PRIMECLUSTER Global Link Services 説明書 4.2 (伝送路二重化機能編) (Linux版)

D.3.5 ファイアウォールを設定したところ、仮想IPアドレスを使用した通信ができなくなる

現象

NIC切替方式の論理IPアドレス引継ぎ機能で通信相手との間に、仮想IPアドレスのみ通過できるようにファイアウォールを設定したところ、GLSと通信相手間で仮想IPアドレスを使用した通信ができなくなりました。

原因と対策

NIC切替方式の論理IPアドレス引継ぎ機能の場合、物理IPアドレス(hanetconfigコマンドの-eで設定)に対しても通信できるようにファイアウォールを設定してください。もしくは、論理IPアドレス引継ぎ機能ではなく、物理IP引継ぎ機能を使用してください。

論理IPアドレス引継ぎ機能の仮想IPアドレスは、論理インタフェース(ethX:Y)に割り当てられたIPアドレスとして生成されます。論理インタフェースを使用した通信を行う場合、通信相手ホスト側が発呼になった場合は、送信されるパケットの宛先は仮想IPアドレス、送信元は通信相手のIPアドレスとなり、通信相手ホスト側が受信するパケットの宛先は通信相手のIPアドレス、送信元は仮想IPアドレスになります。一方、自ホスト側(仮想IPアドレス側)が発呼になった場合、送信されるパケットの宛先は通信相手のIPアドレス、送信元はルーティングテーブルにより物理IPアドレスになります。このため、論理IPアドレス引継ぎ機能を使用時は、ファイアウォールに物理IPアドレスを通過できるようにする必要があります。

通信相手が発呼の場合

自ホストが発呼の場合