Cluster and Failover Setup

Bu sayfada, Azure üzerindeki iki TR7 cihazı arasında cluster (HA çifti) yapısının nasıl kurulduğu ve her cihaza gereken yük devri (failover) izinlerinin nasıl verildiği anlatılır. Cluster kurulduktan sonra VIP oluşturmak için VIP Setup sayfası izlenir.

Cluster Kurulumu

1

Adım 1 İki TR7 VM dağıt

İki TR7 VM dağıtılır (bkz. Deployment Guide). İki VM'in aynı VNet içinde olduğundan emin olunur. Bu işlem, her biri tek arayüzlü iki makine üretir; yönetim arayüzleri aynı ağ üzerinde olmalıdır.

2

Adım 2 Sync arayüzünü ekle

İki makine de durdurulur ve her birine yeni bir arayüz eklenir. Bu arayüz, yönetim arayüzüne atanan subnet'ten farklı bir subnet'te olmalıdır. Eklenen arayüzler de (birbirleriyle) aynı ağ üzerinde olmalıdır.

Makineler yeniden açılır ve giriş yapılır.

3

Adım 3 Birinci cihazda Sync interface'i seç

Birinci cihazda sol alttaki Configuration Menu'den Settings → Device Management → Hardware Management ekranına gidilir.

Edit OFF butonuna tıklanır. Daha önce eklenen arayüz Sync interface olarak seçilir. Arayüz, MAC adresinden tanınabilir; ayrıca Usage altında IP'si olmayan arayüz, eklenen arayüzdür. Ayar yapıldıktan sonra Save butonuna tıklanır. Yeniden giriş istenir ve giriş yapılır.

4

Adım 4 İkinci cihazda Sync interface'i seç

İkinci cihazda aynı menü açılır: Settings → Device Management → Hardware Management.

Edit OFF butonuna tıklanır ve daha önce eklenen arayüz Sync interface olarak seçilir (MAC adresinden ya da Usage altında IP'si olmayışından tanınır). Save butonuna tıklanır ve yeniden giriş yapılır.

5

Adım 5 Birinci cihazda cluster'ı etkinleştir

Sync arayüzleri artık iki cihazda da ayarlıdır. Birinci cihazda Settings → Device Management → HA Clustering & Sync ekranına gidilir.

Edit butonuna tıklanır. Cluster etkinleştirilir ve bu ilk cihaz olduğu için Cluster ID değeri 1 yapılır. Peer device private IP (cloud) alanına, ikinci cihazın Azure üzerindeki yönetim (private) IP'si girilir. Ardından Submit butonuna tıklanır.

6

Adım 6 İkinci cihazda cluster'ı etkinleştir

İkinci cihazda Settings → Device Management → HA Clustering & Sync ekranına gidilir.

Edit butonuna tıklanır. Cluster etkinleştirilir ve bu ikinci cihaz olduğu için Cluster ID değeri 2 yapılır. Peer device private IP (cloud) alanına, birinci cihazın Azure üzerindeki yönetim (private) IP'si girilir. Ardından Submit butonuna tıklanır.

7

Adım 7 Yönetim IP'lerini eşle

Birinci cihazda Network → Interfaces ekranına gidilir. Yönetim arayüzü IP'sine sağ tıklanır ve Edit seçilir. İkinci cihaz için ayrılan alana ikinci cihazın yönetim arayüzü IP'si girilir ve Edit IP butonuna tıklanır. Bu IP'ler, Azure üzerindeki private IP adresleri olmalıdır. İkinci cihazda şimdilik bir işlem yapılması gerekmez.

WARNING

İşlem hata dönse bile endişelenmeye gerek yoktur; hata, bir sonraki adım tamamlandığında ortadan kalkar.

8

Adım 8 Yapılandırma servislerini yeniden başlat

Birinci cihazda Settings → Device Management → Local Services ekranına gidilir ve soldaki Restart configuration service butonuna tıklanır.

Ardından ikinci cihazda aynı işlem yapılır: Settings → Device Management → Local Services → Restart configuration service.

