Microsoft ISA Server 2004

Microsoft ISA Server 2004 Marcel Zehner Leitfaden für Installation, Einrichtung und Wartung ISBN 3-446-40597-6 Leseprobe Weitere Informationen oder Bestellungen unter http://www.hanser.de/3-446-40597-6 sowie im Buchhandel

13.7 Netzwerklastenausgleich 551 Die gesamte Array-Konfiguration lässt sich exportieren bzw. importieren. Das Vorgehen ist analog zu den Aktionen auf Unternehmensebene. 13.7 Netzwerklastenausgleich Einer der wichtigsten Vorteile der Enterprise Edition gegenüber der Standard Edition stellt der Einsatz des Netzwerklastenausgleichs dar. Wenn ein ISA Server-Array mehr als ein Mitglied enthält, kann zwischen den Array-Mitgliedern der Netzwerklastenausgleich implementiert werden. Da ein Array bis zu 31 Mitglieder enthalten kann, lassen sich sehr umfangreiche NLB-Cluster erstellen. Verbindungsanfragen von internen und externen Geräten erfolgen in diesem Fall nicht ü- ber die dedizierten IP-Adressen der Mitglieder, sondern über eine virtuelle IP-Adresse, die dem NLB-Cluster zugeordnet wird. Anfragen werden an alle aktiven Array-Mitglieder weitergeleitet, die mit Hilfe einer Logik entscheiden, ob sie selber die Anfrage verarbeiten sollen oder ob ein anderes Mitglied dies übernimmt. Der Ausfall eines Array-Mitglieds bzw. der Ausfall eines relevanten Dienstes auf einer der Server (Firewall-Dienst) wird von den restlichen Mitgliedern erkannt, worauf dieser Server nicht mehr für weitere Anfragen berücksichtigt wird. Aktive Verbindungen werden sofern es die jeweilige Anwendung zulässt an andere Array-Mitglieder übergeben. Für den Anwender entsteht lediglich eine kurze Verzögerung, bevor er mit seiner Arbeit fortfahren kann. Mit Hilfe des Netzwerklastenausgleichs lassen sich demnach skalierbare, hochverfügbare ISA Server-Umgebungen realisieren. Netzwerklastenausgleich lässt sich für alle Netzwerke implementieren, also beispielsweise für die Netzwerkschnittstellen, über die Array-Mitglieder mit dem internen, dem externen oder dem DMZ-Netzwerk verbunden sind. Falls Sie Windows Server 2003 ohne Service Pack 1 einsetzen, darf für ein Netzwerk kein NLB aktiviert werden, weil über dieses Netzwerk die ISA Array-Mitglieder untereinander kommunizieren, beispielsweise um Protokollierungsdaten untereinander auszutauschen. Deshalb wird in einem solchen Szenario oft eine dedizierte Netzwerkverbindung zwischen den Array-Mitgliedern hergestellt (über eine zusätzliche Netzwerkkarte). Wenn hingegen Windows Server 2003 Service Pack 1 auf allen Array-Mitgliedern installiert ist, ist dies nicht mehr zwingend notwendig, weil Array- Mitglieder auch über ein NLB-aktiviertes Netzwerk untereinander kommunizieren können. Selbst wenn zum Zeitpunkt der Implementierung für einzelne Netzwerke NLB nicht geplant ist, sollten Sie ein dediziertes Netzwerk für die Intra-Array-Kommunikation bereitstellen. Dadurch können Sie auf künftige Änderungen schneller und flexibler reagieren. 13.7.1 Netzwerk für die Intra-Array-Kommunikation erfassen Falls Sie die Intra-Array-Kommunikation mit einer zusätzlichen Netzwerkschnittstelle realisieren, müssen Sie dem ISA Server-Array dieses Netzwerk bekannt machen. Nach der

