) 2011.11.14
Piolink L4 전체 설정  (0) 2011.11.09
포트 바운더리(Promisc 설정)  (0) 2011.11.09
728x90

 

 

 

 

 

 

 

Safezone IPS 장비에 FAN LED가 들어와서 뚜껑을 따 보았다.
FAN LED가 1~5까지가 있는데 중간에 있는 세개의 FAN이 1,2,3번이고 4,5번은 CPU FAN이다.
728x90
728x90
NSRP Monitor Track IP Configuration Examples

Summary:

NSRP IP Tracking proves to be absolutely vital to achieving a successful failover event in scenarios when the primary Juniper firewall stops passing traffic, but the monitored interfaces remain up.

 

Problem or Goal:
Why configure NSRP Monitor track-ip and how does it work?

 

 

Solution:
The NSRP Monitor Track-IP option can be utilized to monitor IP address reachability in an NSRP environment. When used in conjunction with NSRP interface monitoring, one can obtain much more reliable and robust NSRP failover. Essentially, track-IP functions by sending ICMP (or ARP) heartbeats to one or more configurable hosts. If a (configurable) threshold of consecutive heartbeats is lost, the host is deemed down and the NSRP failover event is triggered

One must allot a certain amount of time for planning and testing to create a Track-IP configuration that minimizes both false-positives (failover events when the network is not down) and false-negatives (absence of failover events when the network is down). One needs to determine one or more hosts that can reliably respond to ICMP/ARP traffic (an example would be the firewall’s next-hop gateway IP). For situations requiring multiple Track-IP hosts, one may need to adjust the weight values to ensure failover occurs when intended.

See below for five IP tracking configuration examples for monitoring one and two hosts.

---------------------------------------
Configuration example 1

NSRP track-ip config commands for monitoring one Reliable Host:
# Send ICMP packet every 3 seconds
set nsrp monitor track-ip ip 192.168.1.100 interval 3
# 5 consecutive packets without a response will trigger failover
set nsrp monitor track-ip ip 192.168.1.100 threshold 5
# The interface these packets will be sourced from
set nsrp monitor track-ip ip 192.168.1.100 interface ethernet1
# The weight of this particular track-ip failure (only this IP must be unreachable to trigger the failover event)
set nsrp monitor track-ip ip 192.168.1.100 weight 255
---------------------------------------
Configuration Example 2

NSRP track-ip config commands for monitoring two Reliable Hosts:
Note: In this example, when both hosts (Host1 and Host2) are unreachable, a firewall failover will be triggered.
# Configure IP addresses of VSI interfaces
set interface ethernet1/2 ip 2.2.9.2/24
set interface ethernet1/3 ip 1.1.9.2/24
# Configure manage-ip for VSI interfaces
set interface ethernet1/2 manage-ip 2.2.9.4
set interface ethernet1/3 manage-ip 1.1.9.4
# Enable IP tracking
set nsrp monitor track-ip
Commands to monitor Host1:
# Use PING as IP tracking method
set nsrp monitor track-ip ip 2.2.9.3 method ping
# Send ICMP echo request packet every 3 seconds
set nsrp monitor track-ip ip 2.2.9.3 interval 3
# 5 consecutive packets without a response will trigger failover
set nsrp monitor track-ip ip 2.2.9.3 threshold 5
# The weight of this particular track-ip failure (both IPs must be unreachable to trigger the failover event)
set nsrp monitor track-ip ip 2.2.9.3 weight 128
Commands to monitor Host2:
# Use ping as IP tracking method
set nsrp monitor track-ip ip 1.1.9.1 method ping
# Send ICMP echo request packet every 3 seconds
set nsrp monitor track-ip ip 1.1.9.1 interval 3
# 5 consecutive packets without a response will trigger failover
set nsrp monitor track-ip ip 1.1.9.1 threshold 5
# The weight of this particular track-ip failure (both IPs must be unreachable to trigger the failover event)
set nsrp monitor track-ip ip 1.1.9.1 weight 128
To verify configuration:
get nsrp monitor
device based nsrp monitoring threshold: 255, weighted sum: 0, not failed
device based nsrp monitor interface:
device based nsrp monitor zone:
device based nsrp track ip: (weight: 255, enabled, not failed)

