3.9 クラスタリング

クラスタリングの必要性

一般に「クラスタリング」処理とは、1 台のコンピュータでは処理を行うことが困難な、大量の処理を複数台のコンピュータによって負荷分散しながら処理することができ、またユーザーから見ると全体が 1 つのシステムとして認識されているので、バックグラウンドで複数台のコンピュータによる連携処理が行われていることを意識する必要がないような処理方法のことを意味します。

SoftEther VPN Server におけるクラスタリング機能では、複数台の VPN Server コンピュータを 1 つのクラスタとしてまとめて稼動させることにより、通常 1 台ごとのコンピュータでは処理を行うことができないような大量の処理内容を、全体で処理させることができます。

SoftEther VPN Server におけるクラスタリング機能の目的

SoftEther VPN Server のクラスタリング機能は、下記のような 2 種類のネットワーク、または両方を複合したネットワークを構築するために、設計および実装されています。その他の目的 (たとえばクラスタノード自体を離れた場所に分散させて自律的に稼動させるなど) のために、設計または実装されたものではありません。

• 1 台の VPN Server ですべての同時接続を処理することが困難な「大規模なリモートアクセス VPN サービス」の構築 (詳しくは 「10.8 大規模なリモートアクセス VPN サービスの構築」 をお読みください)。
• 1 台の VPN Server で、すべての仮想 HUB および同時接続を処理することが困難な、「大規模な仮想 HUB ホスティングサービス」の構築 (詳しくは 「10.9 大規模な仮想 HUB ホスティングサービスの構築」 をお読みください)。

クラスタリング機能の概要

複数台の VPN Server でクラスタを構成する場合は、それらのコンピュータの内 1 台を「クラスタコントローラ」モードで動作させ、それ以外のコンピュータをクラスタコントローラに対してクラスタ接続して動作する「クラスタメンバサーバー」として動作させることになります 。VPN Server をインストールした直後の初期状態では VPN Server は「スタンドアロンサーバー」モードで動作しており、クラスタは構成されていません。

クラスタリングによって、下記のことを実現することができます。

• 大量の VPN 接続を処理する必要のある環境において、複数台の VPN Server で負荷分散を行いながら、1 台の VPN Server では処理できなかったり、すべて処理するとパフォーマンスに深刻な影響がでるような処理を全体としてうまく処理することが可能です。
• クラスタ内で動作するクラスタメンバサーバーが、ハードウェアのトラブルやソフトウェアのアップデートなどによって一時的に停止した場合は、そのクラスタメンバサーバーが行うべき処理は、自動的に別のクラスタメンバサーバーに引き継がれます。したがって、個々のサーバーはある程度の長期間運用で故障する可能性はありますが、全体としてはほぼ 「無停止状態」で運用を継続することができます。
• クラスタ内で仮想 HUB を動作させる際に、その目的に応じて動作モードとして「スタティック仮想 HUB」と「ダイナミック仮想 HUB」のどちらかを選択することができます。
• VPN Server 全体の管理者や仮想 HUB の管理者は、各クラスタメンバサーバーの存在を意識することなく、クラスタコントローラにのみ接続して、すべてのクラスタメンバサーバーを簡単に管理することができます。

前提条件

各 VPN Server は、できるだけ「遅延が小さくスループットの高いネットワーク」で接続されていることを推奨します。通常、クラスタを組む場合は、それぞれのサーバーを同一の場所にまとめて設置します 。そのような場合では、すべてのクラスタメンバサーバーが、クラスタコントローラに対して「ルータを経由せずに同一セグメントで直接接続している状態」が最も望ましいと言えます。なお 、パフォーマンスは落ちますが、ルータなどを経由して離れた場所にクラスタコントローラやクラスタメンバサーバを設置することも技術的には可能です。いずれの場合においても、クラスタコントローラは他のすべてのクラスタメンバサーバーから 「TCP/IP プロトコルで通信可能な場所」に設置されている必要があります。

