Tính năng ISP Redundancy của TMG 2010 (P.2)

Quản trị mạng - Trong phần đầu của loạt bài viết này chúng ta đã tìm hiểu đôi nét về hệ thống mạng ảo và một số thao tác cần thực hiện với các giao tiếp để chúng hỗ trợ Multi-ISP.

>> Tính năng ISP Redundancy của TMG 2010 (P.1)

Trong phần hai này chúng ta sẽ thực hiện cấu hình cho ISP Redundancy, sau đó tìm hiểu phương thức hoạt động của ISP Redundancy.

Cấu hình ISP Redundancy

Trước tiên, mở TMG Firewall Console rồi click vào node Networking trong bảng bên trái của Console này. Trong Task Pane, chọn tab Tasks sau đó click vào liên kết Configure ISP Redundancy như trong hình 1.



Khi đó ISP Redundancy Configuration Wizard sẽ xuất hiện. Trên trang Welcome to the ISP Redundancy Configuration Wizard, nhấn Next.



Trên trang ISP Redundancy Mode, chúng ta có thể lựa chọn một trong hai tùy chọn sau:

Load balancing with failover capability. Tùy chọn này cho phép chúng ta sử dụng đồng thơi cả hai ISP. Chúng ta có thể đặt một ISP ưu tiên với phần lớn lưu lượng chuyển qua, hoặc chúng ta có thể cài đặt lưu lượng cho hai ISP này như nhau. Lựa chọn tùy chọn này nếu chúng ta muốn sử dụng tối đa băng thông mà không chú ý tới chi phí băng thông cho cả hai ISP này. Nếu một ISP ngừng hoạt động, mọi lưu lượng sẽ chuyển qua kết nối ISP còn lại.

Failover only. Lựa chọn tùy chọn này nếu chúng ta chỉ muốn sử dụng một ISP, nhưng muốn ISP còn lại được sử dụng dự phòng trong trường hợp ISP đâu tiên không hoạt động. Lựa chọn tùy chọn này nếu chúng ta không muốn trả chi phí băng thông cho cả hai ISP, mà vẫn muốn đảm bảo rằng chúng ta có thể kết nối ngay cả khi ISP chính bị lỗi. Đây là một tùy chọn phù hợp nếu chúng ta phải trả chi phí băng thông cho ISP thứ hai.

Trong ví dụ này chúng ta sẽ lựa chon tùy chọn Load balancing with failover capability rồi nhấn Next.



Trên trang ISP Connection 2 chúng ta sẽ cấu hình cho liên kết ISP thứ nhất. Chúng ta sẽ đặt tên cho kết nối này là RRAS1 vì đây sẽ là kết nối qua máy chủ NAT RRAS1 thực hiện mô phỏng ISP thứ nhất. Do đang sử dụng các NIC (Network Interface Controller – Trình điều khiển giao tiếp mạng) riêng biệt cho mỗi kết nối ISP nên chúng ta có thể lựa chọn NIC kết nối chúng ta tới RRAS1 trong danh sách thả xuống Network adapter (optional). Lưu ý rằng sau khi lựa chọn NIC này, địa chỉ mạng thứ cấp giúp xác định cổng mặc định cho NIC đó trong địa chỉ nội bộ của máy chủ NAT RRAS1, được liệt kê trong hộp Subnet. Cần nhớ rằng mỗi ISP phải nằm trên một Network ID khác nhau, có nghĩa là mỗi kết nối ISP nằm trên một mạng thứ cấp riêng biệt. Thực hiện xong nhấn Next.



Trên trang ISP Connection 1 – Configuration, kiểm tra Gateway address và Mask. Đồng thời xác nhận xem hộp Subnet có Subnet Mask chính xác hay chưa. Chúng ta có thể nhập một Primary DNS Server và một Alternate DNS Server nếu muốn, tuy nhiên chúng ta không nên cấu hình cho tường lửa sử dụng những máy chủ DNS ngoài, và tốt nhất chúng ta không nên nhập địa chỉ nào vào hai hộp này. Cũng có những trường hợp chúng ta cần nhập địa chỉ IP ngoài cho các máy chủ DNS trên hệ thống tường lửa TMG, nhưng trong trường hợp này là không cần thiết. Sau đó nhấn Next.



Trên trang ISP Connection 1 – Dedicated Servers, nhập địa chỉ IP của những máy chủ thường xuyên sử dụng kết nối ISP này. Thông thường đây là những máy chủ trên mạng của ISP mà không thể truy cập từ những mạng ngoài, như những máy chủ Time và DNS. Ngoài ra những máy chủ SMTP cũng thường được đặt trên mạng ISP cho những mail ngoài mà không xuất hiện từ mạng ngoài. Do không sử dụng các bộ chuyển tiếp trong ví dụ này, và đang sử dụng các máy chủ Internet Time, nên chúng ta sẽ không nhập những địa chỉ Ip bất kì cho các máy chủ chuyên dụng.

