下载文档原格式
SecPath-防火墙双机热备典型配置SecPath防火墙双机热备典型配置举例关键词：双机热备、主备模式、负载分担模式、数据同步、流量切换摘要：防火墙设备是所有信息流都必须通过的单一点，一旦故障所有信息流都会中断。
保障信息流不中断至关重要，这就需要解决防火墙设备单点故障问题。
双机热备技术可以保障即使在防火墙设备故障的情况下，信息流仍然不中断。
本文将介绍双机热备的概念、工作模式及典型应用等。
缩略语：目录1 特性简介 (3)1.1 双机热备的工作机制 (3)2 特性使用指南 (4)2.1 使用场合 (4)2.2 配置指南 (4)2.2.1 双机热备组网应用配置指南 (4)2.2.2 双机热备应用涉及的配置 (4)2.3 注意事项 (4)3 支持的设备和版本 (5)3.1 设备版本 (5)3.2 支持的设备 (5)3.3 配置保存 (5)4 配置举例 (6)4.1 典型组网 (6)4.2 设备基本配置 (9)4.2.1 其他共同配置： (9)4.3 双机热备业务典型配置举例 (9)4.3.1 透明模式＋主备模式 (9)4.3.2 透明模式＋负载分担模式 (14)4.3.3 路由模式＋主备模式 (17)4.3.4 路由模式＋负载分担模式 (19)4.3.5 路由模式＋主备模式＋支持非对称路径 (21)4.3.6 路由模式＋负载分担模式＋支持非对称路径 (28)4.3.7 动态路由模式组网 (33)5 相关资料 (33)1 特性简介双机热备在链路切换前，对会话信息进行主备同步；在设备故障后能将流量切换到其他备份设备，由备份设备继续处理业务，从而保证了当前的会话不被中断。
secpath防火墙具有多样化的组网方式，双机的组网应用也会很多种，本文试举几种双机热备的典型应用。
1.1 双机热备的工作机制互为备份的两台防火墙只负责会话信息备份，保证流量切换后会话连接不中断。
而流量的切换则依靠传统备份技术（如VRRP、动态路由）来实现，应用灵活，能适应各种组网环境。
H3C SecPath F100系列防火墙配置教程初始化配置〈H3C〉system-view开启防火墙功能[H3C]firewall packet-filter enable[H3C]firewall packet-filter default permit分配端口区域[H3C] firewall zone untrust[H3C-zone-trust] add interface GigabitEthernet0/0[H3C] firewall zone trust[H3C-zone-trust] add interface GigabitEthernet0/1工作模式firewall mode transparent 透明传输firewall mode route 路由模式http 服务器使能HTTP 服务器 undo ip http shutdown关闭HTTP 服务器 ip http shutdown添加WEB用户[H3C] local-user admin[H3C-luser-admin] password simple admin[H3C-luser-admin] service-type telnet[H3C-luser-admin] level 3开启防范功能firewall defend all 打开所有防范切换为中文模式 language-mode chinese设置防火墙的名称 sysname sysname配置防火墙系统IP 地址 firewall system-ip system-ip-address [ address-mask ] 设置标准时间 clock datetime time date设置所在的时区 clock timezone time-zone-name { add | minus } time取消时区设置 undo clock timezone配置切换用户级别的口令 super password [ level user-level ] { simple | cipher } password取消配置的口令 undo super password [ level user-level ]缺缺省情况下，若不指定级别，则设置的为切换到3 级的密码。
H3C SecPath防火墙系列产品混合模式的典型配置
一、组网需求：
组网图中需要三台PC, PC1和PC4在Trust区域；PC2处于DMZ区域，其IP地址与PC1和PC4在同一网段，PC3位于Untrust区域，为外部网络。
G0/0接口和G1/0接口属于同一个桥组Bridge1。
对于访问控制有如下要求：
在防火墙G0/1接口上配置NAT，使Trust区域与DMZ区域通过地址转换才能访问Untrust区域；
通过NAT Server使DMZ区域对Untrust区域提供WWW服务；
在G1/0接口绑定ASPF策略并配合包过滤，使得Trust区域用户可以访问DMZ区域设备；但DMZ区域不能访问Trust区域；
