当前位置：文档之家 › 高端防火墙双机热备典型组网

高端防火墙双机热备典型组网

  • 格式：pdf
  • 大小：147.37 KB
  • 文档页数：10
102.0.2.254 level 1
g # e acl number 3001 R rule 0 permit ip source 101.0.5.0 0.0.0.255 n rule 5 permit ip source 101.0.6.0 0.0.0.255 U acl number 3002
vrrp vrid 1 virtual-ip 102.0.0.1
2007-04-27
H3C 机密，未经许可不得扩散
文档名称
文档密级
vrrp vrid 1 priority 105
vrrp vrid 1 track interface GigabitEthernet0/1
nat outbound static track vrrp 1
2 典型组网 .................................................................................................................................5
2.1 静态路由模式双机热备 .................................................................................................5
批准:
UnRegis Granted by
陈发明 05883 赵彪 04708
日期： Date 日期： Date 日期： Date 日期： Date
2008-11-20
2007-04-27
H3C 机密，未经许可不得扩散
文档名称
文档密级
1 组网说明 .................................................................................................................................3
nat outbound 3001 address-group 1 track vrrp 1
nat server protocol icmp global 102.0.0.13 inside 102.0.0.13 track vrrp 1
nat server protocol udp global 102.0.0.13 any inside 101.0.0.13 any track vrrp 1
#(这儿与主用设备配置要一致！)
g # e interface GigabitEthernet0/1 R port link-mode route n ip address 101.0.0.253 255.255.0.0 U vrrp vrid 1 virtual-ip 101.0.0.1
vrrp vrid 1 track interface GigabitEthernet0/2
vrrp vrid 1 priority 105
vrrp vrid 1 track interface GigabitEthernet0/2
#
interface GigabitEthernet0/2
port link-mode route
ip address 102.0.0.254 255.255.0.0
1.1 V5双机热备的特点 ........................................................................................................3 1.2 测试设备 .........................................................................................................................4 1.3 测试组网 .........................................................................................................................4
#
interface GigabitEthernet0/2
port link-mode route
ip address 102.0.0.253 255.255.0.0
vrrp vrid 1 virtual-ip 102.0.0.1
vrrp vrid 1 track interface GigabitEthernet0/1
文档名称
文档密级
名称Product name
密级Confidentiality level 内部公开
Total pages 共页
高端防火墙双机热备典型组网
(仅供内部参考） For internal use only
拟制:
d Prepared by 审核:
e Reviewed by r 审核: te Reviewed by
UnRegistered 动态路由模式组网 .......................................................................................................10
2007-04-27
H3C 机密，未经许可不得扩散
2.1.2 静态路由模式双主组网：
双主组网就是两台防火墙都处于工作状态，每台设备负责转发一部分流量，实现负载分 担，而当任一台设备Down机后，另一台设备会接管全部工作，要实现双主组网要配置至少 两个VRRP组以产生两个网关，每台设备分别是一个网关的主用设备，若使用NAT则至少要
d 配置两个地址池以进行地址转换。 e 该组网要注意报文来回路径要保持一致。 r F1000E-1配置： te # is nat address-group 1 102.0.1.1 102.0.1.254 level 1
rule 0 permit ip source 101.0.7.0 0.0.0.255
rule 5 permit ip source 101.0.8.0 0.0.0.255
#
interface GigabitEthernet0/1
port link-mode route
ip address 101.0.0.254 255.255.0.0
习比VRRP切换慢，所以路由模式的双机热备主用设备切换时间较长；在这两
种组网的基础上又可以配置为双主用模式、主备用模式；
5、 目前版本仅支持对称路径的双机热备份，即报文来回都要通过同一台防火墙；
2007-04-27
H3C 机密，未经许可不得扩散
文档名称
文档密级
若出报文从A出，回来的报文从B返回的话，称为非对称路径，在以后的版本将 支持非对称的报文转发。 6、 两台SecbladeII 与 两台F1000E都可以做双机配置，以下的组网配置稍作修改两 者即可使用，后面不再说明。
话信息相互备份，主用设备上产生的会话会自动通过心跳口备份到备用设备上，
目前只有稳态的会话才会进行备份；
4、 主要有两种模式的组网：静态路由模式和动态路由模式，静态路由模式组网依
赖于VRRP，当一台设备Down机后，Vrrp的主备状态发生切换，工作的防火墙
随之切换；动态路由模式依赖于动态路由协议，由于动态路由协议进行路由学
vrrp vrid 2 track interface GigabitEthernet0/2
#
interface GigabitEthernet0/2
port link-mode route
rule 5 permit ip source 101.0.6.0 0.0.0.255
eg # R interface GigabitEthernet0/1 n port link-mode route U ip address 101.0.0.254 255.255.0.0
vrrp vrid 1 virtual-ip 101.0.0.1
vrrp vrid 1 virtual-ip 101.0.0.1
vrrp vrid 1 priority 105
2007-04-27
H3C 机密，未经许可不得扩散
文档名称
文档密级
vrrp vrid 1 track interface GigabitEthernet0/2
vrrp vrid 2 virtual-ip 101.0.0.2
文档密级
2.1.1 静态路由模式主备组网：
所谓主备组网就是只有一台防火墙处于工作状态，另一台处于备用状态，当主用设备
Down机后，备用设备会接管工作。 配置如下： F1000E-1 配置 ：(作为主用设备)
d # e nat address-group 1 102.0.1.1 102.0.1.254 level 1 r # te acl number 3001 is rule 0 permit ip source 101.0.5.0 0.0.0.255
#（track vrrp关键字，意思是当接口收到对nat 地址的arp查询时以vrrp 1的虚接地址作
为应答！）
F1000E-2配置：（作为备用设备） #
d nat address-group 1 102.0.1.1 102.0.1.254 level 1 e # r acl number 3001 te rule 0 permit ip source 101.0.5.0 0.0.0.255 is rule 5 permit ip source 101.0.6.0 0.0.0.255
2.2
2.1.1 静态路由模式主备组网：........................................................................... 5 2.1.2 静态路由模式双主组网：........................................................................... 7