Lưu ý rằng nếu chúng ta nhập địa chỉ IP cho các máy chủ chuyên dụng, và nếu ISP đó bị sập thì kết nối sẽ không được chuyển tiếp sang ISP khác. Tuy nhiên, đây không phải là vấn đề nghiêm trọng vì những địa chỉ IP này sẽ không thể truy cập từ những mạng ngoài. Sau đó nhấn Next.

Trên trang ISP Connection 2, chúng ta sẽ thực hiện lại các thao tác đã thực hiện trên các trang tương tự của ISP 1. Trong ví dụ này, ISP2 sẽ thực hiện kết nối qua máy chủ NAT RRAS2. Lưu ý rằng Subnet nằm trên Network ID khác với kết nối ISP thứ nhất. Thực hiện xong nhấn Next.



Kiểm tra các cài đặt trên trang ISP Connection 2 – Configuration rồi nhấn Next.



Trên trang ISP Connection 2 – Dedicated Servers, nhập địa chỉ IP của những máy chủ có thể truy cập từ kết nối ISP thứ hai. Những giới hạn và nguyên lý của kết nối ISP thứ nhất sẽ được áp dụng với kết nối ISP này. Thực hiện xong nhấn Next.



Trên trang Load Balancing Configuration, chúng ta sẽ cấu hình lưu lượng cho các kết nối. Nếu các kết nối có tốc độ như nhau, thì thông thường chúng ta sẽ cài đặt lưu lượng cho chúng bằng nhau. Tuy nhiên, nếu các ISP có sự chênh lệnh về tốc độ, chúng ta sẽ cài đặt lưu lượng lớn hơn cho kết nối ISP có tốc độ cao. Trong ví dụ này, RRAS2 nhanh hơn RRAS1, do đó chúng ta sẽ cài đặt cho chúng tiếp nhận 75% lưu lượng, và RRAS1 là 25%. Những kết nối dựa trên phương thức mà chúng ta đã nhắc tới trong phần 1. Thực hiện xong nhấn Next.



Kiểm tra các cài đặt trên trang Completing the ISP Redundancy Configuration Wizard rồi nhấn Finish.



Sau khi nhấn Finish, một hộp thoại sẽ xuất hiện yêu cầu bổ sung một tuyến tĩnh cho mỗi địa chỉ IP của DNS được cấu hình trên các adapter mạng ngoài trên mọi máy chủ Forefront TMG. Chúng ta cần thực hiện thao tác này để đảm bảo rằng các yêu cầu DNS được chuyển qua adapter mạng phù hợp.

Lí do chúng ta cần tạo thủ công các tuyến tĩnh cho ISP đó là tiến trình định tuyến tự động làm việc với ISP Redundancy chỉ hoạt động khi có một mối quan hệ NAT giữa nguồn và đích. Vì các kết nối DNS đến từ TMG Firewall, nên kết nối này sẽ có một quan hệ tuyến, đó là do mọi kết nối từ Local Host Network tới mọi mạng khác đều sử dụng một quan hệ tuyến. Sau đó nhấn OK.



Nhấn Apply để lưu cấu hình tường lửa. Nhập mô tả thay đổi trong hộp thoại Configuration Change Description nếu muốn, sau đó nhấn Apply trên hộp thoại này. Nhấn tiếp OK trong hộp thoại Saving Configuration Changes.

Phương thức hoạt động của ISP Redundancy

Tiếp theo chúng ta sẽ tìm hiểu phương thức hoạt động của tính năng ISP Reducdancy. Đối tượng đầu tiên sẽ là Dashboard. Tại đây chúng ta có thể thấy những thông tin về Network Status cho các kết nối ISP. Trong hình 13, chúng ta có thể thấy Status (trạng thái), Uptime (thời gian vận hành) và Bytes/Sec (tốc độ Byte/giây) đang được mọi ISP sử dụng.



Chúng ta sẽ phải làm gì để thay đổi các cài đặt của ISP Redundancy? Chỉ cần click vào node Networking trong bảng trái của TMG Firewall Console rồi click đúp vào kết nối ISP muốn thay đổi. Trong hình 14, chúng ta có thể thấy tab General của hộp thoai RRAS1 Properties. Tại đây chúng ta có thể thay đổi Name, Gateway IP Address, Mask, Subnet, Connectivity Detection và Load Balancing Ratio.

Lưu ý rằng Connectivity Detection không được hiển thị trong Wizard này. Nó có ba tùy chọn, bao gồm:

• Disable, connection is down. Tùy chọn này hủy bỏ tiến trình kiểm tra ISP có hoạt động hay không đồng thời vô hiệu hóa kết nối ISP. Chúng ta có thể sử dụng tùy chọn này nếu muốn vô hiệu hóa ISP này trong một khoảng thời gian nhất định.
  
• Disbale, connection is up. Tùy chọn này hủy bỏ tiến trình kiểm tra xem ISP có haotj động hay không, tuy nhiên sẽ để kết nối này hoạt động. Chúng ta có thể sử dụng tùy chọn này trong trường hợp muốn sử dụng kết nối ISP mọi lúc mà không cần chú ý tới trạng thái của kết nối này.
  
