À quoi sert la gestion centralisée et comment créer un cluster de gestion centralisée ?

Introduction

Ce document décrit ce qu'est la gestion centralisée sur l'appliance de sécurité de la messagerie (ESA) et comment un cluster de gestion centralisée peut être créé.

À quoi sert la gestion centralisée et comment créer un cluster de gestion centralisée ?

Fond

La fonction de gestion centralisée vous permet de gérer et de configurer plusieurs appliances simultanément, afin d'offrir une fiabilité, une flexibilité et une évolutivité accrues au sein de votre réseau, ce qui vous permet de gérer globalement tout en respectant les stratégies locales. Un cluster se compose d'un ensemble de machines avec des informations de configuration communes. Dans chaque grappe, les appareils peuvent être subdivisés en groupes de machines, où une seule machine peut être membre d'un seul groupe à la fois. Les clusters sont mis en oeuvre dans une architecture peer to peer, sans relation maître/esclave. Vous pouvez vous connecter à n'importe quelle machine pour contrôler et administrer l'ensemble du cluster ou du groupe. Cela permet à l'administrateur de configurer différents éléments du système à l'échelle d'un cluster, d'un groupe ou d'une machine, en fonction de leurs propres regroupements logiques.

Conditions à respecter

• Toutes les machines doivent disposer d'une connectivité IP.
• Si vous utilisez des noms d'hôte, assurez-vous que tout est résolu correctement, avec les enregistrements DNS « A » et « PTR » correspondants.
• Il doit y avoir une connectivité sur le port TCP 22 SSH ou 2222 Cluster Communication Service (CCS) ou sur le port personnalisé de votre choix.
• Tous les appareils doivent avoir exactement la même version AsyncOS et appartenir à la même famille de produits (REMARQUE : les appareils des gammes C et X sont interopérables).
• Toutes les appliances doivent également disposer de la touche de fonction « Gestion centralisée » sous la version 8.x.
• Vous aurez besoin d'un accès à la ligne de commande, car l'outil de gestion de cluster « clusterconfig » n'est pas disponible dans l'interface utilisateur graphique.

Notez que de nombreux paramètres peuvent être modifiés pour des ordinateurs individuels ou des groupes d'ordinateurs afin de remplacer divers paramètres. L'ordre dans lequel les appliances en cluster héritent de leurs paramètres est le suivant : 1) MACHINE 2) GROUPE 3) CLUSTER. Cependant, certains paramètres, tels que les noms d'hôte et les interfaces IP, ne sont disponibles qu'au niveau de l'ordinateur et ne sont pas répliqués vers d'autres membres du cluster.

Notez également que la fonction de mise en grappe est réservée à la gestion de la configuration. Il ne fournit aucun mécanisme inhérent pour hiérarchiser ou planifier le flux du trafic de messagerie entre les différents membres. Pour ce faire, il est nécessaire d'utiliser des clôtures d'enregistrement DNS identiques (MX) ou un dispositif d'équilibrage de charge distinct ou un autre mécanisme externe.

Solution

Pour commencer avec un nouveau cluster, vous devez choisir une appliance qui a déjà été entièrement implémentée en tant qu'ordinateur autonome. Cette machine doit être entièrement configurée avec toutes les fonctionnalités souhaitées, telles que les tables d'accès hôte/destinataire (HAT/RAT), les politiques de flux de messagerie, les filtres de contenu, etc. Il s'agit d'un point de référence par lequel vous pouvez former le cluster. 

Étapes à retenir

1. Vérifiez que toutes les machines ont leur adresse IP et leur nom d'hôte corrects.
2. Vérifiez la connectivité à tous les appareils sur le port souhaité pour la communication du périphérique (à l'aide de la commande « telnet »).
3. Assurez-vous que le service approprié que vous choisissez (SSH, CCS ou port personnalisé) a été activé sur l'interface de cet ordinateur en utilisant 'ifconfig > edit'.
4. Créez une sauvegarde de configuration (avec des mots de passe non masqués) avant de continuer en utilisant 'mailconfig' ou 'saveconfig' par exemple.

Vous pouvez ensuite créer le cluster et les groupes d'ordinateurs à l'aide de la commande « clusterconfig », et y joindre une ou plusieurs appliances supplémentaires :

Configuration

1. Commencez la séquence de configuration « clusterconfig » et donnez un nom à votre nouveau cluster :
   • clusterconfig > Créer un nouveau cluster
2. Définissez les paramètres de communication IP, en choisissant la résolution d'adresse IP ou de nom d'hôte.
   

