Terraformを使用してGCPのvSocketサイトの高可用性(HA)を構成する

この記事では、GCPのvSocketサイトの高可用性(HA)設定をデプロイする方法を説明します。

概要

Google Cloud Platform (GCP)で認証済み Cato vSockets冗長化の設定を行うには、2つのvSocketを別々のゾーンにデプロイし、LANインタフェースの前にGoogle Cloudロードバランサを配置します。( ロードバランサは、内部リソースがvSocketに接続するために使用する単一の静的IPアドレスを提供します。個々のvSocketの状態をモニタし続け、アクティブ(マスター) vSocketにのみトラフィックを転送します。これは、プライマリSocket、またはフェイルオーバー時にはセカンダリになります。

さらに、vSocketsはバーチャルルータ冗長プロトコル(VRRP)を使用して状態情報を交換します。セカンダリSocketがスタンバイモードのとき、ロードバランサに対して非健全であると報告し、トラフィックはアクティブなvSocketにのみ転送されます。ロードバランサの健康チェックとVRRPが組み合わさり、最小限の中断で自動フェイルオーバーを提供します。通常のフェイルオーバー時間は約3–5秒です。

注：
GCPでの冗長化 vSocket の最小サポートバージョンは 24.0.20395 です。

GCPにおける冗長化 vSocket の構成は、アクティブなvSocketへのトラフィックを指示するために専らロードバランサに依存します。

GCP vSocketフェイルオーバーフロー

GCPサイトにおいて、プライマリアクティブvSocketがセカンダリスタンバイにフェイルオーバーした際のワークフローです。

通常の運用では、プライマリvSocketはアクティブ役割を持ち、セカンダリvSocketはスタンバイ役割を持ちます。
1. ロードバランサはソケットのヘルスステータスをプローブします。プライマリは健全であることを報告し、セカンダリは非健全であると報告します。
2. プライマリとセカンダリのソケットはLANを介してVRRPプロトコルを使用して通信します。
3. ロードバランサのIPはプライマリvSocketのIPへのトラフィックを指示します。
4. LANルートテーブルのプレフィックスはロードバランサIPを次のホップとして使用します。
プライマリ(アクティブ) vSocketがダウンします。
1. セカンダリ(スタンバイ) vSocketは、プライマリvSocketからのキープアライブパケットの受信を停止します。
2. セカンダリvSocketはアクティブ(マスター)役割を引き受け、ロードバランサに健全であると報告し始めます。
3. ロードバランサはプライマリvSocketからの応答を受信せず、セカンダリvSocketのみにトラフィックを送ります。
セカンダリvSocketは今やアクティブvSocketであり、サイトへの双方向トラフィックを通過させます。
プライマリvSocketが復旧すると、アクティブロールを再開し、セカンダリvSocketはスタンバイに戻ります。ロードバランサはトラフィックをプライマリvSocketに戻します。

Terraformデプロイの前提条件

以下のリソースを作成する権限を持つGCPプロジェクト：
- VPCとサブネット
- コンピュートインスタンス
- ファイアウォールルール
- ロードバランサ
- ヘルスチェック
- 静的IP
- サービスアカウント
Terraformがインストールされ、GCPに認証されていること
Terraformモジュールによって求められるCatoアカウントの資格情報またはトークン
ターゲット地域の可用性ゾーン (例: us-central1-a および us-central1-b)
(任意) ロードバランサの静的IPアドレスを指す予約されたDNS名
最小vSocketバージョン: 24.0.20395

リファレンスアーキテクチャ

各vSocketにはインターフェースが含まれています: MGMT, WAN, および LAN。 LANインターフェースは状態同期のためにVRRPに参加します。
ロードバランサはLAN側で動作し、内部クライアントに一貫したIPアドレスを提供します。
ヘルスチェックは各vSocketのLANインターフェースをプローブします。ロードバランサに健常と報告されたインスタンスのみがトラフィックを受信します。
VRRPはvSocket間の状態同期を保証します。

Terraformを使用してGCPのvSocketサイトのHAをデプロイする

全ての必要なリソース(VPCs, vSockets, ロードバランサ, およびヘルスチェック)は1つのTerraformスタックに定義されるべきです。

Terraformレジストリで利用可能な公式のCato vSocket Terraformモジュールには、高可用性設定のためのvSocketの詳細なドキュメンテーションと例が含まれています。 GCP HAモジュールについての詳細はこちらを参照してください。

GCPでの冗長化設定を拡張するには：

同じアプローチで異なるゾーンにvSocketをデプロイする
LAN側にロードバランサリソースを追加し、両方のvSocketをフロントします
状態同期のためにvSocket間でVRRP通信を許可する

