Tính năng ISP Redundancy của TMG 2010 (P.2)
Trong phần đầu của loạt bài viết này chúng ta đã tìm hiểu đôi nét về hệ
thống mạng ảo và một số thao tác cần thực hiện với các giao tiếp để
chúng hỗ trợ Multi-ISP.

>> Tính năng ISP Redundancy của TMG 2010 (P.1)

Trong phần hai này chúng ta sẽ thực hiện cấu hình cho ISP Redundancy, sau
đó tìm hiểu phương thức hoạt động của ISP Redundancy.

Cấu hình ISP Redundancy

Trước tiên, mở TMG Firewall Console rồi click vào node Networking
trong bảng bên trái của Console này. Trong Task Pane, chọn tab Tasks sau
đó click vào liên kết Configure ISP Redundancy như trong hình 1.


Hình 1

Khi đó ISP Redundancy Configuration Wizard sẽ xuất hiện. Trên trang
Welcome to the ISP Redundancy Configuration Wizard, nhấn Next.


Hình 2

Trên trang ISP Redundancy Mode, chúng ta có thể lựa chọn một trong hai
tùy chọn sau:

Load balancing with failover capability. Tùy chọn này cho phép chúng ta
sử dụng đồng thơi cả hai ISP. Chúng ta có thể đặt một ISP ưu tiên với phần
lớn lưu lượng chuyển qua, hoặc chúng ta có thể cài đặt lưu lượng cho hai

ISP này như nhau. Lựa chọn tùy chọn này nếu chúng ta muốn sử dụng tối đa
băng thông mà không chú ý tới chi phí băng thông cho cả hai ISP này. Nếu
một ISP ngừng hoạt động, mọi lưu lượng sẽ chuyển qua kết nối ISP còn lại.

Failover only. Lựa chọn tùy chọn này nếu chúng ta chỉ muốn sử dụng một
ISP, nhưng muốn ISP còn lại được sử dụng dự phòng trong trường hợp ISP
đâu tiên không hoạt động. Lựa chọn tùy chọn này nếu chúng ta không muốn
trả chi phí băng thông cho cả hai ISP, mà vẫn muốn đảm bảo rằng chúng ta
có thể kết nối ngay cả khi ISP chính bị lỗi. Đây là một tùy chọn phù hợp nếu
chúng ta phải trả chi phí băng thông cho ISP thứ hai.

Trong ví dụ này chúng ta sẽ lựa chon tùy chọn Load balancing with
failover capability rồi nhấn Next.


Hình 3

Trên trang ISP Connection 2 chúng ta sẽ cấu hình cho liên kết ISP thứ nhất.
Chúng ta sẽ đặt tên cho kết nối này là RRAS1 vì đây sẽ là kết nối qua máy
chủ NAT RRAS1 thực hiện mô phỏng ISP thứ nhất. Do đang sử dụng các
NIC (Network Interface Controller – Trình điều khiển giao tiếp mạng) riêng
biệt cho mỗi kết nối ISP nên chúng ta có thể lựa chọn NIC kết nối chúng ta
tới RRAS1 trong danh sách thả xuống Network adapter (optional). Lưu ý
rằng sau khi lựa chọn NIC này, địa chỉ mạng thứ cấp giúp xác định cổng
mặc định cho NIC đó trong địa chỉ nội bộ của máy chủ NAT RRAS1, được
liệt kê trong hộp Subnet. Cần nhớ rằng mỗi ISP phải nằm trên một Network
ID khác nhau, có nghĩa là mỗi kết nối ISP nằm trên một mạng thứ cấp riêng
biệt. Thực hiện xong nhấn Next.



