Mettre en place la redondance de serveurs SMC

Les configurations des nœuds primaire et secondaire sont synchronisées toutes les heures selon les deux phases suivantes :

• le nœud primaire sauvegarde sa configuration à chaque heure passée de cinq minutes (par exemple 9h05),

• le nœud secondaire télécharge la sauvegarde de configuration depuis le nœud primaire à chaque heure passée de quinze minutes (par exemple 9h15). Les configurations sont alors synchronisées.

Cette fréquence n'est pas paramétrable.

Lors de la synchronisation, toutes les données nécessaires à la supervision et à l'administration des firewalls sont répliquées. La configuration synchronisée n'inclut pas les éléments suivants :

• La licence du serveur SMC. Vous devez installer une licence sur chaque nœud.

• Les configurations IP et DNS du serveur SMC.

• Le mot de passe de l'utilisateur "root".

• La configuration de la synchronisation NTP.

• Toute configuration système personnalisée réalisée par un administrateur.

La synchronisation n'a lieu que si vous avez réalisé une modification de configuration dans l'heure, via l'interface web d'administration, via l'API publique ou via une commande smc-*.

Ainsi, si vous modifiez directement un des fichiers du dossier /data/config (par exemple le fichier cfgcheck.ini ou le fichier smc-webservices.local), ils ne seront synchronisés que lors d'une prochaine modification de configuration via l'interface web d'administration, via l'API publique ou via une commande smc-*.

Les actions suivantes via l'interface web d'administration n'entraînent pas de synchronisation :

• La modification des paramètres réseau de SMC,

• L'ajout de nouveaux administrateurs,

• La modification du contrôle de cohérence du mode "Diffusion restreinte",

• L'exécution de scripts CLI SNS.

En conséquence, les trois premières actions doivent être réalisées manuellement sur les deux nœuds.

En cas de bascule de la connexion des firewalls sur le nœud secondaire, deux cas de figure sont possibles pour le retour à la normale :

• Le nœud primaire est éteint. Il n'y a donc plus de synchronisation entre les deux nœuds. Si vous effectuez des modifications de configuration depuis le nœud secondaire, lorsque le nœud primaire redémarre, il récupère la configuration du nœud secondaire.

• Les deux nœuds communiquent mais la connexion entre le nœud primaire et les firewalls rencontre un problème. Les firewalls se connectent automatiquement au nœud secondaire. La synchronisation du primaire vers le secondaire continue alors de fonctionner. Si vous administrez les firewalls depuis le nœud secondaire de façon temporaire, les modifications de configuration seront écrasées par la synchronisation entre les deux nœuds.

  ATTENTION
  Si vous êtes dans cette situation, nous vous recommandons de rétablir la connexion entre le nœud primaire et les firewalls plutôt que d'administrer depuis le nœud secondaire.

Pour mettre en place la redondance, vous devez suivre les prérequis et recommandations suivants :

• Les deux nœuds doivent être installés et initialisés, selon la procédure indiquée dans le Guide d'installation.

• Nous recommandons d'installer les deux nœuds sur le même environnement virtuel pour un fonctionnement optimal.

• Ils doivent disposer de la même version de SMC. Si ce n'est pas le cas, la redondance ne peut pas fonctionner.

• Nous recommandons de dimensionner les machines virtuelles de façon identique (vCPU et RAM).

• Les deux nœuds doivent appliquer la même configuration NTP, pour être à la même heure et dans le même fuseau horaire. Pour plus d'informations, reportez-vous à la section Modifier le fuseau horaire et la date du serveur SMC du Guide d'administration.

• Chaque nœud doit disposer de sa propre licence supportant chacune le même nombre de firewalls. Si l'un des deux ne possède pas de licence, la redondance ne peut pas fonctionner.

• Les deux nœuds ne doivent avoir aucune adresse IP en commun.

• La communication SSH entre les deux nœuds doit être possible. Pour plus d'informations, reportez-vous à la section suivante.

Le protocole SCP, utilisé pour la synchronisation des deux nœuds, nécessite une authentification par clés SSH pour fonctionner.

Vous devez générer une paire de clés pour chaque nœud, puis transférer la clé publique sur le nœud opposé.

Réalisez la procédure suivante en veillant bien à respecter les chemins et noms de fichiers indiqués :

1. Connectez-vous au premier nœud en SSH.

2. Exécutez la commande suivante pour générer la paire de clés :
   ssh-keygen -t ecdsa -b 256 -f /data/redundancy/keys/redundancy -N ""

3. Exécutez la commande suivante pour transférer la clé publique sur le nœud opposé :
   scp /data/redundancy/keys/redundancy.pub root@<REMOTE_IP>:/data/ssh/authorized_keys.root

4. Répétez l'action sur le second nœud.

Assurez-vous que les prérequis ci-dessus sont respectés puis activez la redondance :

1. Connectez-vous au nœud primaire en SSH.

2. Exécutez la commande suivante : smc-redundancy --secondary <IP_NOEUD_SECONDAIRE>.

   La redondance est alors active et la première synchronisation depuis le nœud primaire vers le nœud secondaire démarre immédiatement.

3. Pour vous assurer que la redondance fonctionne, consultez à tout moment le fichier /var/log/redundancy.log.

NOTE
Le nœud primaire utilise l'adresse IP de sa première interface réseau pour communiquer avec le nœud secondaire. Le nœud secondaire utilise l'adresse IP indiquée dans la commande ci-dessus.
Si vous modifiez l'adresse IP de l'un des nœuds, la redondance ne fonctionne plus. Vous devez l'activer de nouveau avec la nouvelle adresse.

