挨拶
はじめまして、アドウェイズのインフラ部署に所属している久保です。
今回は弊社オンプレミス環境のロードバランサー兼ファイアーウォール機器として利用しているBIG-IPをリプレースした話を書きたいと思います。
なぜリプレースしたのか？
リプレースした理由は下記2点となります。
- ソフトウェアの保守期限満了を迎えるから
- 機器を使い始めて5年以上経過したため故障率が上がると考えたから
弊社でのBIG-IPの構成
弊社では、下記のようなActive/StandbyのHA構成を組んでおります。
やりたい事
今回のリプレースで達成したい事は「BIG-IPを瞬断レベルでリプレースする！」です。
こちらを念頭に置いて今回のリプレースに取り組みました。
結論
結論から話すと、異なるハードウェアプラットフォーム同士でHA構成を組み、Active/Standbyを切り替えることによってやりたい事は実現できました。
リプレース方法
では、実際にどんな設定をしてどのようにリプレースを実施したのか注意点を踏まえながら説明していきます。(今回細かな設定等の記載は割愛しておりますがご了承ください）
- リプレース方法内で登場する機器
- BIG-IP１（旧機器）
- BIG-IP２（旧機器）
- BIG-IP３（新機器）
- BIG-IP４（新機器）
手順１：HAインターフェースを作成（BIG-IP３、４で作業実施）
Failoverや外・内側等に通信するためのインターフェースを作成するため、新機器でTrunk、VLANs、Self IPsの設定追加を実施します。
手順２：デバイス接続の構成を設定（BIG-IP３、４で作業実施）
手順１で作成したFailover用のインターフェースをConfig Syncに設定します。
この設定をすることにより構成オブジェクトをローカルデバイスに同期する際、BIG-IPが利用するIPアドレスを指定する事が出来ます。
次にFailover NetworkでFailover用のインターフェースとManagement IPアドレスを設定します。
Failover Networkは、Device Group内の別デバイスがローカルデバイスにフェイルオーバーするときにBIG-IPシステムが使用するネットワークとなります。
また、２つのアドレスを指定する理由は、どちらか一方接続が切れてもActive/Standbyの切り替わりが発生しないようにするためです。
手順３：Device Trust（BIG-IP１で作業実施）
旧機器より、新機器２台に対して信頼関係を構築し、BIG-IP４台でDevice Trustを確立します。
手順４：Device Group（BIG-IP１で作業実施）
すでに利用している、BIG-IP１,２のFailove用のDevice GroupにBIG-IP３,４を追加します。
この際、BIG-IPの仕様上Mamagement IPアドレスが大きいデバイスがActiveとなって認識されてしまうためBIG-IP１よりほかのデバイスのManagement IPアドレスが大きい場合はほかのデバイスを「Force Offline」状態にしてDevice Groupに追加することをおすすめします。
ここまでの設定でBIG-IP１をActiveとしたActive/Standbyの４台構成が出来上がっております。
手順５：Sync（BIG-IP１で作業実施）
BIG-IP１のVirtual Server、Pools、iRule等の設定をStandby機に同期します。
これでようやくリプレースの準備が整いました。
手順６：旧機器から新機器への切り替え（全BIG-IP機器で実施）
BIG-IP１をActive、BIG-IP３をStandbyとし、BIG-IP２,４はForce Offlineにしておきます。
この時点で旧機器と新機器のActive/Standby構成となるのでFailoverを実施します。
Failoverが完了したら最後にBIG-IP４をRelease Offline、BIG-IP１をForce Offlineにして、BIG-IP３,４のActive/Standby構成となったら旧機器から新機器への切り替えは完了です。
手順７：旧機器を構成から外す（新機器での実施）
最後にBIG-IP１,２をDevice Trust、Device Groupの設定から外します。
これらの手順を実施することで、新機器でのActive/StandbyのHA構成となり、リプレースは完了となります！
さいごに
BIG-IPを瞬断レベルでリプレース出来て本当によかったです！
また、この記事が今後BIG-IPのリプレースを考えている方の参考に少しでも繋がると幸いです。