552 13 Konfiguration der Enterprise Edition Grundinstallation sind dem ISA Server-Array ausschließlich die Netzwerke Intern und Extern bekannt. Das Intra-Array-Netzwerk muss daher manuell erfasst werden. 1. Erstellen Sie auf Array-Ebene ein neues Netzwerk, und wählen Sie dafür eine aussagekräftige Bezeichnung, z.b. Intra-Array-Netzwerk. 2. Da für Intra-Array-Netzwerke nicht explizit ein Netzwerktyp verfügbar ist, wählen Sie als Netzwerktyp Umkreisnetzwerk. 3. Legen Sie die IP-Adressbereiche fest, die im Intra-Array-Netzwerk verwendet werden, und schließen Sie den Assistenten ab. Abbildung 13.31 Intra-Array-Netzwerk erfassen 13.7.2 Konfiguration der Array-Mitglieder Bevor der Netzwerklastenausgleich konfiguriert wird, müssen Sie festlegen, über welche Netzwerkschnittstelle die Array-Mitglieder untereinander kommunizieren. Wichtig hierbei ist, dass für dieses Netzwerk kein Netzwerklastenausgleich aktiviert werden darf. 1. Markieren Sie im jeweiligen ISA Server-Array, für das der Netzwerklastenausgleich konfiguriert werden soll, das Objekt Server. 2. Zeigen Sie die Eigenschaften des ersten Array-Mitglieds an. Kontrollieren Sie die Hostkennung (muss eindeutig sein), und legen Sie die IP-Adresse der gewünschten Netzwerkschnittstelle für die Intra-Array-Kommunikation fest. 3. Wiederholen Sie das Vorgehen für alle verfügbaren Array-Mitglieder.

13.7 Netzwerklastenausgleich 553 Abbildung 13.32 Konfiguration der Array-Mitglieder 13.7.3 Netzwerklastenausgleich konfigurieren Nachdem die Vorbereitung abgeschlossen ist, kann der Netzwerklastenausgleich aktiviert werden. Zur Vorbereitung sollten Sie sich Gedanken zu den gewünschten virtuellen IP- Adressen machen. Jedes Netzwerk, das für NLB aktiviert wird, muss über mindestens eine virtuelle IP-Adresse verfügen, die später von anderen Geräten verwendet wird, um mit dem ISA Server-Array zu kommunizieren. Wichtig hierbei ist, dass die virtuelle IP- Adresse zum gleichen Netzwerksegment gehören muss wie die dedizierten IP-Adressen der jeweiligen Mitglieder. Mit Hilfe des Assistenten lässt sich nur eine einzige virtuelle IP- Adresse pro Netzwerk festlegen. In bestimmten Fällen ist es aber wünschenswert, mehr als eine virtuelle IP-Adresse zu Verfügung zu haben. Dies kann über die direkte Konfiguration der jeweiligen Netzwerkschnittstelle außerhalb der ISA Server-Verwaltung realisiert werden. 13.7.3.1 Aktivierung des Netzwerklastenausgleichs Im ersten Schritt muss der Netzwerklastenausgleich aktiviert werden. Dabei muss festgelegt werden, für welche Netzwerke NLB konfiguriert werden soll. 1. Markieren Sie im jeweiligen Array unter Konfiguration das Objekt Netzwerke, und wählen Sie im Aufgabenfenster den Menüpunkt Netzwerklastenausgleichs- Integration aktivieren. 2. Wählen Sie die Netzwerke aus, für die NLB aktiviert werden soll, und weisen Sie jedem Netzwerk eine virtuelle IP-Adresse zu.