合集下载

华为防火墙的双机热备方案

华为防火墙的双机热备方案

华为防火墙的双机热备方案在网络关键节点上，如果只部署一台设备，无论其可靠性多高，系统都必然要承受因单点故障而导致的网络中断的风险。

防火墙一般用作内网到外网的出口，是业务关键路径上的设备，为了防止因一台设备故障而导致的业务中断，要求防火墙必须提供更高的可靠性，此时需要使用防火墙双机热备组网。

双机热备组网的建立和运行需要解决以下五个关键问题：1.设备的主备状态是如何决定的2.如何监控并发现接口或者设备故障3.发现故障后，如何保证设备的主备状态切换4.正常情况和故障后，流量是如何引导的5.如何进行信息同步，保证主备切换后业务不中断以上问题都是由双机热备特性涉及的三大协议VRRP VGMP HRP 共同配合解决的。

首先，VRRP自然不需要多说，我相信大家都非常清楚，这是一个公有的网关冗余技术，可以在两台设备之间形成虚拟IP地址，建立主备的冗余关系，但是传统的VRRP在安全领域有一个不可忽略的问题，就是当防火墙上下行业务端口上都配置了VRRP备份组的时候，这两个VRRP备份组是独立运行的，可能出现上下行两个VRRP备份组状态不一致的情况。