Hình 4

Trên trang ISP Connection 1 – Configuration, kiểm tra Gateway address
và Mask. Đồng thời xác nhận xem hộp Subnet có Subnet Mask chính xác
hay chưa. Chúng ta có thể nhập một Primary DNS Server và một
Alternate DNS Server nếu muốn, tuy nhiên chúng ta không nên cấu hình
cho tường lửa sử dụng những máy chủ DNS ngoài, và tốt nhất chúng ta
không nên nhập địa chỉ nào vào hai hộp này. Cũng có những trường hợp
chúng ta cần nhập địa chỉ IP ngoài cho các máy chủ DNS trên hệ thống
tường lửa TMG, nhưng trong trường hợp này là không cần thiết. Sau đó
nhấn Next.


Hình 5

Trên trang ISP Connection 1 – Dedicated Servers, nhập địa chỉ IP của
những máy chủ thường xuyên sử dụng kết nối ISP này. Thông thường đây là
những máy chủ trên mạng của ISP mà không thể truy cập từ những mạng
ngoài, như những máy chủ Time và DNS. Ngoài ra những máy chủ SMTP
cũng thường được đặt trên mạng ISP cho những mail ngoài mà không xuất
hiện từ mạng ngoài. Do không sử dụng các bộ chuyển tiếp trong ví dụ này,
và đang sử dụng các máy chủ Internet Time, nên chúng ta sẽ không nhập
những địa chỉ Ip bất kì cho các máy chủ chuyên dụng.

Lưu ý rằng nếu chúng ta nhập địa chỉ IP cho các máy chủ chuyên dụng, và
nếu ISP đó bị sập thì kết nối sẽ không được chuyển tiếp sang ISP khác. Tuy
nhiên, đây không phải là vấn đề nghiêm trọng vì những địa chỉ IP này sẽ
không thể truy cập từ những mạng ngoài. Sau đó nhấn Next.



Hình 6
Trên trang ISP Connection 2, chúng ta sẽ thực hiện lại các thao tác đã thực
hiện trên các trang tương tự của ISP 1. Trong ví dụ này, ISP2 sẽ thực hiện
kết nối qua máy chủ NAT RRAS2. Lưu ý rằng Subnet nằm trên Network ID
khác với kết nối ISP thứ nhất. Thực hiện xong nhấn Next.


Hình 7

Kiểm tra các cài đặt trên trang ISP Connection 2 – Configuration rồi nhấn
Next.


Hình 8

Trên trang ISP Connection 2 – Dedicated Servers, nhập địa chỉ IP của
những máy chủ có thể truy cập từ kết nối ISP thứ hai. Những giới hạn và
nguyên lý của kết nối ISP thứ nhất sẽ được áp dụng với kết nối ISP này.
Thực hiện xong nhấn Next.


Hình 9

Trên trang Load Balancing Configuration, chúng ta sẽ cấu hình lưu lượng
cho các kết nối. Nếu các kết nối có tốc độ như nhau, thì thông thường chúng
ta sẽ cài đặt lưu lượng cho chúng bằng nhau. Tuy nhiên, nếu các ISP có sự
chênh lệnh về tốc độ, chúng ta sẽ cài đặt lưu lượng lớn hơn cho kết nối ISP
có tốc độ cao. Trong ví dụ này, RRAS2 nhanh hơn RRAS1, do đó chúng ta
sẽ cài đặt cho chúng tiếp nhận 75% lưu lượng, và RRAS1 là 25%. Những
kết nối dựa trên phương thức mà chúng ta đã nhắc tới trong phần 1. Thực

hiện xong nhấn Next.


Hình 10

Kiểm tra các cài đặt trên trang Completing the ISP Redundancy
Configuration Wizard rồi nhấn Finish.


Hình 11

Sau khi nhấn Finish, một hộp thoại sẽ xuất hiện yêu cầu bổ sung một tuyến
tĩnh cho mỗi địa chỉ IP của DNS được cấu hình trên các adapter mạng ngoài
trên mọi máy chủ Forefront TMG. Chúng ta cần thực hiện thao tác này để
đảm bảo rằng các yêu cầu DNS được chuyển qua adapter mạng phù hợp.

