H3C EIA典型配置举例-5W136

35-H3C EIA异地容灾典型配置举例

H3C EIA异地容灾

典型配置举例

资料版本：5W136-20260704

产品版本：EIA (E7202)

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

1 概述

在数字化时代，业务连续性和数据安全是企业核心竞争力的重要保障。EIA（Endpoint Intelligent Access，终端智能接入）异地容灾方案通过建立地理隔离的冗余备份系统，确保在主生产中心因自然灾害、系统故障或突发公共事件导致服务中断时，能够及时接管业务，实现关键数据与应用的快速恢复。这种方案提高了系统可靠性，确保了认证服务的连续性和用户数据的安全性。

1.1 主要特点

EIA异地容灾特性旨在通过部署两套集群和相应的配置，实现高可用性和灾难恢复能力。主要特点包括：

· 多中心冗余部署：支持单机容灾和集群容灾，确保集群内部单个节点故障或整个集群故障时业务的连续性。

· 智能倒换机制：提供手动和自动倒换选项，根据需要手动切换到容灾集群，或者在检测到故障时自动触发倒换。

· 全协议兼容：支持IPv4、IPv6以及双栈，确保网络的灵活性和扩展性。

· 无缝业务接管：在倒换过程中和倒换后，支持用户认证不中断，确保安全性和隐私性。

· 数据实时同步：保证容灾集群与主集群之间的数据一致性，满足数据安全要求。

1.2 核心价值

· 风险分散：避免单一地域故障引发的业务全面瘫痪，尤其防范地震、洪水、电力瘫痪等区域性灾难。

· 数据零丢失：通过实时/准实时同步技术（如存储复制、数据库日志同步），保障数据一致性。

· 合规达标：满足金融、医疗等行业对数据留存和容灾等级的强制性监管要求。

· 快速恢复：基于健康检测秒级切换，业务无感知，确保关键服务连续性。

2 使用指南

2.1 典型应用场景

异地容灾在准入认证系统中的应用场景包括：

· 大型企业的员工认证：跨国企业需要确保全球员工可以随时访问内部系统，即使在某个数据中心发生故障时，认证服务也不受影响。

· 金融机构客户认证：银行和证券公司需要持续的客户认证服务，以防止因系统中断导致的交易失败和金融损失。

· 政府服务平台：政府部门提供的在线公共服务平台需要确保认证系统的高可用性，以便在突发事件中仍能为市民提供服务。

· 教育机构的在线学习平台：教育平台需要保障学生和教师的访问权限，即使在灾难情况下，认证服务也保持可用，确保教学活动的连续性。

2.2 容灾切换方式介绍

异地容灾方案提供故障探测机制和仲裁服务。在原有集群基础上，额外增加一套相同的物理服务器，作为备份集群。容灾系统会探测原有主用集群是否出现故障，包括节点故障、链路故障以及服务故障。

通过心跳链路可以监测到原有主用集群是否发生故障。当原有主用集群出现故障时，通过手动或自动倒换方式，系统能够快速无缝地切换到备用集群上，备用集群升级为主用集群继续提供服务。

1. 手动倒换模式

手动倒换模式下，如果一个站点发生故障，需要用户手动干预触发倒换。

· 如果是地震或机房停电故障，导致原来的主用站点不可用，导致心跳状态发生异常时，需要用户登录到备用站点的容灾管理页面，单击“接管”进行升主。

· 如果主用站点仍可以对外提供业务服务，仅和备用站点之间的心跳链路故障，则请先修复故障的心跳链路，然后在容灾页面观察两个站点的数据同步状态。

· 如果两个站点之间的心跳正常，但主用站点无法正常对外提供业务服务，需要登录到主用站点单击“降备”。

手动倒换模式下，如果“降备”操作失败，会出现脑裂问题，需要人工干预进行修复，因此建议采用带仲裁的自动倒换模式。

图2-1 手动倒换模式的容灾系统示意图

2. 自动倒换模式

自动倒换模式要求在主备之外的第三地部署仲裁服务，作为自动倒换的仲裁器。它的功能是在整个容灾系统中出现某个节点或者网络异常时，判断和仲裁是否需要进行自动倒换。仲裁器会根据主备心跳状态和容灾网络两个因素来进行仲裁和判断：

