AWS vSockets에 대한 HA 구성

AWS 사이트에서 기본 활성 vSocket이 보조 대기 vSocket으로 전환될 때의 장애 조치 워크플로입니다．

고가용성 및 장애 조치 동작에 대한 자세한 내용은 소켓 고가용성(HA)이란 무엇인가를 참조하세요.

보조 vSocket은 기본 vSocket에 킵얼라이브 패킷을 보내기 위해 LAN 인터페이스(ENI)에 대한 별도의 서브넷이 필요합니다． 이 요구 사항은 단일 AZ 및 이중 AZ HA 배포의 경우 동일합니다．

AWS VPC에서 보조 vSocket LAN 인터페이스를 위한 서브넷을 생성하고 이를 VPC 개인 라우팅 테이블에 연결하십시오． 새로운 서브넷이 기본 vSocket LAN 인터페이스의 서브넷과 동일한 라우팅 테이블에 연결되었는지 확인하십시오．

신원 및 액세스 관리(IAM) 역할은 vSocket이 라우팅 테이블의 항목을 변경하기 위해 AWS API 호출을 할 수 있게 해줍니다． 인스턴스에 올바른 권한을 부여하는 IAM 역할을 생성하십시오． 나중에 각 vSocket에 이 역할을 연결할 것입니다．

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Action": [
                "ec2:CreateRoute",
                "ec2:DescribeRouteTables",
                "ec2:ReplaceRoute"
                ],
            "Resource": "*"
        }
}

VPC의 비공개 라우트 테이블 ID를 찾고 복사합니다． Cato 관리 애플리케이션에서 AWS HA 사이트에 보조 vSocket을 추가할 때 이 ID가 필요합니다． vSockets는 장애 조치 프로세스의 일환으로 이 라우팅 테이블을 수정하기 위해 API 호출을 발행합니다．

라우트 테이블 ID를 찾으려면：

EC2 인스턴스에 기본 vSocket을 배포하려면 다음 단계를 완료하십시오. 새 AWS 사이트의 경우, 기본 vSocket을 배포하고 인스턴스에 IAM 역할을 연결합니다.

기존 AWS 사이트의 경우, 기본 vSocket을 버전 9.1 이상으로 업그레이드합니다. 그런 다음 IAM 역할을 EC2 인스턴스(기본 vSocket)에 연결하고 아래의 vSocket에 IAM 역할 연결과 계속하십시오.

새 사이트에 기본 vSocket을 배포하려면：

위 스크린샷에는 기본 vSocket이 설치되고 버전 9.1 이상으로 업그레이드된 후 AWS 사이트가 표시됩니다．

위에서 생성한 IAM 역할을 vSocket EC2 인스턴스에 연결합니다． IAM 역할은 HA 기능을 위해 라우팅 테이블을 수정하는 API 호출 권한을 vSocket에 부여합니다．

Cato 관리 애플리케이션이 기본 vSocket이 Cato 클라우드에 연결되었음을 감지하면, 네트워크 > 사이트 > 사이트 설정 > 소켓 페이지에 보조 소켓 추가 옵션이 표시됩니다．

사이트에 보조 vSocket을 추가할 때, 다음 설정을 입력하는 팝업 창이 나타납니다：

Cato 관리 애플리케이션은 보조 vSocket에 대한 관리 IP 주소로 LAN ENI IP 주소를 사용합니다． 이 LAN ENI는 또한 기본 vSocket LAN 인터페이스로 HA keep-alive 패킷을 전송하는 데 사용됩니다．

Cato 관리 애플리케이션의 보조 vSocket 설정은 AWS에서 사용되는 설정과 동일해야 합니다．

사이트에 보조 vSocket을 추가한 후, Cato 관리 애플리케이션은 다음을 수행합니다：

HA 사이트의 네트워크 세그먼트에 대한 자세한 내용은 아래의 Cato 관리 애플리케이션에서 AWS 높은 가용성 네트워크 세그먼트 개요를 참조하세요.