在G0/0接口上绑定基于MAC地址的访问控制列表禁止PC4访问其他任何区域。
二、组网图：
支持混合模式的产品型号有：Secpath F1000-A/F1000-S/F100-E/F100-A；版本要求Comware software, Version 3.40, ESS 1622及以后。
四、配置关键点：
1、每一个桥组都是独立的，报文不可能在分属不同桥组的端口之间
传输。
换句话说，从一个桥组端口接收到的报文，只能从相同桥
组的其他端口发送出去。
防火墙上的一个接口不能同时加入两个
或两个以上的桥组。
2、要实现不同桥组之间或二层接口和三层接口之间数据转发，需要
创建桥组虚接口，并且将桥组虚接口加入到相应的区域。
H3C SecPath F100系列防火墙配置教程初始化配置〈H3C〉system-view开启防火墙功能[H3C]firewall packet-filter enable[H3C]firewall packet-filter default permit分配端口区域[H3C] firewall zone untrust[H3C-zone-trust] add interface GigabitEthernet0/0[H3C] firewall zone trust[H3C-zone-trust] add interface GigabitEthernet0/1工作模式firewall mode transparent 透明传输firewall mode route 路由模式http 服务器使能HTTP 服务器 undo ip http shutdown关闭HTTP 服务器 ip http shutdown添加WEB用户[H3C] local-user admin[H3C-luser-admin] password simple admin[H3C-luser-admin] service-type telnet[H3C-luser-admin] level 3开启防范功能firewall defend all 打开所有防范切换为中文模式 language-mode chinese设置防火墙的名称 sysname sysname配置防火墙系统IP 地址 firewall system-ip system-ip-address [ address-mask ] 设置标准时间 clock datetime time date设置所在的时区 clock timezone time-zone-name { add | minus } time取消时区设置 undo clock timezone配置切换用户级别的口令 super password [ level user-level ] { simple | cipher } password取消配置的口令 undo super password [ level user-level ]缺缺省情况下，若不指定级别，则设置的为切换到3 级的密码。
H3C SecPath F100系列防火墙配置教程初始化配置〈H3C〉system-view开启防火墙功能[H3C]firewall packet-filter enable[H3C]firewall packet-filter default permit分配端口区域[H3C] firewall zone untrust[H3C-zone-trust] add interface GigabitEthernet0/0[H3C] firewall zone trust[H3C-zone-trust] add interface GigabitEthernet0/1工作模式firewall mode transparent 透明传输firewall mode route 路由模式http 服务器使能HTTP 服务器 undo ip http shutdown关闭HTTP 服务器 ip http shutdown添加WEB用户[H3C] local-user admin[H3C-luser-admin] password simple admin[H3C-luser-admin] service-type telnet[H3C-luser-admin] level 3开启防范功能firewall defend all 打开所有防范切换为中文模式 language-mode chinese设置防火墙的名称 sysname sysname配置防火墙系统IP 地址 firewall system-ip system-ip-address [ address-mask ] 设置标准时间 clock datetime time date设置所在的时区 clock timezone time-zone-name { add | minus } time取消时区设置 undo clock timezone配置切换用户级别的口令 super password [ level user-level ] { simple | cipher } password取消配置的口令 undo super password [ level user-level ]缺缺省情况下，若不指定级别，则设置的为切换到3 级的密码。