我们来看下面这个图这是最基本的一个防火墙双机热备的连接拓扑，防火墙的业务接口工作在三层，上下行连接交换机，防火墙的上行接口和下行接口分别运行了两个独立的VRRP组，FW1为主设备，FW2为备设备，正常情况下，流量会在FW1上进行往返（也就是沿着蓝色箭头的方向走），现在假设FW1的下行接口故障，因此运行在下行接口的VRRP组会检测到这个问题，从而引发主备切换， FW2的下行接口会成为主接口，上行流量会从FW2转发出去，访问外部网络，但是因为上下行的VRRP组是独立运行的，所以对于上行接口而言，主设备依然还在FW1上，因此外部网络返回的流量依然会转发到FW1上，这样就造成了网络不通，这个问题，传统的VRRP是无法解决的，因此，华为在VRRP的基础之上，开发了VGMP协议。

VGMP的基本功能是集中管理和监控VRRP备份组，控制VRRP 备份组的统一切换，将一组VRRP备份组组成一个VGMP管理组，由VGMP管理组控制所有VRRP备份组同步倒换，保证所有VRRP备份组状态一致，VGMP管理组还可以代表整个设备使用VGMP报文跟对端设备进行协商实现主备状态切换。

联想网御Power V系列配置案例集22(双机热备配置案例)

联想网御Power V系列配置案例集22(双机热备配置案例)

22.1 网络需求网御防火墙高可用性有多种配置环境，此处仅以常用的环境做案例展示。

用户环境透明或者路由，防火墙主备模式，只有一台工作，另一台热备。

用户环境透明，且需要两台防火墙同时工作，即主主模式，防火墙可以用会话保护22.2 网络拓扑双机热备防火墙工作透明，用户环境透明全交叉。

初次配置主墙的心跳IP（1.1.1.1）备墙的心跳IP（1.1.1.2）22.3 配置步骤（1）配置防火墙透明桥模式（2）将定义好的桥接口绑定在桥中（3）防火墙安全选项设置（4）配置防火墙安全策略（5）主墙配置HA（配置HA接口，设置双机热备）（6）备墙配置HA（配置HA接口，设置双机热备）（7）HA状态查看22.4 配置流程（1）配置防火墙透明桥模式进入【网络管理】-【网络接口】-【物理设备】，设置相应接口为透明模式（2）将定义好的桥接口绑定在桥中进入【网络管理】-【网络接口】-【桥设备】（3）防火墙安全选项设置进入【防火墙】-【安全选项】勾选“包过滤802.1Q（VLAN）承载的IP、IPV6、ARP报文”（4）配置防火墙安全策略进入【防火墙】-【策略】-【安全策略】，添加符合条件的安全规则。

（5）主墙配置HA（配置HA接口，设置双机热备）进入【网络管理】-【高可用性】-【HA网口】启用会话同步目的是同步会话。

（6）备墙配置HA（配置HA接口，设置双机热备）（7）HA状态查看进入【网络管理】-【高可用性】-【HA状态】节点优先级为，1，2 状态正常，1为主，2为备，如果为0，说明故障。

注意事项：1.配置主墙除了HA之外的其余配置。

2.配置主墙HA。

3.配置备墙HA，且备墙仅配置HA，完成配置后，保存配置关机。

4.连接主墙与备墙之间的心跳线。

5.连接主墙及备墙上的业务线。

6.启动备墙。

防火墙技术案例双机热备负载分担组网下的IPSec配置

防火墙技术案例双机热备负载分担组网下的IPSec配置

论坛的小伙伴们，大家好。

强叔最近已经开始在“侃墙”系列中为各位小伙伴们介绍各种VPN了。

说到VPN，小伙伴们肯定首先想到的是最经典的IPSec VPN，而且我想大家对IPSec的配置也是最熟悉的。

但是如果在两台处于负载分担状态下的防火墙上部署IPSec VPN又该如何操作呢有什么需要注意的地方呢本期强叔就为大家介绍如何在双机热备的负载分担组网下配置IPSec。