· 主备站点内的仲裁服务都会每隔30秒上报自身站点状态。如果在60秒内没有刷新自身站点状态，则仲裁器认为该站点故障。此时仲裁器通过备用站点进一步探测主用站点是否对外网络全部故障。如果主用站点和仲裁器，以及主用站点和备用各站点的网络都不可达，则认为需要进行容灾倒换。主用站点发生地震、停电等故障时，属于这种场景。从感知故障到启动切换，大约需要90秒。

· 自动倒换模式下，容灾系统还提供业务健康度探测机制。主用站点每隔6秒探测一次本站点内业务健康度，连续15次探测均为业务异常（累计90秒），认为站点内业务故障。此时主用站点会将业务故障状态同步到仲裁器，由仲裁器决定是否触发自动倒换。主用站点没有发生地震、停电等站点级别故障，但是业务服务持续故障时，属于这种场景。

图2-2 自动倒换模式的容灾系统示意图

3 配置举例（手动倒换）

3.1 组网需求

图3-1 组网图

本组网中各部分使用的版本信息如下：

· 统一数字底盘版本：E7202

· EIA版本：E7202

· 接入设备：H3C S5560X-54C-EI-6652P02

· iNode版本：E0644及以上版本

表3-1 手动倒换容灾系统IP地址规划

分类	IP规划	说明
NTP服务器IP	172.10.51.40	外置NTP服务器
EIA主系统IP	172.10.51.41	主集群北向业务虚IP
EIA备系统IP	172.10.51.42	备集群北向业务虚IP
容灾虚IP	172.10.51.43	EIA容灾系统容灾虚IP地址
接入设备IP	172.10.45.3	接入设备管理IP地址
接入设备IP	108.108.108.1	接入设备公网IP地址，接入设备上配置的VLAN ID以108为例，接口以GigabitEthernet1/0/16为例

非多子网的场景下，主备集群的北向业务虚IP与容灾虚IP需配置为同网段地址，并确保网络路由可达。

3.2 配置步骤

使用手动倒换的配置流程及内容如下表所示。

表3-2 手动倒换容灾配置步骤说明

步骤	配置流程	配置子流程	说明
1	创建容灾系统	主/备环境搭建	搭建两套EIA环境，分别作为主、备环境
1	创建容灾系统	创建容灾系统	创建EIA容灾系统
2	认证业务配置	认证业务配置-802.1X认证	可选，802.1X认证是指通过802.1X协议进行用户身份验证，不包含任何接入控制和安全检查，仅进行身份验证
		认证业务配置-Portal认证	可选，Portal认证是一种基于Web的轻量级网络接入认证方式，主要用于访客或员工临时接入网络时的身份核验。通用Portal认证，不包含任何接入控制和安全检查。用户身份验证成功后便可接入网络
		认证业务配置-哑终端认证	可选，哑终端是指无法手工控制其发起认证的网络终端，常见的哑终端包括IP电话、打印机等

本手册以部分认证业务类型为例介绍异地容灾的典型配置方案。如需了解其他认证类型的配置方法，请参见对应的认证配置手册。

3.2.2 主/备环境搭建

搭建两套EIA环境，要求两套环境部署的组件版本、组件数量、系统架构完全一致，并且部署的应用包必须含有统一数字底盘的BMP_Extension包。其他部署要求如下：