get nsrp monitor track-ip
ip address      interval threshold wei  interface  meth fail-count success-rate
2.2.9.3                3         5 128 auto        ping          0 100%
1.1.9.1                3         5 128 auto        ping          0 100%
failure weight: 255, threshold: 255, not failed: 0 ip(s) failed, weighted sum = 0
Debug analysis:
2a.  When the firewall is receiving ICMP Echo responses from both track IP addresses note the output of “debug icmp all” and “debug trackip basic” commands:
## 2001-01-24 13:58:09 : track ip: track 1.1.9.1
## 2001-01-24 13:58:09 : trackip set SELF_APP_CLT_TRACK and out
## 2001-01-24 13:58:09 : build icmp: 8/0,1c999cc8/32
## 2001-01-24 13:58:09 : insert 1.1.9.1 (1024/34284)
## 2001-01-24 13:58:09 : ping to 1.1.9.1, 8/1024/34284, 32 bytes from src 0.0.0.0, if N/A, tnl ffffffff
## 2001-01-24 13:58:09 : icmp: handing over icmp(type 0) pak to raw socket
## 2001-01-24 13:58:09 : received raw icmp pak from 1.1.9.1 thro ethernet1/3
## 2001-01-24 13:58:09 : Rcv ICMP Echo Rsp: src=1.1.9.1, dst=1.1.9.4, data=40
## 2001-01-24 13:58:09 : search 1.1.9.1 (1024/34284)
## 2001-01-24 13:58:09 : age/delete 1.1.9.1 (1024/34284)         time 0
## 2001-01-24 13:58:11 : track ip: track 2.2.9.3
## 2001-01-24 13:58:11 : trackip set SELF_APP_CLT_TRACK and out
## 2001-01-24 13:58:11 : build icmp: 8/0,1c999cc8/32
## 2001-01-24 13:58:11 : insert 2.2.9.3 (1024/34384)
## 2001-01-24 13:58:11 : ping to 2.2.9.3, 8/1024/34384, 32 bytes from src 0.0.0.0, if N/A, tnl ffffffff
## 2001-01-24 13:58:11 : icmp: handing over icmp(type 0) pak to raw socket
## 2001-01-24 13:58:11 : received raw icmp pak from 2.2.9.3 thro ethernet1/2
## 2001-01-24 13:58:11 : Rcv ICMP Echo Rsp: src=2.2.9.3, dst=2.2.9.4, data=40
## 2001-01-24 13:58:11 : search 2.2.9.3 (1024/34384)
## 2001-01-24 13:58:11 : age/delete 2.2.9.3 (1024/34384)         time 0

----------------------------------------
Configuration Example 3

NSRP track-ip config commands for monitoring two Reliable Hosts:
Note: In this example,  when only one Host is unreachable (Host1 or Host2), a firewall failover will be triggered.
Commands to monitor Host1:
# Send ICMP packet every 3 seconds
set nsrp monitor track-ip ip 192.168.1.100 interval 3
# 5 consecutive packets without a response will trigger failover
set nsrp monitor track-ip ip 192.168.1.100 threshold 5
# The interface these packets will be sourced from
set nsrp monitor track-ip ip 192.168.1.100 interface ethernet1
# The weight of this particular track-ip failure (only one IP must be unreachable to trigger the failover event)
set nsrp monitor track-ip ip 192.168.1.100 weight 255

Commands to monitor Host2:
# Send ICMP packet every 3 seconds
set nsrp monitor track-ip ip 10.10.1.100 interval 3
# 5 consecutive packets without a response will trigger failover
set nsrp monitor track-ip ip 10.10.1.100 threshold 5
# The interface these packets will be sourced from
set nsrp monitor track-ip ip 10.10.1.100 interface ethernet2
# The weight of this particular track-ip failure (only one IP must be unreachable to trigger the failover event)
set nsrp monitor track-ip ip 10.10.1.100 weight 255