注：
モジュールの入力、出力、及び高度な設定オプションについての詳細は、公式のCato vSocket Terraformモジュールドキュメンテーションを参照してください

GCPの高可用性を管理する

このセクションでは、GCPサイトの冗長化を管理する方法を説明します：

各vSocketのHAステータスを表示する
サイトのロードバランサIPを変更する
vSocketの管理IPアドレスを変更する
HAをサイト用に無効にし、セカンダリvSocketを削除する

高可用性情報とステータスを表示する

ネットワーク > サイト > ソケット ページでは、プライマリ及びセカンダリvSocketのHAステータスを表示します。

アイテム	説明
HAステータス	サイト(準備完了または未準備)の高可用性ステータスは、すべてのHAステータスインジケーターが「OK」の場合にのみ「準備完了」と表示されます
接続済み (状態インジケーター)	状態は両vSocketがCato CloudにWAN接続があることを示します
キープアライブ (状態インジケーター)	状態は、vSocketがマスターで、もう一つがスタンバイであることを示します(もし両方のvSocketがマスターのステータスなら、冗長化スプリットブレインの問題があります)
同じバージョン (状態インジケーター)	状態は、両vSocketが同じSocketバージョンで稼働していることを示します

サイトのIP設定を変更する

GCPのvSocketsのIPアドレス設定を変更する場合、Cato管理アプリケーションでも同じ設定を更新する必要があります。設定可能な項目：

ネイティブ範囲サブネット - サイトのネットワークセクションを使用する
ロードバランサIP - サイトのネットワークまたは高可用性セクションを使用する(新しい値は他のセクションで自動的に更新されます)
管理IP - サイトの高可用性セクションを使用する

ネイティブ範囲サブネットを変更する

ネットワークセクションを使用してネイティブ範囲サブネットを変更します。

サイトのネイティブ範囲サブネットを変更するには：

ナビゲーションメニューからネットワーク > サイトをクリックし、GCPサイトを選択します。
ナビゲーションメニューからサイト設定 > ネットワークを選択します。
ネイティブ範囲を編集し、サブネットの新しい値を入力します。
適用をクリックしてください。 IP範囲の編集パネルは閉じます。
保存をクリックします。

ロードバランサIPと管理IPを変更する

高可用性セクションを使用してロードバランサIPと管理IPを変更します。ネットワークセクションでもロードバランサIPを変更できます。

サイト用のロードバランサまたは管理IPを変更するには：

ナビゲーションメニューからネットワーク > サイトをクリックし、GCPサイトを選択します。
ナビゲーションメニューからサイト設定 > ソケットをクリックします。
高可用性設定セクションを展開します。
新しいプライマリ管理IPを入力します。
新しいセカンダリ管理IPを入力します。
新しいLANロードバランサIPを入力します。
保存をクリックします。

GCPサイトの高可用性を無効にする

GCPサイトからセカンダリvSocketを削除し、そのサイトのHAを無効にできます。 Cato管理アプリケーションからセカンダリvSocketを削除すると、デプロイされたvSocket はCato Cloudにもう接続できません。サイトの設定は単一のvSocket用の構成に復元されます：

高可用性セクションは無効になり、もうページに表示されなくなります
ネットワークセクションでは、ローカルIPがロードバランサIPに置き換わります

注：
ソケットの割り当て解除アクションは元に戻せません。セカンダリvSocketのシリアル番号は無効です。
セカンダリvSocketを再び追加したい場合は、新しいシリアル番号でVMに新しいvSocketをインストールする必要があります。

GCPサイトの冗長化を無効にするには：

ナビゲーションメニューからネットワーク > サイトをクリックし、GCPサイトを選択します。
ナビゲーションメニューからサイト設定 > ソケットをクリックします。
セカンダリ vSocket の アクション メニューで、割り当てを解除 をクリックします。
警告ウィンドウでOKをクリックします。このサイトのHAは無効になり、セカンダリvSocketが削除されます。

既知の制限事項

GCPのHAデプロイメントでは、フェイルバックがプライマリvSocketに届くまでに、セカンダリvSocketよりも時間がかかることがあります。フェイルバック中は、最大8秒間トラフィックが中断される可能性があります。
GCP HAデプロイメントでスプリットブレイン状態の際、既存の連続pingトラフィックはプライマリとセカンダリの両vSocketを通過し続ける可能性があります。これにより、GCPロードバランサのヘルスチェックが両vSocketを健全と示し、フェイルオーバーの検証が曖昧になる可能性がありますが、スプリットブレイン状態の後に開始された新しいトラフィックはセカンダリvSocketのみを通ります。