· 主备站点的Matrix的service地址池、pod地址池不能冲突，主备站点IP必须是可达的。

· 主备站点的CPU架构必须一致，例如都是x86。

· 主备站点的Matrix架构必须一致，例如都是Matrix单机或都是Matrix集群。

· 主备站点的NTP Server必须一致：

¡ 主备站点配置为相同的外置服务器。

¡ 主站点或备站点配置为内置服务器，另一站点配置为外置服务器，并且外置NTP服务器地址需配置为对端的北向业务虚IP。

· 主备站点的协议族必须一致，例如都是IPv4、或者都是IPv6、或者都是双栈。

本文档以已完成两套环境的搭建为例，进行后续配置介绍。具体部署内容可参见EIA部署指导手册和统一数字底盘部署指导手册。

3.2.3 创建容灾系统

(1) 登录EIA主集群环境，在浏览器中输入统一数字底盘的登录地址“http://ip_address:30000”，其中“ip_address”为北向业务虚IP（默认用户名为admin，密码为Pwd@12345），进入[系统>应急管理>异地容灾]页面。输入异地容灾相关配置，必须勾选“异地容灾系统虚IP配置”，其他配置可参见联机帮助。

参数说明：

¡ 主/备站点IP地址：主/备站点统一数字底盘北向业务虚IP。

¡ 备站点的用户名及密码：必须与当前登录的主站点相同。站点密码最长32个字符；站点用户名有效长度为2~32个字符，只能包含字母、数字、“_”、“-”、“.”、“\”，不区分大小写。

¡ 倒换模式：本例选择“手动倒换”。

¡ 异地容灾系统虚IP：异地容灾系统提供用于业务对接的统一公共虚IP，使用该IP只会连接到当前异地容灾系统的主用站点。

图3-2 异地容灾

(2) 参数配置完成后，单击<连接>按钮，先进行创建前检查和授权检查，检查通过后进入到“创建中”状态，页面显示进度条。

图3-3 容灾创建页面

(3) 创建容灾完成。容灾系统创建完成后，页面展示对端的容灾状态。

图3-4 容灾创建完成

3.2.4 认证业务配置-802.1X认证

若认证业务采用802.1X认证方式，请参见本章节的配置步骤进行操作，以确保终端设备能够正常接入网络并完成认证。

配置流程及内容如下表所示。

表3-3 配置步骤说明

步骤	配置流程	说明
1	增加接入设备	建立EIA服务器与接入设备的联动关系
2	增加接入策略	接入策略是用户使用网络必须符合的要求，配置一个不进行任何接入控制的接入策略
3	增加接入服务	接入服务是对用户进行认证授权的各种策略的集合
4	增加接入用户	接入用户是用户接入网络时使用的身份凭证，包含账号名、密码和使用的服务等信息
5	接入设备配置	接入设备用于控制用户的接入。通过认证的用户可以接入网络，未通过认证的用户无法接入网络

2. 增加接入设备

(1) 通过EIA容灾虚IP地址登录EIA环境，在浏览器中输入登录地址“http://ip_address:30000”，其中“ip_address”为容灾虚IP地址。

(2) 进入[自动化>网络准入>准入管理>接入设备>设备配置]页面，单击<增加>按钮增加接入设备。

(3) 单击<增加IPv4设备>按钮，在弹框中输入设备相关信息，本例接入设备地址为172.10.45.3，添加后单击<确定>按钮。

图3-5 增加接入设备

表3-4 参数说明

参数	说明
认证端口	EIA监听RADIUS认证报文的端口。此处的配置必须与接入设备命令行配置的认证端口保持一致，EIA和接入设备一般采用默认端口1812
计费端口	EIA监听RADIUS计费报文的端口。此处的配置必须与接入设备命令行配置的计费端口保持一致，EIA和接入设备一般采用默认端口1813
业务类型	选择设备承载业务，包括不限和设备管理业务
接入设备类型	选择接入设备厂商和类型，包括Standard、预定义和自定义类型
业务分组	选择接入设备所属业务分组，便于分权管理
共享密钥/确认共享密钥	输入两次相同共享密钥，需与接入设备配置的共享密钥一致
接入位置分组	选择接入设备需加入的接入位置分组，是区分终端用户接入的条件之一
设备IP地址	· 如果在接入设备上配置RADIUS scheme时配置了nas ip命令，则EIA中接入设备的IP地址必须与nas ip的配置保持一致 · 如果未配置nas ip命令，则EIA中接入设备的IP地址必须是设备连接EIA服务器的接口IP地址（或接口所在VLAN的虚接口IP地址）

