Check Point集群模式比较

liuxingyuan · 发表于 2010-1-26 23:16:25

liuxingyuan · 发表于 2010-1-26 23:23:17

liuxingyuan · 发表于 2010-1-26 23:30:44

综合比较而言：
性能最优的是组播负载均衡模式，但同时这也是最昂贵的一种
适用最强的是单播负载均衡模式，可以适用任何环境，性能稍差
最便宜的是高可用模式，可以适用任何环境，性能最差

network · 发表于 2010-1-27 04:45:03

又精进了一步。晕

network · 发表于 2010-1-27 04:49:29

HA的两种模式简介：

Legacy High Availability Mode
New Mode High Availability Mode
下面我们分别介绍一下这两种模式。首先我们来看一下传统模式(Legacy High Availability Mode)。
Legacy High Availability 模式是CP Cluster采用的默认模式，但是目前很少有人在使用这种模式。相反，CP从NG FP3（ver 5.3）开始提供的新的HA模式被广泛采用，对于新安装的CP来说，强烈推荐使用新的HA模式。但是如果仍然想工作在传统模式下，我们需要所有的ClusterXL的成员共享一个同样的IP地址和MAC地址，即使用组播方式进行工作，所采用的IP地址是组播地址，MAC地址是与IP地址对应的MAC地址。另外对连接CP所使用的交换机也有严格的要求，我们不能再使用普通的二层交换机，因为普通的二层交换机不能正确的转发组播数据包。如果使用传统模式，我们选择的交换机必须支持IGMP协议。
新的HA模式被广大管理员所广泛采用，新的HA模式很容易被我们安装而且不需要任何复杂的设备。在这种模式下，每个成员都使用唯一的IP地址以及一个虚拟的Intenet地址（VIP）。举个例子.1是A和.2是B。那么VIP是.3。.3会被.1和.2所共享，并且决定他们的状态。active状态的成员会用自己的MAC地址响应所有的到达.3的ARP请求，因为这个VIP通常是内网的网关地址，如果使用VIP作为内网的网关，那么内网中的设备是不知道具体是那个物理网关在工作，这个和VRRP协议有些类似。一旦avtive状态的CP发生了故障，这个VIP会自动转移到Passive状态的CP，而Passive状态的CP会转为Active状态。即VIP只会能被Active的CP所使用。
新HA模式使用单播进行通信，有时候会发送一些免费的ARP报文，目的是通告集群中的那个成员会响应和处理到达VIP的报文。
当集群此阿用新HA模式的时候我们通过查看其所连接的交换机的面板灯以及ARP的条目就可以判断出哪个成员处于Active状态。另外我们可以人为的制造一些故障，并以此来验证VIP是否在处于Active的CP上。当故障发生的时候，我们再次验证交换机的ARP表，我们会发现ARP表中的MAC地址已经发生了改变。
注意，如果我们使用的传统模式，我们应该检查交换机是否支持组播，通常需要查看交换机是否支持IGMP协议。如果我们使用的是新HA模式，那么我们需要检查我们的交换机是否支持单播。但是无论我们使用哪种方式我们最好是在安装前仔细阅读一下交换机的相关手册，了解交换机的相关的功能。根据交换机选择我们需要的HA的模式。
下表给出了HA两种模式的性能对比。

network · 发表于 2010-1-27 04:49:58

下面的内容我们介绍CCP（The Cluster Control Protocol）。CCP是CP公司的私有协议，用来在集群成员之间传递状态信息，以此来保证在故障发生的时候能进行正常的切换，即保持同步状态。CCP使用UDP协议进行传输，端口号是8116，如果在发生故障的时候，没有发生状态切换，我们首先需要检查CP的8116端口是否被block，另外我们还需要对隐藏的默认的规则进行检查，检查规则中是否允许udp的8116端口。
另外CCP协议还被用来发送与各个CP相关的链路故障信息以及CP的全部状态。这对所有的成员都非常的重要，因为它保证了当故障发生了以后能够进行及时的状态转换。
CCP使用心跳网络进行传输，心跳检测网络是一个专用的网络，而且不能有除了状态信息之外的其他流量在其上面进行传递。在心跳线上会有大量的数据进行传输，因此我们不能把其他的流量信息在这个网络进行传输。

network · 发表于 2010-1-27 04:50:24

早期的checkpoint的集群支持HA以及通过第三方软件来实现负载均衡，常用的第三方软件例如：StoneBeat FullCluster、RainWall等。现在的CP所提供的集群叫做ClusterXL，它支持HA和load-sharing。但是无论是过去还是现在，CP依然根据心跳线（状态同步线）在发生故障的时候进行状态转换。除此之外，CP的ClusterXL对一些OPSEC-compliant第三方集群解决方案进行了支持。在下面的内容中我们会详细介绍这些第三方的集群解决方案。无论是大型网络还是中小型网络，他们之间的划分依据用户正常访问你所保护的应用程序的无故障时间的。事实上，在今天的网络中，几乎不允许我们存在任何的故障时间。幸运的是，随着HA技术的发展，减少故障时间保证正常的运行时间变的越来越简单，另外还可以保证用户的网络具有最佳的使用性能。
ClusterXL概述

ClusterXL是针对CP提出的软件解决方案，它提供了两种方式。一种是Active/Passive，另一种是Active/Active。这是两个完全不同的模式，在HA模式下，一个CP处于Active状态，另一个CP处于Passive状态；在Load-sharing模式下，两者全部处于Active状态以此来达到分担负载的目的。一般来讲，处于Active状态下的CP会处理任何数据包。Passive状态只是对Active的一个备份状态，这种状态下的CP不会处理正常的数据包。下图给出了两种状态。

在安装ClusterXL之前，我们必须首先根据我们的网络来确认我们将要使用的Cluster的模式，另外我们还需要确认我们是否满足安装ClusterXL的前提条件。前提条件包括分布安装，要求同样的操作系统，同样版本的的CP安装软件以及用来机会ClusterXL的license。

另外我们推荐在安装CP的时候使用同样的NTP服务器对每个CP的时间进行同步。因为处处都和时间有关系。如果一个ClusterXL中的一个成员down了，我们应该保证另一个CP有正确的时间，使得它不会因认为时间过久而丢弃所有的连接。

在HA模式下有两种recover的方式，一种是传统的HA，另一种是新模式的HA，但是无论你使用哪种方法，当故障发生的时候都会把流量交给备份（Passive状态）CP去处理，而它的状态有Passive转变为Active状态。当发生故障的CP从故障中恢复过来，我们可以决定是否让其恢复Active状态还是继续保持Passive状态。下图给出了决定性的配置：

我们可以在右侧看到一个列表，一般来讲，Cluster会把列表中的第一个CP作为Active状态，第二个会让其处于备份（standby）状态。我们可以通过更改顺序的方式来更改其状态或者通过修改其优先级属性也可以达到同样的作用。

network · 发表于 2010-1-27 05:15:50

回复 7# network

CP_R70.1_ClusterXL_AdminGuide.part1.rar (781.25 KB, 下载次数: 19)

CP_R70.1_ClusterXL_AdminGuide.part2.rar (288.2 KB, 下载次数: 15)

zaihuishou · 发表于 2010-1-27 08:51:48

好好学习学习！

network · 发表于 2010-1-27 08:55:05

这些就是来自于管方文档。多发挥自己主动性。小伙。

账号		自动登录	找回密码
密码			注册