☰

高可用性のための 2 つの異なるパブリック アドレス

tag-icon • tag-icon domain-name-system ip high-availability fortinet
高可用性のための 2 つの異なるパブリック アドレス

ここで質問するのは初めてですが、高可用性を実現するために、2 つの異なる ISP パブリック IP を 1 つのシステムに接続することは可能でしょうか?

たとえば、ISP 1 がオフラインになった場合、2 番目の ISP が利用可能になります。これは、Google と YouTube が異なるパブリック アドレスを持っているのと同じですが、これをどこで設定すればよいのかわかりません。

現在、Fortinet 300D を使用しています。

答え1

はい、ただしこれをどのように実装するかによって、システムの 1 つに障害が発生したときのユーザー エクスペリエンスが影響を受けます。

最も簡単な方法は、外部向けの DNS に 2 つのアドレス A レコードを入力することで、ユーザーは両方のアドレスに送信されます (ラウンドロビン DNS 負荷分散と呼ばれます)。これは、アドレスの 1 つが利用できない場合にユーザー接続の約半数が失敗することを意味するため、あまり良い方法ではありません。また、1 つの ISP のクライアントが他の ISP またはあまり望ましくないルートの ISP 経由で送信される可能性があるため、非効率的です。クライアント アプリケーションと DNS キャッシュにより、クライアントが動作中のシステムにアドレスを取得するのが遅れる可能性があるため、障害が発生したクライアントは、アプリケーションを再起動して DNS キャッシュをフラッシュする介入を行わないと、かなり長い期間にわたって障害が発生する傾向があります。DNS TTL を短くして、短時間の停止を気にしない場合は、そのアドレスでサービスが利用できないときに手動でアドレスを無効にすることができますが、ユーザー エクスペリエンスとしては、依然として短時間の障害となります。

これをスマートにするには、外部システムでサービスが利用可能かどうかを確認し、DNS レコードを自動的に更新して、ユーザーを稼働中のシステムに誘導する必要があります。さらに改善するには、DNS システムをバックエンド監視に直接接続して、負荷の少ないシステムにユーザーを誘導します。自動化されていても、一部のユーザーには依然として障害が発生するというユーザー エクスペリエンスが残ります。

これらはいずれもファイアウォールに固有のものではなく、2 つの ISP に 2 つの外部インターフェイスを提供するだけです。インターネット ルーティングではこのトラフィックがドロップされるため、ISP1 のトラフィックを ISP2 経由でルーティングしたり、その逆を行ったりすることはできません。2 つの ISP を「相互接続」して、何かが機能すると期待することはできません。

大手企業は通常、DNS ラウンドロビンだけに依存することはありません。その代わりに、自社のネットワーク (またはパートナー ネットワーク) に移行し、ピアリングと呼ばれるシステムで ISP を自社のネットワークにルーティングします。企業ネットワークには、地域から世界規模に分散した複数の ISP で構成される多くのピアが存在する場合があります。ルーティング情報を交換することで、クライアントは ISP から現在動作している ISP を経由して企業ネットワークにルーティングされます。これにより、ネットワークにアクセスできないときに短時間の停止が発生する可能性がありますが、これらのシステムは、リンクが停止しているときでも企業ネットワークにアクセスできるように優れた冗長性を提供します。

他にも、より複雑で洗練された解決策は考えられますが、StackExchange の回答の範囲外です。例:

  • 信頼性の高いシステム (Azure、AWS など) にロード バランサーを配置し、監視対象の「稼働中」のアドレスにトラフィックを転送します。
  • VPNベースのピア（トンネルブローカーと呼ばれることもあります）を使用して、ISPに依存しない外部IPを取得し、VPNトンネルが両方のISPを通過できるようにします。
  • システム全体を高可用性の場所に移動する

答え2

ニーズに合ったプロバイダーから仮想マシンを購入し (おそらく CloudFlare レベル)、そこに仮想ファイアウォールを設定し、オンプレミス サイトから複数の VPN を確立して結合し、仮想ルーティングに使用します (MPTCP または同様のものを検討してください)。

オンプレミス システムのインターネット接続は冗長化され、任意の数のリンク (異なるプロバイダー、複数のテクノロジー) と、これらのリンクごとに仮想ファイアウォールへの VPN が提供されます。

ホストされた仮想ファイアウォールを介してオンプレミス システムから必要なサービスを公開します。

可用性の要件に応じて、オンプレミスの WAN リンクや仮想ファイアウォールへの帯域幅を追加したり、VM ホスティング用のより信頼性の高いプロバイダーを選択したりできます。

関連情報