EC2 인스턴스에 보조 vSocket을 설치할 때 이 시리얼 번호를 사용하십시오．

이전에 생성한 IAM 역할로 AWS VPC에서 보조 vSocket을 생성하고 배포합니다．

WAN 및 LAN 인터페이스 생성

EC2 인스턴스의 vSocket에 WAN 및 LAN 인터페이스를 생성하십시오. EC2 대시보드를 사용하여 인터페이스를 생성합니다．

LAN 인터페이스의 사용자 정의 IP 주소를 네이티브 범위의 로컬 IP와 동일한 IP 주소로 설정합니다．

EC2 인스턴스가 트래픽 포워딩을 수행할 수 있도록 LAN 인터페이스에서 AWS 소스/대상 검사를 비활성화해야 합니다．

참고

참고: vSocket의 올바른 동작을 보장하려면, 기본 DNS 서버로 신뢰할 수 있는 서버를 사용하여 사용자 정의 DHCP 옵션을 정의하세요

네트워크 인터페이스(ENI)를 생성하려면：

1. EC2 대시보드에서, 탐색 메뉴에서 네트워크 & 보안 > 네트워크 인터페이스를 선택합니다．

2. 네트워크 인터페이스 생성을 클릭합니다．

3. 네트워크 인터페이스 생성 창에서, LAN 서브넷을 선택합니다．

4. (LAN 인터페이스의 경우 선택 사항) 개인 IPv4 주소에서, 사용자 정의를 클릭하고 기본 범위에 대한 로컬 IP를 입력합니다．

5. 보안 그룹에서, 인터페이스에 적합한 보안 그룹을 선택하세요．

6. 네트워크 인터페이스 생성을 클릭합니다． AWS가 인터페이스를 생성합니다．

7. 이전 단계들을 WAN 인터페이스에 대해서 반복하세요.

8. LAN 인터페이스의 경우 AWS 소스/대상 추적을 비활성화합니다：

   1. 네트워크 인터페이스 창에서 LAN 인터페이스를 마우스 오른쪽 버튼으로 클릭하고 소스/대상 변경을 선택합니다． 확인．

      

   2. 소스/대상 확인 변경 창에서, 활성화를 해제합니다．

   3. 저장을 클릭합니다．

이 섹션에서는 HA 기능이 제대로 구성되었는지 테스트하고 확인하는 방법을 설명합니다.

보조 vSocket을 Cato 관리 애플리케이션에 추가하면, 네트워크 섹션의 네트워크 세그먼트가 다음 설정으로 자동 업데이트됩니다：

AWS HA 사이트에 라우팅된 범위를 추가할 수 있습니다． 라우팅된 범위를 추가하면, 활성 vSocket을 기반으로 범위에 대한 게이트웨이가 자동으로 선택됩니다． 활성 vSocket 네이티브 범위의 게이트웨이 IP가 라우팅된 범위의 게이트웨이로 자동 사용됩니다．

예를 들어, 보조 vSocket이 활성화되면, 보조 소켓 네이티브 범위의 게이트웨이 IP 주소가 사이트의 모든 라우팅된 범위에 사용됩니다． 아래 예시에서 10.0.17.1의 게이트웨이 IP는 10.0.25.0/24 라우팅된 범위의 게이트웨이 (다음 홉)로 사용됩니다．

기본 vSocket이 다시 활성화되면, 라우팅된 범위에 대한 게이트웨이 IP가 자동으로 10.0.3.1로 전환됩니다．

vSocket HA 구성에서 네이티브 범위의 로컬 IP 주소는 vSocket 관리 IP와 동일합니다． 이 IP 주소는 HA 킵얼라이브 메시지와 소켓 웹UI 액세스에 사용됩니다． 네이티브 범위의 로컬 IP 주소를 변경하려면 관련 vSocket의 높은 가용성 섹션에서 관리 IP 주소를 변경하십시오．

예를 들어, 기본 vSocket 네이티브 범위의 로컬 IP를 변경하려면, 높은 가용성 섹션에서 기본 vSocket의 관리 IP 주소를 변경하십시오.

기본 또는 보조 네이티브 IP 범위를 변경하려면 네트워크 섹션에서 IP 범위를 변경한 다음 고가용성 섹션에서 관리 IP 주소를 업데이트하십시오．

고가용성 섹션은 기본 및 보조 vSocket의 HA 상태를 보여줍니다．

AWS 설정과 일치하도록 Cato 관리 애플리케이션에서 AWS HA 사이트의 라우트 테이블 ID를 변경할 수 있습니다．

AWS사이트에서 보조 vSocket을 제거하고 해당 사이트의 HA를 비활성화할 수 있습니다． Cato 관리 애플리케이션에서 보조 vSocket을 제거한 후, 배포된 vSocket은 더 이상 Cato 클라우드에 연결할 수 없습니다． 사이트의 설정이 단일 vSocket의 구성으로 복원됩니다：