pxGrid の概要

pxGrid には次のコンポーネントがあります。

• コントローラ：検出、認証、および許可を処理します。

• プロバイダ：クエリ結果を返すか、または発行します。

• Pubsub：プロバイダとコンシューマに pxGrid サービスを提供します。

• サブスクライバ：サブスクライバは、承認されると、登録しているトピックからコンテキスト情報とアラートを取得します。

pxGrid には次の機能があります。

• 検出：サービス名に基づいてサービスプロパティを検出します。フローは、プロバイダが pxGrid コントローラで「サービスの登録」を要求したときに開始されます。登録後、コンシューマは「ルックアップサービス」を使用してプロバイダの場所を検出します。

• 認証：pxGrid コントローラは、サービスにアクセスするために pxGrid クライアントを認証します。ログイン情報は、ユーザー名とパスワード、または証明書（推奨）です。

• 許可：pxGrid は操作要求を取得すると、pxGrid コントローラに問い合わせて要求を許可し、クライアントを事前定義されたグループに割り当てます。

pxGrid 2.0 の高可用性

pxGrid 2.0 ノードはアクティブ/アクティブ構成で動作します。高可用性を実現するには、展開環境に少なくとも 2 つの pxGrid ノードが必要です。大規模な展開では、拡張性と冗長性を高めるために最大 4 つのノードを使用できます。あるノードがダウンした場合に、そのノードのクライアントが動作中のノードに接続できるように、すべてのノードの IP アドレスを設定することをお勧めします。PAN がダウンすると、pxGrid サーバーは、アクティブ化処理を停止します。pxGrid サーバーをアクティブにするには、PAN を手動で昇格させます。pxGrid の展開の詳細については、『ISE Performance & Scale』を参照してください。

すべての pxGrid サービスは、7.5 分以内に pxGrid コントローラに定期的に再登録します。サービスが再登録しない場合、PAN ノードは非アクティブであると見なし、そのサービスを削除します。PAN ノードが 7.5 分を超えてダウンした場合、再度起動すると、タイムスタンプ値が 7.5 分よりも古いすべてのサービスが削除されます。これらのサービスはすべて、pxGrid コントローラに再度登録する必要があります。

pxGrid 2.0 クライアントでは、PubSub やクエリに WebSocket および REST ベースの API を使用しています。これらの API は、ポート 8910 で ISE アプリケーションサーバーによって提供されます。show logging application pxgrid を実行して表示される pxGrid プロセスは、pxGrid 2.0 には適用されません。

（注）	GUI および CLI では、pxGrid 1.0 プロセスへのすべての参照が削除されています。

損失検出

シーケンス ID が pxGrid トピックに追加されます。送信に中断がある場合、サブスクライバは ID のシーケンスのギャップをチェックすることで中断を認識できます。サブスクライバはトピックシーケンス ID の変更に気付き、最後のシーケンス番号の日付に基づいてデータを要求します。パブリッシャがダウンして復帰した場合、トピックシーケンスは 0 から始まります。サブスクライバはシーケンス 0 を確認したら、キャッシュをクリアして一括ダウンロードを開始する必要があります。サブスクライバがダウンした場合、パブリッシャはシーケンス ID を割り当て続けます。サブスクライバが再接続し、シーケンス ID にギャップがある場合、サブスクライバは最後のシーケンス番号の時刻からデータを要求します。損失検出は、セッションディレクトリおよび TrustSec 構成で機能します。セッションディレクトリを使用している場合、損失を検出したクライアントは、キャッシュをクリアして一括ダウンロードを開始する必要があります。

シーケンス ID を使用しない既存のアプリケーションがある場合は、シーケンス ID を使用する必要はありません。ただし、シーケンス ID を使用すると、損失検出と損失からの回復という利点を得られます。

セッションディレクトリのセッションは、/topic/com.cisco.ise.session への通知間隔ごとに MnT によって非同期的にバッチ処理され、公開されます。

TrustSec セキュリティグループへの変更は、/topic/com.cisco.ise.config.trustsec.security.group に公開されます。