(4) 配置完成后，单击<确定>按钮，接入设备增加成功。

3. 增加接入策略

配置一个不进行任何接入控制的接入策略，方法如下：

(1) 单击导航树中的[自动化>网络准入>准入管理>接入服务>接入策略]菜单项，进入接入策略页面。

图3-6 接入策略列表

(2) 单击<增加>按钮，进入增加接入策略页面。由于不进行任何接入控制，因此只需输入接入策略名，本例以“Access Permit”为例，其他参数均保持为默认即可。

图3-7 增加接入策略

(3) 单击<确定>按钮，接入策略增加完毕。返回接入策略页面，可在接入策略列表中查看新增的接入策略。

4. 增加接入服务

接入服务是对用户进行认证授权的各种策略的集合。本例不对用户进行任何接入控制，因此只需增加一个简单的接入服务即可。

增加接入服务的方法如下：

(1) 单击导航树中的[自动化>网络准入>准入管理>接入服务]菜单项，进入接入服务页面。

图3-8 进入接入服务列表

(2) 单击<增加>按钮，进入增加接入服务页面，配置服务名、服务后缀、缺省接入策略，其他参数保持默认。

图3-9 增加接入服务页面

配置服务的各个参数：

¡ 服务名：输入服务名称，在EIA中必须唯一，本例以“802.1X Service”为例。

¡ 服务后缀：服务后缀、认证连接的用户名、设备的Domain和设备Radius scheme中的命令这四个要素密切相关，具体的搭配关系请参见表3-5，本例以“391”为例。

¡ 缺省接入策略：选择之前新增的接入策略，本例以“Access Permit”为例。

¡ 安全组：选择的安全组。

¡ 安全子组：选择的安全子组。

¡ 缺省私有属性下发策略：不受接入位置分组限制的用户上网时，EIA会根据本参数指定的策略将私有属性下发到此用户连接的接入设备上。

¡ 缺省单账号最大绑定终端数：接入用户的接入场景与服务中的接入场景均不匹配时，用户受到缺省单账号最大绑定终端数的控制。该参数只有在部署了EIP组件后才会显示。

- 匹配的接入场景：EIA检查该场景中用户已经绑定的终端数量是否已达到数量限制，如果已达到数量限制，则拒绝用户认证；

- 所有服务中包含的场景：检查用户申请的所有服务中（包括服务中的所有场景）已绑定的终端数量，如果用户绑定的所有终端数量已达到终端管理参数中定义的“单账号最大绑定终端数”数量限制，则EIA拒绝用户认证，否则允许用户继续认证。

¡ 缺省单账号在线数量限制：接入用户的接入场景与服务中的接入场景均不匹配时，用户受到缺省单账号在线数量限制的控制。

¡ 单日累计在线最长时间（分钟）：每天允许账号使用该服务接入网络的总时长，达到该时长后，账号将被强制下线，且当日不能再次接入。该参数单位是分钟，只支持输入整数，最小值是0，表示不限制每天在线时长，最大值是1440。

¡ 服务描述：针对该服务的简单描述，以方便操作员的日常维护。

表3-5 EIA中服务后缀的选择

认证连接用户名	设备用于认证的Domain	设备Radius scheme中的命令	EIA中服务的后缀
X@Y	Y	user-name-format with-domain	Y
X@Y	Y	user-name-format without-domain	无后缀
X	[Default Domain] 设备上指定的缺省域	user-name-format with-domain	[Default Domain]
X	[Default Domain] 设备上指定的缺省域	user-name-format without-domain	无后缀