----------------------------------------
Configuration example 4

NSRP track-ip configuration commands for monitoring one host/gateway that doesn’t respond to ICMP ECHO packets. Therefore this example is using the ARP IP tracking method and requires configuring a manage-ip address on the firewall.  
Important Note:  The ARP method only works if the other device belongs to same L2 broadcast domain.
# Configure IP address of VSI interface
set interface ethernet1/1 ip 172.19.51.20/23
# Configure manage-ip for VSI interface. If firewall is in inoperable state, it will fail to build ARP packet because link of interface is inactive.
set interface ethernet1/1 manage-ip 172.19.51.65
# Enable IP tracking
set nsrp monitor track-ip
# Use ARP as IP tracking method
set nsrp monitor track-ip ip 172.19.50.1 method arp
# Send ARP request packet every 3 seconds
set nsrp monitor track-ip ip 172.19.50.1 interval 3
# 5 consecutive packets without a response will trigger failover
set nsrp monitor track-ip ip 172.19.50.1 threshold 5
# The weight of this particular track-ip failure (only this IP must be unreachable to trigger the failover event)
set nsrp monitor track-ip ip 172.19.50.1 weight 255
To verify configuration:
get nsrp monitor
device based nsrp monitoring threshold: 255, weighted sum: 0, not failed
device based nsrp monitor interface:
device based nsrp monitor zone:
device based nsrp track ip: (weight: 255, enabled, not failed)

get nsrp monitor track-ip
ip address      interval threshold wei  interface  meth fail-count success-rate
172.19.50.1            3         5 255 auto        arp           0 64%
failure weight: 255, threshold: 255, not failed: 0 ip(s) failed, weighted sum = 0
Debug analysis:
4a.  When a manage-ip is configured and the firewall is receiving the ARP response, note the output of “debug arp task” and “debug trackip basic” commands:
## 2008-03-23 05:30:48 : track ip: track 172.19.50.1
## 2008-03-23 05:30:48 : Build ARP Req: src=172.19.51.65, dest=172.19.50.1, etype 0x0806(0x806), intf=ethernet1/1, flag=0x10020000
## 2008-03-23 05:30:48 : Send ARP Req: src=0.0.0.0, dest=172.19.50.1, interface=7, flag=0x10020000
## 2008-03-23 05:30:48 : Sending packet to ffffffffffff from 0010db865f87 thro raw socket 2305 bound to interface=ethernet1/1
## 2008-03-23 05:30:48 : received raw arp pak from 0010dbff2090 thro ethernet1/1
## 2008-03-23 05:30:48 : Receive ARP Rsp: src=172.19.50.1, dst=172.19.51.65, interface=ethernet1/1
## 2008-03-23 05:30:48 : update ethernet1/1: 172.19.50.1/0010dbff2090 to arp
## 2008-03-23 05:30:48 : find arp: for 172.19.50.1 vsys Root
## 2008-03-23 05:30:48 : found arp: 172.19.50.1/0010dbff2090 in vsys Root
4b. If the manage-ip is not configured, note the output of the “debug arp task” and “debug trackip basic” commands:
## 2008-03-23 12:59:47 : track ip: track 172.19.50.1
## 2008-03-23 12:59:47 : arp_pak_build: cannot decide src ip to send arp
## 2008-03-23 12:59:47 : failed to build arp pak for src 0.0.0.0, dst 172.19.50.1, opcode 1, ifp ethernet1/1
4c. When no ARP response is received, note the output of “debug arp task” and “debug trackip basic” commands:
## 2008-03-23 14:22:26 : track ip: track 172.19.50.1
## 2008-03-23 14:22:26 : Build ARP Req: src=172.19.51.65, dest=172.19.50.1, etype 0x0806(0x806), intf=ethernet1/1, flag=0x10020000
## 2008-03-23 14:22:26 : Send ARP Req: src=0.0.0.0, dest=172.19.50.1, interface=7, flag=0x10020000
## 2008-03-23 14:22:26 : Sending packet to ffffffffffff from 0010db865f87 thro raw socket 2305 bound to interface=ethernet1/1
## 2008-03-23 14:22:26 : Add new arp entry at 16 for 172.19.50.1
## 2008-03-23 14:22:28 : Give up retry
## 2008-03-23 14:22:28 : arp free entry


----------------------------------------
Configuration Example 5

NSRP track-ip configuration per VSD commands for monitoring two Reliable Hosts.  This example is similar to Example 3, except the monitoring is done from VSD 1. 
Note: In this example, when only one Host is unreachable (Host1 or Host2), a firewall failover will be triggered.
# Configure IP addresses of VSI interfaces
set interface ethernet1/2:1 ip 2.2.9.2/24
set interface ethernet1/3:1 ip 1.1.9.2/24
# Configure IP address of physical interfaces
set interface ethernet1/2 ip 2.2.9.4/24
set interface ethernet1/3 ip 1.1.9.4/24
# Enable IP tracking
set nsrp vsd-group id 1 monitor track-ip ip