損失検出は pxGrid 2.0 でのみサポートされ、デフォルトで有効になっています。

損失検出を使用したコード例、https://github.com/cisco-pxgrid/pxgrid-rest-ws/tree/master/java/src/main/java/com/cisco/pxgrid/samples/ise を参照してください。

モニターリングとデバッグ

pxGrid では、次のログを使用できます。

• pxgrid-server.log：pxGrid 2.0 のアクティビティとエラー

[ログ（Logs）] ページには、すべての pxGrid 2.0 管理イベントが表示されます。イベント情報には、クライアント名と機能名、およびイベント タイプとタイムスタンプが含まれています。[管理（Administration）] > [pxGridサービス（pxGrid Services）] > [診断（Diagnostics）] > [ログ（Log）] の順に移動して、イベントリストを表示します。ログを消去して、リストを再同期またはリフレッシュすることもできます。

pxGrid フェールオーバーとリカバリ

プライマリ pxGrid ノードとセカンダリ pxGrid ノードがそれぞれ少なくとも 1 つ含まれたマルチ pxGrid ノードでの展開で、さまざまなフェールオーバーシナリオにおける pxGrid のリカバリにかかる時間は、ダウンして復帰するノードやその他の特定の変数によって異なります。そのうちの一部の詳細について、以下に示します。

以下に、4 つの異なる pxGrid フェールオーバーおよびリカバリのシナリオと、各ケースで内部的にトリガーされるワークフローを示します。

• プライマリ pxGrid ノードがダウンする

  セカンダリ pxGrid ノード MnT は、引き続きセッションデータのパブリッシャとなります。Firewall Management Center（FMC）がプライマリノードに接続されている場合、再試行に数回失敗すると、セカンダリノードに接続して登録されます。中断が発生したため、FMC で一括ダウンロードを実行します。

  FMC がすでにセカンダリ pxGrid ノードに登録されている場合、リカバリはさらにスムーズになります。中断がないため、FMC で一括ダウンロードを実行する必要はありません。したがって、リカバリがさらにスムーズになります。このシナリオでのリカバリの所要時間は 2 分程度です。

• プライマリ pxGrid ノードが復旧する

  FMC は引き続きセカンダリ pxGrid ノードに接続され、セカンダリノードでセッションデータの公開が継続されるため、中断は少なくなります。この場合、一括ダウンロードは不要であるため、前のシナリオの場合と同様にリカバリがスムーズになります。

  すべてのファンアウトが再確立され、データベースの同期が完了した後にのみ、FMC で pxGrid との接続が再確立され、プライマリ pxGrid ノードに接続できます。

• セカンダリ pxGrid ノードがダウンする

  FMC がプライマリノード pxGrid に接続されている場合は、引き続き同じ場所に接続されます。ただし、これまではセカンダリ MnT ノードがセッショントピックデータのパブリッシャであったため、中断が発生します。プライマリ MnT ノードでセカンダリ MnT ノードがダウンしていることを認識するまでには時間がかかりますが、認識されると、プライマリノードからセッショントピックデータの公開が開始されます。

  FMC がセカンダリノードの pxGrid に接続されている場合は接続を再試行し、失敗した場合はプライマリ PxGrid ノードに接続して登録されます。これは、前の手順と並行して行われます。セカンダリ pxGrid ノードとの再接続が成功すると、FMC は一括ダウンロードを実行します。

• セカンダリ pxGrid ノードが復旧する

  これは、リカバリに最も時間がかかるシナリオです。セカンダリノードがダウンしている間に pxGrid 関連のデータベースに変更があった場合、データベースの同期操作が完了するまで pxGrid が機能しない可能性があります。データベースの同期にかかる時間は、コンフィギュレーション データベースのサイズによって異なります。

  セカンダリ pxGrid ノードは、セッションデータのパブリッシャに戻ります。

  更新された展開の通知がすべてのモジュールに送信され、pxGrid モジュールがこの通知を受信すると、データの内部配布に使用されるすべてのファンアウトが再確立されます。これが完了するまで、pxGrid は完全には機能しません。

  FMC を再接続する必要がある場合、再接続に成功すると FMC で一括ダウンロードが実行されます。