Cisco ISE의 NIC Bonding과 PAN Failover 구성
ISE의 NIC Bonding은 Active/Standby의 NIC 이중화 용도로 사용이 가능합니다.
대부분 ISE를 도입할 때 2대 정도 도입하지만, PAN Failover 구성을 위해서 최소 3대 또는 4대를 도입하는 경우도 있는데,
PAN Failover 구성시 동작을 확인하면서 과연 최적의 구성은 어떤 구성일까 고민을 해봤습니다.
* PAN Failover 구성은 ISE가 최소 3대 이상일 경우 설정 가능
ISE의 PAN Failover 설정
위 PAN Failover 설정은 Primary ISE-1과 Secondary ISE-2를 PSN 노드인 ISE-3이 Health Check 역할을 하는 구조입니다~
설정을 보면 Primary Health Check도 ISE-3이 하고, Secondary Health Check도 ISE-3이 하게 됩니다.
최근 ISE 3대가 구성되어 있는 곳의 대부분이 아래와 같이 구성이 되어 있었는데, 이 경우 Switch 1대에 ISE 2대를 연결해 놓아서 스위치 장애시 PAN Failover가 동작하지 못하는 구성이었습니다.
아래 구성에서 처럼 Switch-1이 장애가 발생하면, Primary Node의 Health Check를 해야 하는 ISE-3과 Primary 인 ISE-1이 동시에 통신이 불가능해지고, 이로 인해 ISE-2를 Secondary 에서 Primary로 전환하라는 내용을 ISE-3이 보내야 하는데 보내지 못하면서 ISE-2는 계속 Secondary 상태가 됩니다.
위와 같은 장애를 해결하기 위해 ISE 모두 NIC Bonding을 하면 좋겠지만, 최소 PSN 만이라도 NIC Bonding으로 구성하여 Switch-1과 Switch-2에 양팔을 벌리는 구조를 만들어 주어야만 스위치 장애시에도 PAN Failover가 동작하게 됩니다.
최적은 ISE가 4대 이상인 아래와 같은 구성이 가능할것 같습니다.
ISE가 4대일 경우 PSN-1과 PSN-2와 같이 전용 노드로 구성 가능하며, 이때의 PAN Failover는 ISE가 3대 일때 PSN 1대가 Primary와 Secondary의 Health Check를 같이 하였지만
PSN-1과 PSN-2가 각각 Health Check를 서로 나누어 할 수 있습니다.
Primary Health Check : PSN-1
Secondary Health Check : PSN-2
여러 장애 시나리오를 생각해보면 끝이 없지만 이 4대 구성일 때에도 Primary Health Check 노드인 PSN-1이 먼저 장애가 발생하고
이후 ISE-1이 장애가 발생한다면 역시나 ISE-2는 Secondary에서 Primary가 되지 못하게 됩니다.
PAN Failover의 최적 구성은 과연 어떤 구성일까요~