Lí do chúng ta cần tạo thủ công các tuyến tĩnh cho ISP đó là tiến trình định
tuyến tự động làm việc với ISP Redundancy chỉ hoạt động khi có một mối
quan hệ NAT giữa nguồn và đích. Vì các kết nối DNS đến từ TMG Firewall,
nên kết nối này sẽ có một quan hệ tuyến, đó là do mọi kết nối từ Local Host
Network tới mọi mạng khác đều sử dụng một quan hệ tuyến. Sau đó nhấn
OK.


Hình 12

Nhấn Apply để lưu cấu hình tường lửa. Nhập mô tả thay đổi trong hộp thoại
Configuration Change Description nếu muốn, sau đó nhấn Apply trên hộp
thoại này. Nhấn tiếp OK trong hộp thoại Saving Configuration Changes.
Phương thức hoạt động của ISP Redundancy


Tiếp theo chúng ta sẽ tìm hiểu phương thức hoạt động của tính năng ISP
Reducdancy. Đối tượng đầu tiên sẽ là Dashboard. Tại đây chúng ta có thể
thấy những thông tin về Network Status cho các kết nối ISP. Trong hình
13, chúng ta có thể thấy Status (trạng thái), Uptime (thời gian vận hành) và
Bytes/Sec (tốc độ Byte/giây) đang được mọi ISP sử dụng.


Hình 13

Chúng ta sẽ phải làm gì để thay đổi các cài đặt của ISP Redundancy? Chỉ
cần click vào node Networking trong bảng trái của TMG Firewall Console
rồi click đúp vào kết nối ISP muốn thay đổi. Trong hình 14, chúng ta có thể
thấy tab General của hộp thoai RRAS1 Properties. Tại đây chúng ta có thể
thay đổi Name, Gateway IP Address, Mask, Subnet, Connectivity
Detection và Load Balancing Ratio.

Lưu ý rằng Connectivity Detection không được hiển thị trong Wizard này.
Nó có ba tùy chọn, bao gồm:

Disable, connection is down. Tùy chọn này hủy bỏ tiến trình kiểm tra
ISP có hoạt động hay không đồng thời vô hiệu hóa kết nối ISP. Chúng
ta có thể sử dụng tùy chọn này nếu muốn vô hiệu hóa ISP này trong
một khoảng thời gian nhất định.


Disbale, connection is up. Tùy chọn này hủy bỏ tiến trình kiểm tra
xem ISP có haotj động hay không, tuy nhiên sẽ để kết nối này hoạt
động. Chúng ta có thể sử dụng tùy chọn này trong trường hợp muốn
sử dụng kết nối ISP mọi lúc mà không cần chú ý tới trạng thái của kết

nối này.


Enabled. Đây là tùy chọn mặc định.
Có thể bạn đang tự hỏi rằng làm thế nào để TMG Firewall phát hiện được
một kết nối ISP có hoạt động hay không? Những gì mà TMG thực hiện là
gửi các yêu cầu kết nối tới những máy chủ DNS gốc trên Internet. Nếu kết
nối thành công, thì kết nối này đang hoạt động, nếu không, kết nối này đã bị
ngắt.


Hình 14

Chúng ta có thể xác nhận điều này bằng cách kiểm tra một phần của Netmon
như trong hình 15. Địa chỉ IP 10.0.2.3 và 10.0.1.3 là những địa chỉ ngoài
trên TMG Firewall đang kết nối tới mỗi kết nối ISP. Địa chỉ đích
192.33.4.12 là địa chỉ IP của một trong những máy chủ DNS gốc trên mạng
Internet. Tuy nhiên, thực ra chúng không phải là những truy vấn DNS, mà
chỉ là những kết nối qua cổng TCP 53 tới các máy chủ DNS gốc. Nếu kiểm
tra phần giải mã, chúng ta sẽ thấy rằng không có bất kì thông tin nào về giao
thức DNS. Chúng ta chỉ thấy một kết nối ba chiều.