 Commands to monitor Host1:
# Send ICMP packet every 3 seconds
set nsrp vsd id 1 monitor track-ip ip 2.2.9.3 interval 3
# 5 consecutive packets without a response will trigger failover
set nsrp vsd id 1 monitor track-ip ip 2.2.9.3 threshold 5
# The weight of this particular track-ip failure (only one IP must be unreachable to trigger the failover event)
set nsrp vsd-group id 1 monitor track-ip ip 2.2.9.3 weight 255

Commands to monitor Host2:
# Send ICMP packet every 3 seconds
set nsrp vsd id 1 monitor track-ip ip 1.1.9.1 interval 3
# 5 consecutive packets without a response will trigger failover
set nsrp vsd id 1 monitor track-ip ip 1.1.9.1 threshold 5
# The weight of this particular track-ip failure (only one IP must be unreachable to trigger the failover event)
set nsrp vsd-group id 1 monitor track-ip ip 1.1.9.1 weight 255
To verify configuration:
get nsrp vsd-group id 1 monitor
VSD group 1 based nsrp monitoring threshold: 255, weighted sum: 0, not failed
VSD group 1 monitor interface:
VSD group 1 monitor zone:
VSD group 1 based nsrp track ip: (weight: 255, enabled, not failed)

get nsrp vsd-group id 1 monitor track-ip
ip address      interval threshold wei  interface  meth fail-count success-rate
2.2.9.3                3         5 255 auto        ping          0 100% (no manage-ip address)
1.1.9.1                3         5 255 auto        ping          0 100% (no manage-ip address)
failure weight: 255, threshold: 255, not failed: 0 ip(s) failed, weighted sum = 0
Debug Analysis:
5a. When the firewall is receiving ICMP Echo responses from both track IP addresses, note the output of “debug icmp all” and “debug trackip basic” commands:
## 2001-01-24 14:36:55 : track ip: track 2.2.9.3
## 2001-01-24 14:36:55 : trackip set SELF_APP_CLT_TRACK and out
## 2001-01-24 14:36:55 : build icmp: 8/0,1c999cc8/32
## 2001-01-24 14:36:55 : insert 2.2.9.3 (1024/32712)
## 2001-01-24 14:36:55 : ping to 2.2.9.3, 8/1024/32712, 32 bytes from src 0.0.0.0, if N/A, tnl ffffffff
## 2001-01-24 14:36:55 : icmp: handing over icmp(type 0) pak to raw socket
## 2001-01-24 14:36:55 : received raw icmp pak from 2.2.9.3 thro ethernet1/2
## 2001-01-24 14:36:55 : Rcv ICMP Echo Rsp: src=2.2.9.3, dst=2.2.9.4, data=40
## 2001-01-24 14:36:55 : search 2.2.9.3 (1024/32712)
## 2001-01-24 14:36:55 : age/delete 2.2.9.3 (1024/32712)         time 0
## 2001-01-24 14:36:56 : track ip: track 1.1.9.1
## 2001-01-24 14:36:56 : trackip set SELF_APP_CLT_TRACK and out
## 2001-01-24 14:36:56 : build icmp: 8/0,1c999cc8/32
## 2001-01-24 14:36:56 : insert 1.1.9.1 (1024/32812)
## 2001-01-24 14:36:56 : ping to 1.1.9.1, 8/1024/32812, 32 bytes from src 0.0.0.0, if N/A, tnl ffffffff
## 2001-01-24 14:36:56 : icmp: handing over icmp(type 0) pak to raw socket
## 2001-01-24 14:36:56 : received raw icmp pak from 1.1.9.1 thro ethernet1/3
## 2001-01-24 14:36:56 : Rcv ICMP Echo Rsp: src=1.1.9.1, dst=1.1.9.4, data=40
## 2001-01-24 14:36:56 : search 1.1.9.1 (1024/32812)
## 2001-01-24 14:36:56 : age/delete 1.1.9.1 (1024/32812)         time 0


728x90

+ Recent posts