クラスタコントローラとクラスタメンバサーバー間の接続方法

クラスタコントローラとは

「クラスタコントローラ」は、クラスタ全体の中心となるコンピュータです。クラスタを構築した場合に、「クラスタの代表」となるコンピュータがクラスタコントローラであり、クラスタに対して接続しようとする VPN Client や VPN Server / VPN Bridge などは、接続先 IP アドレスまたはホスト名としてクラスタコントローラの IP アドレスまたはホスト名を指定することになります。

クラスタコントローラによる負荷分散処理の概要

クラスタコントローラは、VPN 接続元コンピュータからの VPN 接続を受け付けると、通常の VPN 接続を処理する場合と同様に「ユーザー認証処理」を行います。ユーザー認証に成功した場合は、次にその接続をどのクラスタメンバサーバーに対して処理させるのかを自動的に選択し、そのクラスタメンバサーバーに対して接続をリダイレクションすることによって負荷分散を実現します。クラスタコントローラとなる VPN Server 自体も負荷分散先の対象となります。なお、負荷分散アルゴリズムは、各 VPN Server の負荷状況 (各 VPN Server が処理している VPN セッション数の合計数) を比較することによって新しく接続された VPN セッションの割り当て先を自動的に決定します。その際、クラスタメンバ一覧の「ポイント」という「整数値」を使用します。また、事前に、クラスタコントローラおよび各クラスタメンバサーバーの設定項目として 、[クラスタ内での性能基準比] を設定しておくことによって、手動で負荷分散のためのパラメータを調整することが可能です。

ここで解説した負荷分散処理は概要であり、実際には VPN 接続が行われた先の仮想 HUB の種類によってより細やかな制御が行われます。詳しくは、3.9.7 および 3.9.8 をお読みください。

VPN Server をクラスタコントローラに設定する方法

VPN Server のデフォルトの動作モードは「スタンドアロンサーバー」です。この動作モードを「クラスタコントローラ」に変更することによって、VPN Server をクラスタコントローラモードで動作させることができます。なお、この設定を含めて、すべてのクラスタリング関係の設定は「VPN Server 全体の管理者」しか行うことができません。

VPN Server をクラスタコントローラモードに設定するには、「VPN サーバー管理マネージャ」で [クラスタリング構成] ボタンをクリックすると表示される [クラスタリング構成] ダイアログで、[クラスタコントローラ] を選択して [OK] をクリックします。「vpncmd」では、「ClusterSettingController」コマンドが使用できます。

クラスタリング構成設定画面

仮想 HUB の作成や管理

クラスタリング環境の VPN Server では、仮想 HUB はクラスタコントローラに対して作成します。クラスタメンバサーバーは、必要な場合にクラスタコントローラからの指示によって一時的に仮想 HUB のインスタンスを作成しますが、クラスタメンバサーバーに対して直接仮想 HUB を作成する必要はありません。3.9.10 でも説明しますが、クラスタリング環境では仮想 HUB の作成や 、すべての仮想 HUB に関する設定・管理はクラスタコントローラに対してのみ行うことになります。

クラスタメンバサーバーとは

「クラスタメンバサーバー」は、クラスタの構成員のうち、クラスタコントローラ以外のコンピュータのことを意味します。クラスタコントローラに対してクラスタ接続することによって、クラスタメンバサーバーは接続先クラスタコントローラの制御下に置かれ、クラスタ内での処理 を分担するようになります。

既存のクラスタにクラスタメンバサーバーを追加する場合は、クラスタコントローラの「ホスト名または IP アドレス」と「ポート番号」(クラスタコントローラが公開しているリスナーポートのうちの 1 個) 、および「管理パスワード」が必要です。

VPN Server をクラスタメンバサーバーに設定する方法

VPN Server のデフォルトの動作モードは「スタンドアロンサーバー」です。この動作モードを「クラスタメンバサーバー」に変更することによって、VPN Server を「クラスタメンバサーバー」モードで動作させることができます。