【组网需求】如下图所示，总部防火墙NGFW_C和NGFW_D以负载分担方式工作，其上下行接口都工作在三层，并与上下行路由器之间运行OSPF协议。

（本例中，NGFW是下一代防火墙USG6600的简称，软件版本为USG6600V100R001C10）现要求分支用户访问总部的流量受IPSec隧道保护，且NGFW_C处理分支A发送到总部的流量，NGFW_D处理分支B发送到总部的流量。

当NGFW_C或NGFW_D中一台防火墙出现故障时，分支发往总部的流量能全部切换到另一台运行正常的防火墙。

【需求分析】针对以上需求，强叔先带小伙们做一个简要分析，分析一下我们面临的问题以及解决这个问题的方法。

1、如何使两台防火墙形成双机热备负载分担状态两台防火墙的上下行业务接口工作在三层，并且连接三层路由器，在这种情况下，就需要在防火墙上配置VGMP组（即hrp track命令）来监控上下行业务接口。

如果是负载分担状态，则需要在每台防火墙上调动两个VGMP组（active组和standby组）来监控业务接口。

2、分支与总部之间如何建立IPSec隧道正常状态下，根据组网需求，需要在NGFW_A与NGFW_C之间建立一条隧道，在NGFW_B与NGFW_D之间建立一条隧道。

当NGFW_C与NGFW_D其中一台防火墙故障时，NGFW_A和NGFW_B都会与另外一台防火墙建立隧道。

3、总部的两台防火墙如何对流量进行引导总部的两台防火墙（NGFW_C与NGFW_D）通过路由策略来调整自身的Cost值，从而实现正常状态下来自NGFW_A的流量通过NGFW_C转发，来自NGFW_B的流量通过NGFW_D转发，故障状态下来自NGFW_A和NGFW_B的流量都通过正常运行的防火墙转发。

防火墙双机热备配置案例

防火墙双机热备配置案例

双机热备网络卫士防火墙可以实现多种方式下的冗余备份，包括：双机热备模式、负载均衡模式和连接保护模式。

在双机热备模式下（最多支持九台设备），任何时刻都只有一台防火墙（主墙）处于工作状态，承担报文转发任务，一组防火墙处于备份状态并随时接替任务。

当主墙的任何一个接口（不包括心跳口）出现故障时，处于备份状态的防火墙经过协商后，由优先级高的防火墙接替主墙的工作，进行数据转发。

在负载均衡模式下（最多支持九台设备），两台/多台防火墙并行工作，都处于正常的数据转发状态。

每台防火墙中设置多个VRRP备份组，两台/多台防火墙中VRID相同的组之间可以相互备份，以便确保某台设备故障时，其他的设备能够接替其工作。

在连接保护模式下（最多支持九台设备），防火墙之间只同步连接信息，并不同步状态信息。

当两台/多台防火墙均正常工作时，由上下游的设备通过运行VRRP或HSRP进行冗余备份，以便决定流量由哪台防火墙转发，所有防火墙处于负载分担状态，当其中一台发生故障时，上下游设备经过协商后会将其上的数据流通过其他防火墙转发。

双机热备模式基本需求图 1双机热备模式的网络拓扑图上图是一个简单的双机热备的主备模式拓扑图，主墙和一台从墙并联工作，两个防火墙的Eth2接口为心跳口，由心跳线连接用来协商状态，同步对象及配置信息。

配置要点➢设置HA心跳口属性➢设置除心跳口以外的其余通信接口属于VRID2➢指定HA的工作模式及心跳口的本地地址和对端地址➢主从防火墙的配置同步WEBUI配置步骤1）配置HA心跳口和其他通讯接口地址HA心跳口必须工作在路由模式下，而且要配置同一网段的IP以保证相互通信。

接口属性必须要勾选“ha-static”选项，否则HA心跳口的IP地址信息会在主从墙运行配置同步时被对方覆盖。

➢主墙a）配置HA心跳口地址。

①点击网络管理>接口，然后选择“物理接口”页签，点击eth2接口后的“设置”图标，配置基本信息，如下图所示。

点击“确定”按钮保存配置。