Paramétrage de VRRP et HSB pour la redondance des contrôleurs d'accès

La mise en place d'une architecture hautement disponible pour les contrôleurs d'accès sans fil (AC) en mode FIT AP repose sur la combinaison de VRRP (Virtual Router Redundancy Protocol) pour la redondance de passerelle et de HSB (Hot Standby Backup) pour la synchronisation des états de session. Voici le détail de la configuration sur le contrôleur principal (AC-Primaire).

1. Configuration du délai de récupération VRRP

Afin d'éviter les basculements intempestifs lors de redémarrages planifiés ou de micro-coupures, il est recommandé d'ajuster le temporisateur de récupération de l'état VRRP.

# Définir le délai de récupération de l'état VRRP à 90 secondes.
vrrp recover-delay 90

2. Création du groupe VRRP d'administration

Sur l'AC-Primaire, nous configurons l'interface VLAN de gestion pour héberger le groupe VRRP. Ce groupe servira de référence pour le basculement des rôles HSB.

interface Vlanif200
 ip address 192.168.200.11 255.255.255.0
 vrrp vrid 5 virtual-ip 192.168.200.10
 admin-vrrp vrid 5
 vrrp vrid 5 priority 150
 vrrp vrid 5 preempt-mode timer delay 200

Remarques sur la préemption :

• Le délai de préemption définit le temps d'attente avant qu'un nœud de secours (Backup) ne prenne le rôle de maître (Master). Cette temporisation ne s'applique pas au propriétaire légitime de l'adresse IP ; lors de son rétablissement, ce dernier reprend immédiatement son rôle sans attendre.
• L'ajustement de ce délai dépend de la stabilité du réseau sous-jacent. Un réseau stable tolère un délai court pour minimiser la perte de paquets, tandis qu'un réseau instable nécessite un délai plus long pour empêcher l'oscillation des états VRRP (flapping).

3. Initialisation du service de secours à chaud (HSB)

Le service HSB assure le transport des données de synchronisation entre les deux contrôleurs. Nous définissons ici les adresses IP de communication, les ports UDP et les paramètres de maintien de connexion (Keepalive).

hsb-service 0
 service-ip-port local-ip 10.10.50.1 peer-ip 10.10.50.2 local-data-port 10255 peer-data-port 10255
 service-keep-alive detect retransmit 5 interval 5

4. Liaison du groupe HSB avec VRRP

Le groupe HSB doit être explicitement lié au service HSB précédemment créé ainsi qu'au groupe VRRP d'administration pour garantir que les basculements de rôles soient synchronisés.

hsb-group 0
 track vrrp vrid 5 interface Vlanif200
 bind-service 0
 hsb enable

5. Association des services métiers au groupe HSB

Pour que les données des utilisateurs, des points d'accès et des baux DHCP soient répliquées vers le contrôleur de secours, il faut associer ces modules au groupe HSB.

# Synchronisation des sessions d'authentification (NAC)
hsb-service-type access-user hsb-group 0

# Synchronisation de l'état des points d'accès (WLAN)
hsb-service-type ap hsb-group 0

# Synchronisation de la base de données DHCP
hsb-service-type dhcp hsb-group 0

Note : La configuration sur le contrôleur secondaire (AC-Secondaire) est symétrique, en inversant les adresses IP locales et distantes, et en ajustant la priorité VRRP (par exemple, 100). Lorsqu'un AP est à l'état "normal" sur l'AC-Primaire, il apparaît à l'état "standby" sur l'AC-Secondaire.

Validation et tests de bascule

Vérification de l'état VRRP

La commande de diagnostic VRRP permet de confirmer que l'AC-Primaire a bien pris le rôle de maître pour le groupe virtuel.

<AC-Primaire> display vrrp 
  Vlanif200 | Virtual Router 5
    State : Master
    Virtual IP : 192.168.200.10
    Master IP : 192.168.200.11
    PriorityRun : 150
    PriorityConfig : 150
    MasterPriority : 150
    Preempt : YES   Delay Time : 200 s
    TimerRun : 2 s
    TimerConfig : 2 s
    Auth type : NONE
    Virtual MAC : 0000-5e00-0105
    Config type : admin-vrrp
    Backup-forward : disabled
    SysHealth state : UP

Validation du tunnel HSB

Le statut du service HSB doit indiquer "Connected" pour confirmer que le canal de synchronisation est opérationnel.

<AC-Primaire> display hsb-service 0
Hot Standby Service Information:
----------------------------------------------------------
  Local IP Address       : 10.10.50.1
  Peer IP Address        : 10.10.50.2
  Source Port            : 10255
  Destination Port       : 10255
  Keep Alive Times       : 5
  Keep Alive Interval    : 5
  Service State          : Connected
  Service Batch Modules  : 
----------------------------------------------------------

Contrôle du groupe de synchronisation

Cette commande vérifie que les modules métiers sont correctement intégrés au processus de réplication en temps réel.

<AC-Primaire> display hsb-group 0
Hot Standby Group Information:
----------------------------------------------------------
  HSB-group ID                : 0
  Vrrp Group ID               : 5
  Vrrp Interface              : Vlanif200
  Service Index               : 0
  Group Vrrp Status           : Master
  Group Status                : Active
  Group Backup Process        : Realtime
  Peer Group Device Name      : AirEngine9700-M1
  Group Backup Modules        : Access-user
                                DHCP
                                AP
----------------------------------------------------------

Simulation de défaillance et test de résilience

Pour valider l'architecture en conditions réelles, un redémarrage forcé de l'AC-Primaire est effectué. Dès que la liaison entre les points d'accès et le contrôleur principal est rompue, l'AC-Secondaire détecte la perte du VRRP Master et prend le relais. Les équipements clients (STA) ne subissent aucune interruption de service majeure, et les AP basculent leur état de "standby" à "normal" sur le nouveau contrôleur actif.

Une fois l'AC-Primaire redémarré et ses services rétablis, le mécanisme de préemption VRRP se déclenche après l'expiration du délai configuré. Le rôle de maître est restitué à l'AC-Primaire, et les points d'accès se reconnectent automatiquement à leur contrôleur d'origine.