Dans le cas où vous utilisez des serveurs externes dans votre configuration, par exemple un serveur Syslog distant pour l'envoi des journaux de SMC ou bien un serveur LDAP ou Radius pour l'authentification des administrateurs, assurez-vous que les deux nœuds peuvent communiquer avec ces serveurs. L'adresse IP ou le nom de domaine du serveur externe doit être joignable par les deux nœuds.

Une fois la redondance activée, vous devez indiquer aux firewalls les adresses IP des deux serveurs SMC à contacter. Ces informations sont données aux firewalls à travers le package de rattachement à SMC :

• pour les firewalls qui étaient déjà connectés au nœud primaire avant la mise en place de la redondance, vous devez générer et installer des nouveaux packages de rattachement contenant les adresses des deux nœuds, comme indiqué dans la procédure ci-dessous.

• pour les nouveaux firewalls, suivez la procédure ci-dessous.

Pour indiquer les adresses IP des deux serveurs SMC dans le package de rattachement d'un firewall :

1. Suivez la procédure habituelle de rattachement d'un firewall. Pour plus d'informations, reportez-vous à la section Rattacher des firewalls SNS au serveur SMC du Guide d'administration.

2. Dans l'encart Informations de connexion au serveur SMC, indiquez les adresses IP des deux serveurs :
   
   

Dans l'exemple ci-dessus, le nœud primaire possède l'adresse 105.0.0.100 et le nœud secondaire possède l'adresse 105.0.0.101.

La commande smc-import-firewalls permet de générer plusieurs packages de rattachement à la fois. Pour plus d'informations, reportez-vous à la section Importer des firewalls en ligne de commande du Guide d'administration.

Pour arrêter définitivement la redondance, vous devez désactiver la synchronisation entre les nœuds, puis modifier les packages de rattachement afin que les firewalls ne puissent plus se connecter au nœud secondaire.

Dans d'autres cas, par exemple lors d'une restauration de sauvegarde de configuration du serveur SMC, vous devez désactiver temporairement la synchronisation, puis la réactiver. Dans ce cas, vous n'avez pas besoin de modifier les packages de rattachement. Pour plus d'informations sur la restauration de sauvegarde, reportez-vous à la section Gérer les sauvegardes de SMC et des firewalls SNS du Guide d'administration.

Désactiver la synchronisation

1. Connectez-vous au nœud primaire en SSH.

2. Exécutez la commande suivante : smc-redundancy --disable.

Modifier les packages de rattachement

Une fois la synchronisation désactivée entre les deux nœuds, nous vous recommandons de générer de nouveaux packages de rattachement pour chaque firewall connecté à SMC, en indiquant l'adresse IP de l'unique serveur SMC auquel ils doivent se connecter à présent.

Ainsi, ils n'essaieront plus de se connecter à l'ancien nœud secondaire dont la configuration ne serait plus synchronisée ou qui aurait été supprimé.

Réactiver la synchronisation

Pour réactiver la synchronisation entre les deux nœuds après une désactivation temporaire :

1. Connectez-vous au nœud primaire en SSH.

2. Exécutez la commande suivante : smc-redundancy --enable.

Pour mettre à jour vos serveurs SMC lorsqu'une redondance est en place, procédez dans l'ordre suivant :

1. Éteignez le nœud secondaire.

2. Mettez à jour le nœud primaire comme indiqué à la section Mettre à jour le serveur SMC du Guide d'administration.

3. Attendez la fin de la mise à jour et la reconnexion des firewalls.

4. Démarrez le nœud secondaire puis mettez-le à jour.

Nous vous recommandons de réaliser les mises à jour en dehors des phases de synchronisation des deux nœuds. Pour plus d'informations, reportez-vous à la section Comprendre la synchronisation entre les deux nœuds.

Pendant le processus de mise à jour, aucune synchronisation ne peut avoir lieu entre les deux nœuds afin d'éviter toute perte de données.

Si vous souhaitez restaurer une sauvegarde de configuration de SMC alors que la redondance est activée, vous devez suivre ces étapes :

1. Désactivez la synchronisation entre les deux nœuds selon la procédure correspondante.

2. Restaurez la sauvegarde sur chacun des nœuds. La sauvegarde doit provenir du nœud à restaurer. Pour plus d'informations, reportez-vous à la section Sauvegarder et restaurer la configuration du serveur SMC du Guide d'administration.

3. Lorsque les sauvegardes sont restaurées sur les deux nœuds, assurez-vous que les deux serveurs ont redémarré et possèdent bien la même configuration.

4. Après restauration de la sauvegarde, les deux nœuds ont le même adressage IP. Modifiez l'adressage pour revenir à la configuration IP initiale.

5. Activez de nouveau la synchronisation selon la procédure correspondante.

De plus, si vous avez activé la sauvegarde automatique de la configuration du serveur et des firewalls ainsi que la redondance, il n'est pas possible de récupérer sur un nœud les sauvegardes réalisées par l'autre nœud.

SMC peut être utilisé en tant que point de distribution Active Update.

Si vous souhaitez utiliser cette fonctionnalité et que vous avez activé la redondance, vous devez réaliser sur les firewalls la procédure indiquée à la section Utiliser le serveur Active Update de SMC du Guide d'administration avec les informations de chaque nœud. Ainsi, les firewalls auront les adresses IP et certificats permettant d'utiliser les deux nœuds en tant que points de distribution Active Update.

Dans le cas où vous souhaitez mettre à jour les bases Active Update manuellement via le bouton Mettre à jour les bases maintenant de l'interface web d'administration ou via le script de téléchargement des bases, vous devez réaliser cette action sur les deux nœuds. Pour plus d'informations, reportez-vous à la section Télécharger les bases de données Active Update du Guide d'administration.