目录1路由设置 ············································································································································ 1-11.1 概述 ··················································································································································· 1-11.2 配置静态路由····································································································································· 1-11.3 查看激活路由表 ································································································································· 1-21.4 静态路由典型配置举例 ······················································································································ 1-31.5 注意事项············································································································································ 1-61 路由设置•本章所指的路由器代表了一般意义下的路由器，以及运行了路由协议的三层交换机。
H3CSecPathUTM系列特征库升级典型配置举例H3C SecPath UTM系列特征库升级典型配置举例关键词：特征库摘要：本⽂主要描述了UTM设备特征库升级的典型配置⽅法。
缩略语：缩略语英⽂全名中⽂解释UTM Unified Threat Management 统⼀威胁管理AV Anti-virus 防病毒IPS Intrusion prevention system ⼊侵防御系统⽬录1 特性简介 (1)2 应⽤场合 (1)3 注意事项 (1)4 配置举例 (1)4.1 组⽹需求 (1)4.2 配置思路 (2)4.3 使⽤版本 (2)4.4 配置步骤 (2)4.4.1 基本配置 (2)4.4.2 主要配置步骤 (3)4.5 验证结果 (5)5 相关资料 (5)5.1 其它相关资料 (5)1 特性简介特征库记录了设备可识别的攻击特征、病毒特征等，因此对于安全设备来说，必须保证特征库能够实时的更新升级，以保证它总是最新版本。
特征库的升级分为⼿动升级和⾃动升级：z⾃动升级可以帮助⽤户每隔指定的时间，使⽤特定的协议从特定的特征库版本服务器获取当前最新的特征库到设备。
z⼿动升级允许⽤户在需要的时候⼿动进⾏升级，⽤户可以⼿动设定获取特征库的协议、服务器地址和特征库⽂件名称，并且⼿动升级可以获取与设备兼容的任意⼀个版本的特征库。
⼿动升级⼀般是在⽤户的局域⽹内进⾏的。
2 应⽤场合运⾏在⽹络中的UTM设备启⽤了IPS和AV的功能，需要及时更新特征库3 注意事项要更新升级特征库，必须保证当前的License⽂件合法，并且在有效期限内。
主要配置步骤中的配置是在“应⽤安全策略”界⾯进⾏的，在左侧导航栏中点击“IPS|AV|应⽤控制 > ⾼级设置”，点击“应⽤安全策略”链接就可以进⼊“应⽤安全策略”界⾯。
4 配置举例4.1 组⽹需求某公司的内⽹⽹段为192.168.1.0/24，通过GE0/2连接到外⽹。
⽤户登录UTM的内⽹或外⽹接⼝地址，可以对UTM进⾏⼿动特征库升级操作；设置⾃动升级后，UTM会按照设定的时间⾃动进⾏特征库升级。
SecPath系列防火墙配置管理典型配置举例关键词：配置管理，备份摘要：配置管理模块主要用于对设备进行配置保存（加密和非加密）、备份、配置恢复和恢复出厂配置，用户可以在Web页面方便地对设备的配置进行维护和管理。