Yük Devri (Failover) İzinleri

Bir cihaz devre dışı kaldığında VIP'in diğer cihaza otomatik taşınabilmesi için TR7'nin bu IP'yi Azure üzerinde taşıyabilmesi gerekir. Bunu sağlamak için her cihaza Azure üzerinde bir kimlik (identity) ve rol verilir. Kimlik ve rol adımları Azure portalından yapılır; dışarı trafik bir güvenlik duvarından geçiyorsa son adımdaki erişim kuralı o güvenlik duvarında tanımlanır.

1

Adım 1 Birinci cihaza kimlik ve rolleri ver

Azure portalında birinci cihazın (VM) sayfasına gidilir. Sol menüden Security → Identity → Status alanı On yapılır ve Save butonuna tıklanır. Ardından aynı sayfada Permissions altında Azure role assignments ve Add role assignment tıklanır. Scope alanı Resource group yapılır; cihazın bulunduğu Subscription ve Resource group seçilir. Reader ve Network Contributor rollerinin her ikisi de, her biri ayrı bir rol ataması olarak, eklenir ve kaydedilir.

2

Adım 2 İkinci cihaza kimlik ve rolleri ver

Aynı adımlar ikinci cihaz için tekrarlanır.

3

Adım 3 Güvenlik duvarında dışarı erişim

Yük devrinin çalışması için her cihazın Azure yönetim uç noktasına erişebilmesi gerekir. TR7, VIP'i taşımak için management.azure.com adresindeki Azure Resource Manager API'sini 443/TCP üzerinden çağırır.

Çoğu ortamda ek ayar gerekmez, çünkü Azure dışarı yönlü internet trafiğine varsayılan olarak izin verir. Ancak dışarı trafik bir güvenlik duvarından geçmeye zorlanıyorsa ve bu güvenlik duvarı trafiği varsayılan olarak reddediyorsa, management.azure.com : 443/TCP için dışarı yönlü bir izin kuralı eklenmelidir. Bu durum genellikle 0.0.0.0/0 trafiğini bir güvenlik duvarına gönderen bir User-Defined Route ile oluşur.

Kural alanı	Değer
Source	İki cihazın yönetim arayüzü private IP'leri ya da ikisini kapsayan yönetim subnet CIDR'ı
Destination	management.azure.com FQDN'i ya da AzureResourceManager service tag'i
Port / Protocol	443 / TCP
Direction	Outbound

• Hedef IP adresine sabitlenmez. management.azure.com uç noktasının sabit tek bir IP adresi yoktur; Microsoft geniş ve değişen bir IP aralığı havuzu kullanır. Bu yüzden kuralda AzureResourceManager service tag'i ya da FQDN kullanılır.
• Kaynak yönetim arayüzüdür. Azure Resource Manager çağrısı, varsayılan yönlendirmeyi taşıyan arayüzden, yani yönetim (birincil) arayüzünden çıkar; sync ya da veri arayüzünden çıkmaz.
• İki cihaz da kaynak olarak eklenir. Aktif cihaz her an değişebileceğinden iki cihazın yönetim private IP'si de kurala yazılır ya da yönetim subnet CIDR'ı kullanılır.

Kural yoksa yük devri çalışmaz

Bu kural gereken bir ortamda eksikse, aktif cihaz devre dışı kaldığında yedek cihaz VIP'i devralamaz.

Bu kural ne zaman gerekmez?

Kural yalnız dışarı trafiği varsayılan olarak reddeden bir güvenlik duvarından geçen cluster kurulumlarında gerekir. Tek (cluster olmayan) bir TR7 bu çağrıyı hiç yapmaz ve kural gerektirmez. Kimlik belirtecini almak için kullanılan Azure IMDS uç noktası (169.254.169.254) link-local bir adrestir; NSG, güvenlik duvarı ve yönlendirmelerden etkilenmez, bunun için hiçbir zaman kural gerekmez.

İzinler tamamlandığında VIP oluşturmak için VIP Setup sayfasına geçilir.