VPN Server をクラスタメンバサーバーモードに設定するには、「VPN サーバー管理マネージャ」から、[クラスタリング構成] ボタンをクリックすると表示される [クラスタリング構成] ダイアログで、[クラスタメンバサーバー] を選択して必要項目を指定してから [OK] をクリックします。「vpncmd」では「ClusterSettingMember」コマンドが使用できます。

この際に入力する必要がある項目は、下記のとおりです。

クラスタメンバモードの VPN Server によるクラスタコントローラへのクラスタ接続

クラスタメンバモードで動作する VPN Server は、クラスタコントローラに対して常に「クラスタ接続」と呼ばれる特別な制御用の TCP/IP 接続を行っています。クラスタメンバサーバーは、指定されているクラスタコントローラとの間の制御用クラスタ接続コネクションを可能な限り維持しようとします。また、もしクラスタ接続が切れてしまった場合や接続に失敗した場合は、接続に成功するまで数秒間隔で常に再試行を続けます。

クラスタメンバサーバーが、クラスタコントローラに対して正しくクラスタ接続されているかどうかを知りたい場合、「VPN サーバー管理マネージャ」でクラスタメンバサーバーに接続して [クラスタリング状態] をクリックすると、下記のような情報が表示されます。「vpncmd」では 「ClusterConnectionStatusGet」コマンドを使用することができます。

クラスタコントローラへの接続状態表示画面

クラスタコントローラに接続している VPN Server 一覧の取得と詳細情報の表示

クラスタコントローラに「VPN サーバー管理マネージャ」で接続して [クラスタリング状態] をクリックすると、そのクラスタコントローラに接続されている、すべてのクラスタコントローラおよびクラスタメンバサーバーの一覧が表示されます。「vpncmd」では 「ClusterMemberList」コマンドを使用することができます。

クラスタ内の VPN Server 一覧の管理画面

ここで一覧表として表示されている項目には下記のようなものがあります。

なお、[クラスタメンバ一覧] ダイアログの表に表示される「クラスタコントローラ」、および「各クラスタメンバの各種情報」は、クラスタコントローラによって数秒ごとに各メンバサーバーに問い合わせた結果を表示しているため、実際には最新の情報ではなく数秒前の情報である場合があります。

また、「VPN サーバー管理マネージャ」で表示されるクラスタメンバを選択して [クラスタメンバサーバーの情報を表示] をクリックすると、そのクラスタメンバサーバーの詳細情報を表示することができます。「vpncmd」では「ClusterMemberInfoGet」コマンドを使用します。

クラスタ内のメンバサーバーの状態表示画面

VPN 接続先として指定された仮想 HUB が「スタティック仮想 HUB」の場合

クラスタコントローラは、現在のすべての VPN Server のうち「ポイント」の値が最も高い VPN Server に対して接続をリダイレクトします。

なお、スタティック仮想 HUB についての詳細は、3.9.7 を参照してください。

VPN 接続先として指定された仮想 HUB が「ダイナミック仮想 HUB」の場合

下記の手順によって、リダイレクト先の VPN Server が選択されます。

1. クラスタ内のいずれかの VPN Server に、その仮想 HUB に対して接続されている VPN セッションがまだ存在しない場合は、現在のすべての VPN Server のうち「ポイント」の値が最も高い VPN Server に対して接続をリダイレクトします。
2. クラスタ内のいずれかの VPN Server に、その仮想 HUB に対して接続されている VPN セッションがすでに存在する場合は、その VPN Server に対して接続をリダイレクトします。

なお、ダイナミック仮想 HUB についての詳細は 3.9.8 を参照してください。

性能基準比による重み付け

前述のようにクラスタコントローラは、クラスタ内の VPN Server の中から「最も負荷の低いサーバーを 1 つ選択する」場合、VPN Server のうち「ポイント」の値が最も高いものを選択します。