(3) 单击<确定>按钮，接入服务添加完成。返回接入服务页面，可在接入服务列表中查看新增的接入服务。

5. 增加接入用户

接入用户是用户接入网络时使用的身份凭证，包含账号名、密码和使用的服务等信息。请分别创建账号名user1和user2的接入用户。

增加接入用户的方法如下：

(1) 单击导航树中的[自动化>网络准入>准入管理>接入用户]菜单项，进入接入用户页面。

图3-10 接入用户页面

(2) 单击<增加>按钮，进入增加接入用户页面，如下图所示。

图3-11 增加接入用户页面

参数说明：

¡ 用户姓名、证件号码：用户的姓名及证件号码。

¡ 账号名：唯一标识账号用户的名称，用户使用该名称申请和使用服务，该名称不能与已有名称相同，不能包含如下特殊字符：#+/?%&=*'@\"[]()<>`和TAB键，且最大长度为200字符。

¡ 密码/确认密码：输入两次相同的密码。

¡ 接入服务：选择上一步增加的接入服务，本例为“802.1X Service”。

¡ 其他参数：保持默认值。

(3) 单击<确定>按钮，接入用户增加完毕。返回接入用户页面，可在接入用户列表中查看新增的接入用户。

6. 接入设备配置

接入设备配置主Radius服务器为容灾系统虚IP，备Radius服务器分别为容灾系统两套集群的北向IP。

· Primary Radius服务器：设定为172.10.51.43（容灾系统虚IP）

· Secondary Radius服务器：

¡ 第一备份设定为172.10.51.41（EIA主集群的北向业务虚IP）

¡ 第二备份设定为172.10.51.42（EIA备集群的北向业务虚IP）

若接入设备不支持配置多个Secondary IP地址，仅配置了Primary IP地址，则倒换过程中会出现短时间新用户无法上线、老用户掉线的异常情况。

<H3C>system-view

//创建并进入RADIUS认证方案视图

[H3C] radius scheme roam

//添加方案描述信息

[H3C-radius-roam] description "RADIUS scheme for roaming authentication"

//认证、计费服务器都指向EIA，认证、计费端口与EIA增加接入设备中增加接入设备时的配置保持一致。

//配置主认证服务器IP和端口

[H3C-radius-roam] primary authentication 172.10.51.43 1812

//配置主计费服务器IP和端口

[H3C-radius-roam] primary accounting 172.10.51.43 1813

//配置第一备用认证服务器IP和端口

[H3C-radius-roam] secondary authentication 172.10.51.42 1812

//配置第二备用认证服务器IP和端口

[H3C-radius-roam] secondary authentication 172.10.51.41 1812

//配置第一备用计费服务器IP和端口

[H3C-radius-roam] secondary accounting 172.10.51.42 1813

//配置第二备用计费服务器IP和端口

[H3C-radius-roam] secondary accounting 172.10.51.41 1813

//认证、计费共享密钥与EIA增加接入设备中增加接入设备时的配置保持一致。

//配置认证密码

[H3C-radius-roam] key authentication simple movie

//配置计费密码

[H3C-radius-roam] key accounting simple movie

//指定设备发送RADIUS报文使用的源IP

[H3C-radius-roam] nas-ip 172.10.45.3

[H3C-radius-roam] quit

//创建域391，根据增加接入服务中的搭配，domain名称必须与EIA增加接入服务中服务后缀保持一致。

[H3C]domain 391

//认证、授权、计费都采用之前配置的radius scheme roam。

[H3C-isp-391]authentication lan-access radius-scheme roam

[H3C-isp-391]authorization lan-access radius-scheme roam

[H3C-isp-391]accounting lan-access radius-scheme roam

[H3C-isp-391]quit

//只有在全局和接口上都启用802.1X认证，802.1X认证才生效。

[H3C]dot1x

[H3C]interface GigabitEthernet 1/0/16

[H3C-Ethernet1/0/16] port access vlan 108

[H3C-GigabitEthernet 1/0/16]dot1x

[H3C-GigabitEthernet 1/0/16]dot1x mandatory-domain 391

[H3C-GigabitEthernet 1/0/16]quit

//802.1X的认证方式包括PAP、CHAP和EAP。如果进行证书认证，则必须设置为EAP。

[H3C]dot1x authentication-method chap