554 13 Konfiguration der Enterprise Edition Abbildung 13.33 Netzwerklastenausgleich aktivieren 3. Schließen Sie den Assistenten ab, und starten Sie bei Aufforderung die ISA Server- Dienste neu. Warten Sie anschließend, bis alle Array-Mitglieder für NLB konfiguriert sind. Das kann je nach Umgebung einige Zeit in Anspruch nehmen. Prüfen Sie den Fortschritt der Konfiguration, indem Sie im Abschnitt Überwachung des jeweiligen Arrays über den Reiter Dienste prüfen, ob der Netzwerklastenausgleichsdienst auf allen Mitgliedern ausgeführt wird. Abbildung 13.34 Überwachung der Netzwerklastenausgleichsdienste 13.7.3.2 Virtuelle IP-Adressen verwalten Mit Hilfe des Assistenten haben Sie denjenigen Netzwerken, die für den Netzwerklastenausgleich aktiviert worden sind, eine virtuelle IP-Adresse zugewiesen. Diese Adresse wird künftig verwendet, um Anfragen über die vorhandenen, aktiven Mitglieder zu verteilen. Möglicherweise benötigen Sie zusätzliche IP-Adressen oder möchten die bestehende Adresse ändern. Gehen Sie wie folgt vor, um virtuelle IP-Adressen zu verwalten: 1. Zeigen Sie die Eigenschaften eines Netzwerks an, das für den Netzwerklastenausgleich aktiviert worden ist.

13.7 Netzwerklastenausgleich 555 2. Wechseln Sie zum Reiter Netzwerklastenausgleich. Prüfen Sie, ob NLB für dieses Netzwerk aktiviert ist und welche virtuelle IP-Adresse für das Ansprechen des Arrays verwendet wird. Bei Bedarf kann die IP-Adresse geändert werden. Abbildung 13.35 Virtuelle IP-Adresse in der ISA Server-Verwaltung 3. Um einem Netzwerk weitere virtuelle IP-Adressen zuzuweisen, müssen Sie dies direkt über die Netzwerkschnittstellenkonfiguration der einzelnen Array-Mitglieder tun. Zeigen Sie dazu auf den Array-Mitgliedern die Eigenschaften der jeweiligen Netzwerkschnittstellen an (in den Netzwerkverbindungen der Systemsteuerung). Prüfen Sie, ob der Netzwerklastenausgleich auch hier aktiv ist (wurde durch den NLB-Assistenten von ISA Server automatisch konfiguriert), und zeigen Sie anschließend die Eigenschaften des TCP/IP-Protokolls an. Über die erweiterten Einstellungen können Sie sehen, dass der Assistent die virtuelle IP-Adresse als sekundäre IP-Adresse eingetragen hat (auf jedem Array-Mitglied die gleiche). Fügen Sie nach Belieben weitere virtuelle IP- Adressen hinzu. Sie brauchen dabei keine Angst vor IP-Konflikten zu haben: Bei aktivierten Netzwerklastenausgleich werden diese IP-Adressen automatisch als virtuell eingestuft und daher dem NLB-Cluster zugewiesen.

556 13 Konfiguration der Enterprise Edition Abbildung 13.36 Zusätzliche virtuelle IP-Adressen Ab diesem Zeitpunkt wird für die Kommunikation mit dem ISA Server-Array ausschließlich mit den virtuellen IP-Adressen gearbeitet. Beispielsweise sollten SecureNAT-Clients im internen Netzwerk als Gateway ab diesem Zeitpunkt die virtuelle IP-Adresse des Array- Netzwerks Intern, anstatt die dedizierte IP-Adresse eines der Mitglieder zu verwenden. Falls ein Mitglied ausfällt, werden Anfragen weiterhin bearbeitet, indem die Weiterleitung an die virtuelle IP-Adresse von einem der noch aktiven Mitglieder des Arrays verarbeitet wird. Auch für Veröffentlichungen wird ab jetzt die virtuelle Adresse des Netzwerks Extern verwendet. 13.8 Cache Array Routing Protocol (CARP) Wie bereites im Kapitel Einführung in die Enterprise Edition beschrieben, handelt es sich bei CARP um einen Algorithmus, der ein intelligentes, verteiltes Zwischenspeichern von Webobjekten ermöglicht. Bevor CARP aber aktiviert werden kann, muss die Zwischenspeicherung aktiviert werden. 1. Starten Sie die ISA Server-Verwaltung, und markieren Sie im Abschnitt Konfiguration das Objekt Cache. 2. Aktivieren Sie die Zwischenspeicherung für die jeweiligen Array-Mitglieder. Das Aktivieren muss dabei auf allen Array-Mitgliedern separat vorgenommen werden.