メインコンテンツまでスキップ

HA ルーター向け NAT44 セッション同期

NAT44SessionSync が active router の conntrack SNAT entry を dump し、SSH restore し、insert failure を standby status に出す流れ

NAT44SessionSync は、LAN 側ゲートウェイの役割を共有する 2 台の routerd ノードで、active ノードの NAT44 conntrack セッションを standby ノードへ同期するためのリソースです。開始時に一度だけ snapshot を復元し、その後は conntrack イベントを差分として各ターゲットに反映します。

通常は spec.when で active ノードだけが動くようにします。VRRP 構成では ローカル VirtualAddress の role を条件にするのが基本です。

対象 NAT rule を同期する​

同期したい SNAT アドレスを持つ NAT rule を参照します。動的 SNAT アドレスは NAT44Rule の status から読みます。そのため、session sync が active になる 前に NAT44 コントローラーが snatAddress を解決している必要があります。

- apiVersion: net.routerd.net/v1alpha1
  kind: NAT44SessionSync
  metadata:
    name: dslite-abc-sessions
  spec:
    mode: event-stream
    natRules:
      - NAT44Rule/lan-to-dslite-a
      - NAT44Rule/lan-to-dslite-b
      - NAT44Rule/lan-to-dslite-c
    excludeNatRules:
      - NAT44Rule/lan-to-dslite-ra
    targets:
      - name: standby
        host: routerd-standby.lan.example
        user: routerd
        restoreCommand: [sudo, conntrack]
    when:
      state:
        VirtualAddress/lan-vip.role:
          equals: master

アドレスが固定であれば、snatAddresses で直接指定できます。

spec:
  snatAddresses: [192.0.0.2, 192.0.0.3, 192.0.0.4]

復元の仕組み​

コントローラーは以下を実行します。

conntrack --dump -o extended -n <snat-address>

extended 出力には conntrack mark が含まれます。routerd は各行を delete-then-insert の復元スクリプトへ変換し、SSH 経由でターゲットに送ります。 既存フローを同じ出口経路に残すには ct mark の維持が重要です。

restoreCommand の既定値は [conntrack] です。ターゲット側のユーザーに権限昇格が必要な場合は [sudo, conntrack] を指定します。

イベントストリーム方式​

spec.mode: event-stream は、開始時に 1 回だけ snapshot を復元した後、 conntrack -E -o extended で受け取る NEW、UPDATE、DESTROY を差分として standby へ反映します。イベントは最大 5 秒または 512 件でバッチ化されます。 ストリームまたは接続が切れた場合は、再接続前に再度 snapshot を復元します。

SSH の接続確立を再利用するには、target の sshOptions に OpenSSH の ControlMaster、ControlPersist、ControlPath を指定します。

spec:
  mode: event-stream
  natRules:
    - NAT44Rule/lan-to-dslite-a
  targets:
    - name: standby
      host: routerd-standby.lan.example
      user: root
      sshOptions:
        - -o
        - ControlMaster=auto
        - -o
        - ControlPersist=yes
        - -o
        - ControlPath=/run/routerd/nat44-session-sync-%C

routerctl describe NAT44SessionSync/<name> の streamState: running、 lastResyncAt、lastEventAt、lastBatchAt を確認します。resyncCount は 開始時およびストリームの再接続後に増加します。

確認する​

routerctl describe NAT44SessionSync/dslite-abc-sessions
routerd serve --controllers nat44-session-sync --config router.yaml

spec.when が false の間は Pending / WhenFalse になります。参照した NAT44Rule がまだ snatAddress を解決していない場合は、Pending / SNATAddressPending になります。