Hình 15

Phương pháp mà TMG Firewall xác định một kết nối bị ngắt và phương
pháp nó xác định một kết nối hoạt động trở lại?

Nhiều máy chủ được tham dò để xác nhận xem có vấn đề kết nối qua một
ISP cụ thể hay không. Nếu nhiều máy chủ DNS gốc không thể phản hồi qua

một ISP cụ thể, thì TMG sẽ thử lại kết nối này (tối đa là ba lần) sau mỗi 60
giây trước khi chuyển qua kết nối ISP dự phòng, đồng thời cho biết kết nối
này bị ngắt.

Do đó, nếu RRAS1 bị ngắt lúc 12:58PM, thì TMG sẽ kiểm tra kết nối tới
những máy chủ DNS gốc vào lúc 12:59PM tới 1:00PM. Nếu cả hai lần cố
gắng kết nối lại thất bại, thì kết nối này sẽ được đánh dấu là bị ngắt
(“down”). Trong khoảng thời gian giữa 12:58PM tới 1:00PM, các kết nối
vẫn được thực hiện qua ISP bị ngắt này.

Sau khi kết nối ISP được đánh dấu bị ngắt, TMG Firewall sẽ kiểm tra ISP bị
ngắt này sau mỗi 5 phút, và khi kết nối này phản hồi trở lại, thì ít nhất phải
có hai yêu cầu trong vòng 60 giây được thực hiện thành công thì kết nối
chính này mới được coi là hoạt động trở lại. Sau đó TMG sẽ tạo các kết nối
mới sử dụng kết nối ISP chính.

Do đó nếu RRAS1 được đánh dấu là bị ngắt lúc 1:00PM, thì nó sẽ không
được kiểm tra lại cho tới 1:05PM. Vào lúc 1:05PM TMG sẽ tiến hành kiểm
tra. Nếu thành công nó sẽ kiểm tra lại vào lúc 1:06PM và 1:07PM. Nếu cả
hai tiến trình kiểm tra đều thành công, thì kết nối này sẽ được đánh dấu là
hoạt động trở lại và các kết nối sẽ được chuyển hướng trở lại kết nối đó.

Để kiểm tra những gì đã xảy ra khi một ISP bị ngắt, chúng ta chỉ cần tắt
RRAS2, sau đó dợi 2 đến 3 phút chúng ta sẽ thấy trong node Dashboard
trong bảng trái của TMG Firewall, Status sẽ chuyển sang Local (cục bộ).


Hình 16

Tuy nhiên có một vấn đề phát sinh. Khi truy vào máy trạm rồi tải một file thì

nó sẽ tự động chuyển sang RRAS1. Cần nhớ rằng nếu máy trạm đang sử
dụng ISP bị ngắt để truy cập vào một trang nào đó, thì chúng ta cần phải đợi
khoảng 2 phút trước khi trang Web đó được chuyển sang ISP trực tuyến.

Nếu kiểm tra tab Alerts, chúng ta sẽ thấy một thông báo được tạo cho biết
kết nối ISP này không hoạt động (hình 17).


Hình 17

Trong tất cả các thông báo, chỉ có một số là liên quan tới ISP Redundancy
như trong hình 18.


Hình 18

Kết luận

Trong phần hai này chúng ta đã tìm hiểu phương thức hoạt động của ISP
Redundancy, phương pháp cài đặt NIC để chuẩn bị cho ISP Redundancy, và
phương pháp cấu hình tính năng này. Lưu ý rằng loạt bài viết này đề cập tới
một trường hợp cụ thể, trong đó các NIC chuyên dụng được sử dụng cho
mỗi ISP. Tuy nhiên, đây không phải là điều kiện bắt buộc. Chúng ta có thể
đưa cả địa chỉ Gateway và IP của ISP vào một NIC duy nhất.