缩略语：缩略语英文全名中文解释- - -目录1 特性简介 (3)2 应用场合 (3)3 注意事项 (3)4 配置举例 (3)4.1 组网需求 (3)4.2 配置思路 (4)4.3 使用版本 (4)4.4 配置步骤 (4)4.4.1 基本配置 (4)4.4.2 配置管理 (6)4.5 验证结果 (8)4.5.1 配置保存 (8)4.5.2 配置备份 (9)4.5.3 配置恢复 (9)4.5.4 恢复出厂配置 (9)4.5.5 软件升级 (9)4.5.6 设备重启 (9)1 特性简介配置管理页面包含“配置保存”、“配置备份”、“配置恢复”和“恢复出厂配置”四个页签。
配置保存可以加密保存配置，如果将配置信息备份下来，打开文件查看时，看到的是密文显示。
在此页面可以对当前的配置信息进行配置备份和备份恢复。
软件升级和系统重启可以让用户通过Web页面对设备进行管理和操作。
2 应用场合用于设备的日常维护，当配置修改后，可以保存配置以免设备断电配置信息丢失。
也可以将配置信息备份下来，用于日后的配置恢复。
如果想清空配置信息时，可以恢复出厂配置。
3 注意事项(1) 软件升级时，尽量在流量少的时候操作，以免影响用户正常使用。
(2) 通过在命令行下输入save或在Web管理页面点击“配置保存”，可以对当前配置进行保存。
保存的配置文件有两个，分别为startup.cfg和system.xml。
(3) 备份或恢复时请将startup.cfg和system.xml一起备份和恢复。
4 配置举例4.1 组网需求本配置举例中，设备使用的是U200-S。
本典型配置适合SecPath F5000-A5、SecPath F1000E、SecPath UTM 200-A/200-M/200-S防火墙图1配置管理组网图设备默认出厂配置，GE0/0口为管理口，地址为192.168.0.1/24，用户可以将管理PC的网卡与设备的GE0/0口连接，并设置网卡地址为同网段的地址，则可以通过在浏览器的地址栏输入http://192.168.0.1 登录设备的Web网管，进行其他配置操作。
SecPath系列防火墙域间策略典型配置举例关键词：域间策略摘要：域间策略在安全域之间实现流识别功能，对于特定报文根据预先设定的操作允许或禁止该报文通过并实时监控流状态变化。
缩略语：缩略语英文全名中文解释ACL Access Control List 访问控制列表目录1 特性简介 (3)2 应用场合 (3)3 注意事项 (3)4 配置举例 (3)4.1 组网需求 (3)4.2 配置思路 (4)4.3 使用版本 (4)4.4 配置步骤 (4)4.4.1 配置接口地址 (4)4.4.2 接口加入域 (6)4.4.3 配置时间段 (8)4.4.4 配置地址对象 (9)4.4.5 配置域间策略 (9)4.5 验证结果 (11)4.5.1 内部主机Public在上班时间访问外部网络 (11)4.5.2 其他内部主机在上班时间访问外部网络 (12)5 相关资料 (12)5.1 相关协议和标准 (12)5.2 其它相关资料 (12)1 特性简介域间策略是基于ACL（Access Control List，访问控制列表），在安全域之间实现流识别功能的。
域间策略在一对源安全域和目的安全域之间维护一个ACL，该ACL中可以配置一系列的匹配规则，以识别出特定的报文，然后根据预先设定的操作允许或禁止该报文通过。
域间策略通过引用资源管理中的地址资源和服务资源，来根据报文的源IP地址、目的IP地址、源MAC地址、目的MAC地址、IP承载的协议类型和协议的特性（例如TCP或UDP的源端口/目的端口、ICMP协议的消息类型/消息码）等信息制定匹配规则。
每条规则还可以通过引用资源管理中的时间段资源，来指定这条规则在该时间段定义的时间范围内有效。
2 应用场合需要进行流识别，流状态监控、安全域间设置防火墙的任何场合。
3 注意事项域间策略使用的ACL序号是系统自动分配的，当首次在两个安全域之间创建域间策略的规则时，系统自动为该域间策略创建一个ACL，并从6000开始，分配当前未使用的最小序号给该ACL；当该域间策略的规则全部被删除时，系统自动删除该ACL。
SecPath系列防火墙IPSec典型配置举例关键词：IKE、IPSec摘要：本章首先介绍了IKE和IPSec的基本概念，随后说明了防火墙的配置方法，最后给出两种典型应用的举例。
