はじめに

Check Point Software Technologiesのファイアウォールで使われている技術ClusterXLについて勉強します。

ClusterXLとは何か

ClusterXLは複数のCheck Pointファイアウォールで冗長構成を組むために使われている技術です。他のネットワーク機器の冗長化技術と同じく、筐体間のHelloやコネクション同期等の機能を持っています。
以下、私が普段運用している「2台の筐体でActive-Standby構成を組む構成」の場合で記述していきます。

ClusterXLが動作するための条件

以下の条件を満たしている必要があります
・2台の筐体が同じバージョンで動作していること
異バージョンで動作させる場合にはActive-Standby構成を組むことができず、またコネクション同期も行うことができません。
・アプライアンスの場合、2台の筐体が同じ型番であること
・2台の筐体が時刻同期されていること
時刻同期は製品によってはたまに問題になることがありますね。BIG-IPでは数分のずれでHA構成が組めなくなっていたと記憶しています。Check Pointの場合ある程度のずれは許容されるようですが、同期させておくべきなのは間違いありません。

ClusterXLの動作

ClusterXLはHelloと同期の機能をどちらもCluster Control Packet (CCP)というパケットを使って行っています。CCPはudp/8116に対してマルチキャストで送信されます。どのインターフェースがCCPを送信するかはTopologyの設定によって変更することができます。

各インターフェースの役割について

各インターフェースは以下の4つのうちどれか1つの役割を持たせることができます。設定は管理サーバのTopologyで実施し、確認は実機上でcphaprob -a ifコマンドでできます。4つの役割の違いは「CCPでHelloを送る/送らない」「CCPで同期情報を送る/送らない」「インターフェースが落ちた時にフェイルオーバーが起きる/起きない」です。表にまとめると次のようになります。

役割	Hello送信	同期情報送信	監視	用途
Cluster	○	×	○	通常のインターフェース
Sync	○	○	○	コネクション同期用インターフェース
Monitored Private	×	×	○	特殊
Non-Monitored Private	×	×	×	管理ポート

Clusterインターフェースは通常の通信で使われるインターフェースです。
それに対してSyncはコネクション同期情報をやり取りするためのインターフェースです。転送量が多くCluster機能の根幹を担うインターフェースのため、クロスケーブルで直結することが推奨されています。
Monitored Privateはクラスターではない（仮想IPを持たない）がインターフェースダウン時には障害とみなしてフェイルオーバーするインターフェースです。タグVlanを使っているときの物理ポートに設定します。
Non-Monitored Privateはクラスターではなく、ダウンしても障害とみなさないポートです。リモートログイン用の管理ポートはこれですね。

実機でcphaprob -a ifコマンドで確認すると、Clusterインターフェースは「non secured」、Syncインターフェースは「secured」と表示されます。正直この名前規則の違いはミスリーディングなのでやめて頂きたいです。。。

IPとMacについて

Clusterインターフェースで利用されるIPはインターフェースにアサインするIPアドレスとは異なるVIPとなります（CiscoのHSRPを想像しましょう）。MacアドレスはActiveとして動作しているインターフェースのMacがそのまま使われます(CiscoのHSRPとは違いますね）。フェイルオーバーの際にはGARPが送信され、隣接機器のARPテーブルが変更されます。

HAステータスについて

HAステータスは筐体上でcphaprob stateコマンドで確認できます。Active、Standby、Down、Active Attention、Ready、ClusterXL inactive or member is downの6種類を覚えておけば大丈夫です。

Active：正常にActiveとして動作している
Standby：正常にStandbyとして動作している
この2つは正常な状態を示しています。

Down：異常であり、パケットの送受信は行えない。他の筐体にActiveを任せている。
Critical Device（後述）に問題が起きており、ActiveにもStandbyにもなれない状態です。通信用インターフェースで障害が起きた場合にはこの状態になります。

Active Attention：異常であるが、他の筐体にActiveを任せられないため自分が送受信を行っている。
両方の筐体で障害が発生した場合、どちらもActiveになれずこの状態になります。

Ready：正常であるが、ActiveにもStandbyにもなれない
あまり見ることがない状態です。両方筐体のバージョンが異なる場合には、より「新しい」バージョンがReadyとなります。この時古いバージョンはActiveとなります。Standbyではないためコネクション同期はできません。

ClusterXL inactive or member is down：正常であり、他の筐体が見つからない
クラスターのうち1台が筐体故障等でいなくなると、もう1台はこの状態になります。

フェイルオーバーとCritical Deviceについて

ClusterXLは自分の筐体のうち、インターフェース及び幾つかのプロセスを監視しており、このいずれかで問題が発生した場合にフェイルオーバーが発生します。この監視対象をCritical Deviceとよび、cphaprob -l listコマンドで確認できます。

参考文献

ClusterXL Administration Guide R77 Versions
Understanding Check Point ClusterXl Part 1