   Remarque : à ce stade, la création du cluster peut prendre quelques secondes et les modifications sont automatiquement validées.

3. Vous pouvez choisir de créer un nouveau groupe avant d'ajouter des machines au nouveau cluster. Lorsque vous créez un nouveau cluster, un groupe par défaut appelé Main_Group est créé automatiquement. Toutefois, vous pouvez décider de renommer ce cluster ou de créer des groupes supplémentaires à l'aide des commandes suivantes :
   
   
   • clusterconfig > renamegroup
   • clusterconfig > addgroup
4. Ajoutez de nouvelles machines au cluster et au groupe. Ces étapes doivent être effectuées sur toutes les machines restantes qui n'ont pas encore été intégrées à la grappe et peuvent être répétées si nécessaire. Le processus peut être légèrement différent selon le protocole de communication choisi précédemment.
   
   
   • clusterconfig > Rejoindre un cluster existant sur SSH
     1. Vous serez invité à démarrer le service de communication de cluster, que nous pouvons ignorer car nous n'utilisons pas ce protocole.
     2. Saisissez l'adresse IP d'un ordinateur de cluster existant. Il peut s'agir de n'importe quelle machine de cluster, mais elle doit être référencée par IP, quelles que soient vos préférences de communication.
     3. Sélectionnez le port pour la communication SSH tel que défini lors de la création du cluster.
     4. Entrez le mot de passe du compte 'admin' sur les machines de cluster existantes.La clé publique de cet hôte s'affiche pour confirmation. Vous pouvez vérifier cela sur n'importe quel appareil du cluster à l'aide des commandes suivantes :
           logconfig > hostkeyconfig > fingerprint

     Remarque : un autre délai s'écoule pendant que le nouveau membre récupère et applique automatiquement la configuration de cluster.

   • clusterconfig > Rejoindre un cluster existant sur CCS :
     
     
     1. Pour rejoindre un cluster sur CCS, vous devez d'abord vous connecter à un membre du cluster et lui indiquer que ce système est en cours d'ajout.  Sur n'importe quel ordinateur du cluster, exécutez :
             clusterconfig > prepjoin > new
     2. Copiez le nom d'hôte, le numéro de série et les informations de clé SSH afin de les coller dans l'invite « prepjoin » à partir du dessus sur le membre de cluster existant. Appuyez deux fois sur <RETURN> pour accéder à l'invite principale, puis exécutez « commit » pour appliquer les modifications. La validation est très importante à ce stade, sinon la nouvelle appliance recevra un échec d'authentification.
     3. Vous serez invité à démarrer le service de communication de cluster, qui ouvre un nouveau service sur le port TCP 2222 sur l'interface de votre choix.
     4. Saisissez l'adresse IP d'un ordinateur de cluster existant. Il peut s'agir de n'importe quelle machine de cluster, mais elle doit être référencée par IP, quelles que soient vos préférences de communication.
     5. Sélectionnez le port à utiliser pour le CCS, tel que défini lors de la création du cluster.
     6. La clé publique de cet hôte s'affiche pour confirmation. Vous pouvez vérifier cela sur n'importe quel appareil du cluster à l'aide des commandes suivantes :
        
              logconfig > hostkeyconfig > fingerprint

        Remarque : un autre délai s'écoule pendant que le nouveau membre récupère et applique automatiquement la configuration de cluster

5. Utilisez des résultats tels que « status » et votre rapport « System Overview » pour vérifier que le flux de messages et le fonctionnement du système sont intacts avant d'effectuer une autre sauvegarde de configuration. Si quelque chose ne semble pas correct, utilisez simplement « clusterconfig > removemachine » pour supprimer le périphérique du cluster et revenir à ses paramètres de niveau machine.
   
   

   Remarque : le retrait de la dernière machine d'un cluster n'est pas différent du retrait des machines en général, et éliminera complètement le cluster.

Maintenant que le cluster est créé et qu'il fonctionne correctement, vous pouvez commencer à apporter des modifications différentes au groupe et au cluster et les voir s'appliquer à chaque appliance.

Informations connexes

• Remplacer un ESA qui se trouve dans un cluster :
• Comment mettre à niveau un ESA qui se trouve dans une grappe
  
• Assistance et documentation techniques - Cisco Systems