ポイントについてはおおよそ以下の式によって決定されます。

[クラスタ内での性能基準比] の値は、通常の VPN Server の性能を「100」として、設定対象の VPN Server の性能がどの程度であるかを設定します。たとえば、2 台のサーバーがあり、それぞれ [クラスタ内での性能基準比] の値が 100 と 200 の場合は、後者の VPN サーバーは前者の VPN サーバーに比べて「2 倍の数の VPN セッションを処理することができる」ことを意味します。VPN クラスタコントローラは、おおむねここで設定された値に基づいて、全体の VPN Server が処理するべき VPN 接続セッション数を決定し、それに基づいて負荷分散を行います

クラスタコントローラ自身が VPN 通信を処理しないようにするための設定

クラスタコントローラは、VPN 接続元から接続された VPN 接続を処理する VPN Server として自分自身を選定することもあります。クラスタコントローラは、新しい VPN セッションの割り当て先 VPN Server を決定する際に、3.9.4 で解説したアルゴリズムに基づいて、クラスタ内の VPN Server の「ポイント」の値を基準に判断するため、クラスタコントローラもクラスタメンバも平等な基準によって選定されます。

しかしながら、クラスタ全体として非常に負荷が大きくなるような大量の VPN 接続数をクラスタで処理しなければならないような場合は、クラスタコントローラは、各クラスタメンバへの VPN 接続のリダイレクション処理を行わせるだけの役割を担わせることによりって、クラスタコントローラ自身の負荷を下げることができるようになっています。この設定を行うためには、VPN Server の [クラスタリングの構成] における設定項目のうち [コントローラ機能のみ (自身は VPN 通信を処理しない)] チェックボックスを有効にしてください。これにより、クラスタコントローラ自身は、新しい VPN セッションの割り当て先 VPN Server を決定する際に自分自身を選定しないようになります。

クラスタ全体の一括管理について

一度クラスタを構築してしまった後は、VPN Server の管理者や各仮想 HUB の管理者は、クラスタコントローラにのみ管理接続を行うだけで、すべてのクラスタ上で動作している仮想 HUB の状態管理や VPN セッションの管理などを一括管理することができます。VPN Server や仮想 HUB の管理には、クラスタリング機能を使用しない場合と同様に 、「VPN サーバー管理マネージャ」または「vpncmd」を使用します。

クラスタコントローラに対して接続するだけで、VPN Server の管理者はクラスタ内のすべての仮想 HUB の管理を行うことができます。各仮想 HUB の管理者は、自分が管理権限を持っている仮想 HUB に関する管理を行うことができます。

VPN Server の管理者が、クラスタコントローラ以外のクラスタメンバサーバーに対して直接管理接続する必要があるのは、次のような場合のみです。

• クラスタメンバサーバーをクラスタから離脱させ、動作モードを「スタンドアロンサーバー」に戻したい場合。
• クラスタメンバサーバーのライセンスを、「追加」または「削除」したい場合。
• クラスタメンバサーバー内で、実際にどの「仮想 HUB のインスタンス (実体)」が動作しているかを確認したい場合。
• クラスタメンバサーバーの [暗号化と通信の設定] 項目を編集したり、コンフィグレーションファイルの内容を取得したり、サーバー状態などを取得したい場合。

なお、仮想 HUB の管理者は、クラスタコントローラに対してのみ管理接続を行うことができ、各クラスタメンバサーバーに対して管理接続を行うことはできません。

ローカルブリッジおよび仮想レイヤ 3 スイッチの設定について

ローカルブリッジおよび仮想レイヤ 3 スイッチの設定は、各 VPN Server に対して行います。なお、これらの設定には VPN Server 全体の管理者権限が必要です。また、3.9.11 も参照してください。

仮想 HUB の種類の変更について

仮想 HUB を作成した後、種類 (「ダイナミック仮想 HUB」または「スタティック仮想 HUB」) を変更することはできません。仮想 HUB を作成する際に、適切な種類を選択してください。