缩略语：缩略语英文全名中文解释IKE Internet Key Exchange 因特网密钥交换Security IP网络安全协议IPsec IP目录1 特性简介 (3)1.1 IPSec基本概念 (3)1.1.1 SA (3)1.1.2 封装模式 (3)2 应用场合 (4)3 配置指南 (4)3.1 配置概述 (4)3.2 配置ACL (6)3.3 配置IKE (6)3.3.1 配置IKE全局参数 (6)3.3.2 配置IKE安全提议 (7)3.3.3 配置IKE对等体 (8)3.4 IPSec安全提议 (10)3.5 配置安全策略模板 (12)3.6 配置安全策略 (14)3.7 应用安全策略组 (16)4 配置举例一：基本应用 (17)4.1 组网需求 (17)4.2 使用版本 (18)4.3 配置步骤 (18)4.4 配置结果验证 (27)4.4.1 查看IPSec安全联盟 (27)4.4.2 查看报文统计 (27)5 配置举例二：与NAT结合 (27)5.1 组网需求 (27)5.2 配置说明 (28)5.3 配置步骤 (28)5.4 配置验证结果 (34)5.4.1 查看IPSec安全联盟 (34)5.4.2 查看报文统计 (35)6 注意事项 (35)7 相关资料 (35)7.1 相关协议和标准 (35)7.2 其它相关资料 (36)1 特性简介IPsec（IP Security）协议族是IETF制定的一系列协议，它为IP数据报提供了高质量的、可互操作的、基于密码学的安全性。
特定的通信方之间在IP层通过加密与数据源验证等方式，来保证数据报在网络上传输时的私有性、完整性、真实性和防重放。
IPsec通过AH（Authentication Header，认证头）和ESP（Encapsulating Security Payload，封装安全载荷）这两个安全协议来实现上述目标，并且还可以通过IKE（Internet Key Exchange，因特网密钥交换协议）为IPsec提供自动协商交换密钥、建立和维护安全联盟的服务，以简化IPsec 的使用和管理。
1.1 IPSec基本概念1.1.1 SAIPSec在两个端点之间提供安全通信，端点被称为IPSec对等体。
SA（Security Association，安全联盟）是IPSec的基础，也是IPSec的本质。
SA是通信对等体间对某些要素的约定，例如，使用哪种协议（AH、ESP还是两者结合使用）、协议的封装模式（传输模式和隧道模式）、加密算法（DES、3DES和AES）、特定流中保护数据的共享密钥以及密钥的生存周期等。
SA可以通过 IKE自动协商建立。
1.1.2 封装模式IPSec有如下两种工作模式：z隧道（Tunnel）模式：用户的整个IP数据包被用来计算AH或ESP头，AH或ESP头以及ESP加密的用户数据被封装在一个新的IP数据包中。
通常，隧道模式应用在两个安全网关之间的通讯。
z传输（Transport）模式：只是传输层数据被用来计算AH或ESP头，AH或ESP头以及ESP 加密的用户数据被放置在原IP包头后面。
通常，传输模式应用在两台主机之间的通讯，或一台主机和一个安全网关之间的通讯。
不同的安全协议在Tunnel和Transport模式下的数据封装形式如图1所示，data为传输层数据。
图1安全协议数据封装格式认证算法与加密算法(1) 认证算法认证算法的实现主要是通过杂凑函数。
杂凑函数是一种能够接受任意长的消息输入，并产生固定长度输出的算法，该输出称为消息摘要。
IPSec对等体计算摘要，如果两个摘要是相同的，则表示报文是完整未经篡改的。
IPSec使用两种认证算法：z MD5：MD5通过输入任意长度的消息，产生128bit的消息摘要。
z SHA-1：SHA-1通过输入长度小于2的64次方bit的消息，产生160bit的消息摘要。
MD5算法的计算速度比SHA-1算法快，而SHA-1算法的安全强度比MD5算法高。
(2) 加密算法加密算法实现主要通过对称密钥系统，它使用相同的密钥对数据进行加密和解密。
目前设备的IPSec 实现三种加密算法：z DES（Data Encryption Standard）：使用56bit的密钥对一个64bit的明文块进行加密。
z3DES（Triple DES）：使用三个56bit的DES密钥（共168bit密钥）对明文进行加密。
z AES（Advanced Encryption Standard）：使用128bit、192bit或256bit密钥长度的AES算法对明文进行加密。
这三个加密算法的安全性由高到低依次是：AES、3DES、DES。
安全性高的加密算法实现机制复杂，运算速度慢。
对于普通的安全要求，DES算法就可以满足需要。
2 应用场合IPsec作为一种VPN技术，其最显著的特点就是可以为载荷数据提供加密以及数据源验证服务，保护数据的机密性和完整性。
同时通过IKE可以对密钥进行定时更新维护，增强系统的安全性。
鉴于这些特点，IPsec被广泛应用于传输敏感数据的VPN网络中。
3 配置指南3.1 配置概述目前，设备支持使用IPSec安全策略建立IPSec安全隧道。
这种方式下，由ACL（Access Control List，访问控制列表）来指定要保护的数据流范围，通过配置安全策略并将安全策略绑定在实际的物理接口上来完成IPsec的配置。
这种方式可以利用ACL的丰富配置功能，结合实际的组网环境灵活制定IPsec安全策略。
