ARUBA [LAB-05] Hướng dẫn cấu hình High Availability trên Clearpass

Xin chào mọi người, ở bài viết này mình sẽ nói về tính năng Cluster cũng như hướng dẫn cấu hình trên CLearpass

Tính năng High Availability là gì?

Tính năng High Availability của Clearpass là một trong những tính năng quan trọng để đảm bảo hệ thống hoạt động ổn định, liên tục và không bị gián đoạn khi có bất cứ sự cố nào xảy ra.
High Availability là cơ chế cho phép nhiều máy chủ Clearpass kết nối, phối hợp với nhau để duy trì hoạt động liên tục. Như vậy, nếu có một máy chủ gặp sự cố thì một máy chủ khác có thế nhanh chóng tiếp quản, thay thế máy chủ đó nhằm giúp giảm thiểu thời gian downtime và gây gián đoạn service trong hệ thống.

Mô hình High Availability trong Clearpass

Clearpass không sử dụng mode active-active, active-passive như các hệ thống truyền thống khác, thay vào đó sử dụng mô hình Publisher-Subcriber

Mô hình Publiser-Subcriber là gì?

Mô hình pub-sub đã xuất hiện từ khá lâu và trở nên phô biến với các hệ thống phân tán. Mô hình này khá phổ biến trong các kiến trúc Framework như Apache Kafka, RabbitMQ,.. và nhiều công nghệ khác. Giúp giải quyết vấn đề giao tiếp và tương tác trong các hệ thống lớn và phức tạp.
Publisher hoạt động như một cơ chế phát sóng. Nó có kênh đầu vào được chia thành nhiều kênh đầu ra, tương ứng mỗi kênh đầu ra là một Subscriber.

Nói cách khác, khi có một event được tạo ra từ Publisher, bản sao sẽ được gửi đến từng Subcriber và tiếp nhận thông tin đó một cách nhanh chóng. Subcriber chỉ có quyền đọc và không có quyền chỉnh sửa. Tất cả mọi thông tin chỉnh sửa, cấu hình sẽ được tạo ra từ Publisher.




Quay lại với Mô hình Pub-Sub trong Aruba clearpass

Clearpass sử dụng mô hình Pub-Sub để giải quyết tính năng Cluster trên 02 Server Clearpass nên chúng ta sẽ tìm hiểu vai trò của từng thành phần trong mô hình Pub-Sub

Vai trò của Publisher (Primary Node)

• Là 01 node Primary trong hệ thống
• Là trung tâm điều khiển của hệ thống
• Là nơi chứa cơ sở dữ liệu chính
• Là nơi quản trị viên được phép cấu hình hệ thống, thay đổi policy, certificates và thông tin device,…
• Tất cả các thông tin thay đổi cấu hình đều được thực hiện tại đây và sẽ được replicate tới các Subcribers.

Vai trò của Subcriber (Secondary Node)

• Nhận dữ liệu từ Publisher thông qua quá trình database replication.
• Có thể xử lý các request xác thực như RADIUS, TACACS+, WebAuth,
• Onboard, Guest,…
• Hoạt động độc lập để xác thực và ủy quyền người dùng, thiết bị.
• Không thể chỉnh sửa cấu hình hệ thống (chỉ đọc cấu hình từ Publisher).

Note: Quá trình replicate chỉ thực hiện một chiều từ Publisher -> Subcriber

Failover và khả năng chịu lỗi

RADIUS/TACACS/WebAuth hoạt động thế nào khi Publisher lỗi?

• Khi Publisher bị lỗi:
  • Subscriber vẫn tiếp tục xác thực bình thường (do cơ chế local policy cache).
  • Tuy nhiên, bạn không thể thay đổi cấu hình, thêm thiết bị, hay tạo user guest mới.

Publisher recovery

• Khi Publisher hoạt động trở lại:
  • Subscriber sẽ tự động kết nối lại và thực hiện đồng bộ dữ liệu.

Failover cho Management

• Không có automatic failover cho giao diện quản trị (GUI).
• Phải khôi phục Publisher hoặc chuyển 1 Subscriber lên làm Publisher mới (quá trình này thủ công và gây downtime).

Những lưu ý trước khi triển khai HA Clearpass




Hướng dẫn cấu hình tính năng High Availibility trên 02 Node Clearpass
Bước 1: Kiểm tra thông tin hostname, version và NTP cho các node. Bắt buộc phải đồng bộ các thông tin trên.

Bước 2: Truy cập GUI node muốn làm Subcriber > Sever Configuration > Make Subcriber



Bước 3: Cấu hình thông tin IP Node Publisher và password của Node.
Có thể stick vào 02 options bên dưới tùy nhu cầu. Nhấn Proceed để tiếp tục



Bước 4: Kiểm tra thông tin Certificates và serial number của node Publisher (hệ thống tự động nhập thông tin)
Stick vào ô “Enable to proceed…” và nhấn Save để tiến hành thực hiện tính năng HA



Bước 5: Quá trình khởi tạo Subcriber có mất 15-20p tùy vào hệ thống.
Nhấn Close sau khi có thông báo hoàn thành. Thực hiện re-login để hoàn tất quá trình tạo Subcriber.



Bước 6: Kiểm tra thông tin High Avaibility trên mục Dashboard > Cluster Status



Bước 7: Thực hiện truy cập GUI của node Subcriber thấy thông báo giới hạn quyền với node Subcriber.



Bước 8: Có thể cấu hình Virtual IP giữa 2 node trong một cụm cluster (tùy chọn)
Lợi ích khi cấu hình Virtual IP:
Thực hiện nhập đầy đủ thông tin yêu cầu
Ở phần Primary node chọn thông tin node Publisher
Ở phần Secondary node chọn thông tin node Subcriber
Sau đó nhấn Save để hoàn thành.



Bước 9: Hiển thị thông tin Virtual IP đã cấu hình ở bước trên.



Cảm ơn các bạn đã xem bài viết của mình!!!