• Enabled. Đây là tùy chọn mặc định.

Có thể bạn đang tự hỏi rằng làm thế nào để TMG Firewall phát hiện được một kết nối ISP có hoạt động hay không? Những gì mà TMG thực hiện là gửi các yêu cầu kết nối tới những máy chủ DNS gốc trên Internet. Nếu kết nối thành công, thì kết nối này đang hoạt động, nếu không, kết nối này đã bị ngắt.



Chúng ta có thể xác nhận điều này bằng cách kiểm tra một phần của Netmon như trong hình 15. Địa chỉ IP 10.0.2.3 và 10.0.1.3 là những địa chỉ ngoài trên TMG Firewall đang kết nối tới mỗi kết nối ISP. Địa chỉ đích 192.33.4.12 là địa chỉ IP của một trong những máy chủ DNS gốc trên mạng Internet. Tuy nhiên, thực ra chúng không phải là những truy vấn DNS, mà chỉ là những kết nối qua cổng TCP 53 tới các máy chủ DNS gốc. Nếu kiểm tra phần giải mã, chúng ta sẽ thấy rằng không có bất kì thông tin nào về giao thức DNS. Chúng ta chỉ thấy một kết nối ba chiều.



Phương pháp mà TMG Firewall xác định một kết nối bị ngắt và phương pháp nó xác định một kết nối hoạt động trở lại?

Nhiều máy chủ được tham dò để xác nhận xem có vấn đề kết nối qua một ISP cụ thể hay không. Nếu nhiều máy chủ DNS gốc không thể phản hồi qua một ISP cụ thể, thì TMG sẽ thử lại kết nối này (tối đa là ba lần) sau mỗi 60 giây trước khi chuyển qua kết nối ISP dự phòng, đồng thời cho biết kết nối này bị ngắt.

Do đó, nếu RRAS1 bị ngắt lúc 12:58PM, thì TMG sẽ kiểm tra kết nối tới những máy chủ DNS gốc vào lúc 12:59PM tới 1:00PM. Nếu cả hai lần cố gắng kết nối lại thất bại, thì kết nối này sẽ được đánh dấu là bị ngắt (“down”). Trong khoảng thời gian giữa 12:58PM tới 1:00PM, các kết nối vẫn được thực hiện qua ISP bị ngắt này.

Sau khi kết nối ISP được đánh dấu bị ngắt, TMG Firewall sẽ kiểm tra ISP bị ngắt này sau mỗi 5 phút, và khi kết nối này phản hồi trở lại, thì ít nhất phải có hai yêu cầu trong vòng 60 giây được thực hiện thành công thì kết nối chính này mới được coi là hoạt động trở lại. Sau đó TMG sẽ tạo các kết nối mới sử dụng kết nối ISP chính.

Do đó nếu RRAS1 được đánh dấu là bị ngắt lúc 1:00PM, thì nó sẽ không được kiểm tra lại cho tới 1:05PM. Vào lúc 1:05PM TMG sẽ tiến hành kiểm tra. Nếu thành công nó sẽ kiểm tra lại vào lúc 1:06PM và 1:07PM. Nếu cả hai tiến trình kiểm tra đều thành công, thì kết nối này sẽ được đánh dấu là hoạt động trở lại và các kết nối sẽ được chuyển hướng trở lại kết nối đó.

Để kiểm tra những gì đã xảy ra khi một ISP bị ngắt, chúng ta chỉ cần tắt RRAS2, sau đó dợi 2 đến 3 phút chúng ta sẽ thấy trong node Dashboard trong bảng trái của TMG Firewall, Status sẽ chuyển sang Local (cục bộ).



Tuy nhiên có một vấn đề phát sinh. Khi truy vào máy trạm rồi tải một file thì nó sẽ tự động chuyển sang RRAS1. Cần nhớ rằng nếu máy trạm đang sử dụng ISP bị ngắt để truy cập vào một trang nào đó, thì chúng ta cần phải đợi khoảng 2 phút trước khi trang Web đó được chuyển sang ISP trực tuyến.

Nếu kiểm tra tab Alerts, chúng ta sẽ thấy một thông báo được tạo cho biết kết nối ISP này không hoạt động (hình 17).



Trong tất cả các thông báo, chỉ có một số là liên quan tới ISP Redundancy như trong hình 18.



Kết luận

Trong phần hai này chúng ta đã tìm hiểu phương thức hoạt động của ISP Redundancy, phương pháp cài đặt NIC để chuẩn bị cho ISP Redundancy, và phương pháp cấu hình tính năng này. Lưu ý rằng loạt bài viết này đề cập tới một trường hợp cụ thể, trong đó các NIC chuyên dụng được sử dụng cho mỗi ISP. Tuy nhiên, đây không phải là điều kiện bắt buộc. Chúng ta có thể đưa cả địa chỉ Gateway và IP của ISP vào một NIC duy nhất.