其基本配置思路如下：(1) 通过配置ACL，用于匹配需要保护的数据流。
(2) 通过配置安全提议，指定安全协议、认证算法和加密算法、封装模式等。
(3) 通过配置安全策略，将要保护的数据流和安全提议进行关联（即定义对何种数据流实施何种保护），并指定SA的协商方式、对等体IP地址（即保护路径的起/终点）、所需要的密钥和SA的生存周期等。
(4) 最后在设备接口上应用安全策略即完成了IPSec的配置。
IPSec配置的推荐步骤如表1所示。
表1IPSec配置步骤3.2 配置ACLIPsec 通过配置ACL （Access Control List ，访问控制列表）来定义需要过滤的数据流。
在IPsec 的应用中，ACL 规则中的permit 关键字表示与之匹配的流量需要被IPsec 保护，而规则中的deny 关键字则表示与之匹配的那些流量不需要保护。
配置ACL ，需要在“防火墙 > ACL ”菜单中做如下配置：(1) 创建访问控制列表。
(2) 配置相应的匹配规则（rule ）。
仅对确实需要IPSec 保护的数据流配置“允许”规则，否则，一旦指定范围上入方向收到的某流量本来应该不被IPSec 保护的，那么该流量就会被丢弃，这会造成一些本不需要IPSec 处理的流量丢失，影响正常的业务流传输。
3.3 配置IKE需要通过IKE 方式来建立SA ，所以在介绍IPSec 的配置步骤前，先介绍IKE 的配置方法。
3.3.1 配置IKE 全局参数在导航栏中选择“VPN > IKE > 全局设置”，进入IKE 全局设置的页面，如图2所示。
图2 全局设置IKE 全局参数的详细配置如表2所示。
表2 IKE 全局参数的详细配置 配置项说明IKE 本端名称 设置本端安全网关的名称当IKE 协商的发起端使用安全网关名称进行协商时，本端需要设置该参数，发起端会发送自己的“IKE 本端名称”给对端来标识自己的身份，而对端使用“对端网关名称”参数来认证发起端，故此时“对端网关名称”应与发起端上的“IKE 本端名称”保持一致缺省情况下，使用设备名作为IKE 本端名称配置项 说明 NAT Keepalive 报文时间间隔 设置ISAKMP SA 向对端发送NAT Keepalive 报文的时间间隔由于在NAT 网关上的NAT 映射会话有一定存活时间，因此一旦安全隧道建立后如果长时间没有报文穿越，NAT 会话表项会被删除，这样将导致在NAT 外侧的隧道无法继续传输数据。
为防止NAT 表项老化，ISAKMP SA 以一定的时间间隔向对端发送NAT Keepalive报文，以维持NAT 会话的存活3.3.2 配置IKE安全提议 在导航栏中选择“VPN > IKE > 安全提议”，进入IKE 安全提议的显示页面，如图3所示。
单击<新建>按钮，进入新建IKE 安全提议的配置页面，如图4所示。
图3 安全提议在日常使用时通常省略IKE 安全提议的设置，直接使用缺省提议default 即可完成协商。
图4 新建IKE 安全提议新建IKE 安全提议的详细配置如表3所示。
表3新建IKE安全提议的详细配置3.3.3 配置IKE对等体在导航栏中选择“VPN > IKE > 对等体”，进入IKE对等体的显示页面，如图5所示。
单击<新建>按钮，进入新建IKE对等体的配置页面，如图6所示。
图5对等体图6新建IKE对等体新建IKE对等体的详细配置如表4所示。
表4新建IKE对等体的详细配置3.4 IPSec安全提议在导航栏中选择“VPN > IPSec > 安全提议”，进入IPSec安全提议的配置显示页面。
Web网管提供了两种IPSec安全提议的配置方式，在向导页面进行选择即可进入对应方式的配置页面。
z套件方式：如图7所示，用户可以直接在设备提供的加密套件中选择一种，方便用户的操作。
详细配置如表5所示。
图7 新建IPSec 安全提议（套件方式）表5 新建IPSec 安全提议的详细配置（套件方式）配置项 说明安全提议名称设置要新建的IPSec 安全提议的名称加密套件设置安全提议采用的报文封装、安全协议及对应的认证/加密算法的套件可选的加密套件有以下几种，其中“Tunnel ”表示报文封装模式为隧道模式，其余参数的含义将在下面分别进行介绍：zTunnel-ESP-DES-MD5：采用ESP 协议，ESP 加密算法为DES ，ESP 认证算法为MD5zTunnel-ESP-3DES-MD5：采用ESP 协议，ESP 加密算法为3DES ，ESP 认证算法为MD5zTunnel-AH-MD5-ESP-DES ：先用ESP 协议对报文进行保护，再用AH 协议进行保护，AH 认证算法为MD5，ESP 加密算法为DES ，不进行ESP 认证zTunnel-AH-MD5-ESP-3DES ：先用ESP 协议对报文进行保护，再用AH 协议进行保护，AH 认证算法为MD5，ESP 加密算法为3DES ，不进行ESP 认证z定制方式：如图8所示，用户可以根据自己的需要配置安全提议的参数。
