华为USG6000V防火墙之双机热备实验

最新推荐文章于 2024-05-06 20:32:50 发布
最新推荐文章于 2024-05-06 20:32:50 发布
阅读量1.9k 收藏 11
点赞数
文章标签： 华为 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Arrebolcwn/article/details/130045869
版权

双机热备
VGMP---VRRP组管理协议

 首先，我们先配置好所有设备的地址，再划分好两台USG6000V防火墙的信任域、不信任域以及DMZ区域。

接下来，我们分别在两台防火墙上分别配置VRRP协议，起到组备份的作用

VRRP备份组1                VRRP备份组2
 vrid=1                    vrid=2
 vip=192.168.1.254         vip=200.1.1.254vrid=1

FW1：
[USG6000V1-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 192.168.1.254 24 active
[USG6000V1-GigabitEthernet1/0/0]service-manage ping permit 
[USG6000V1-GigabitEthernet1/0/1]service-manage ping permit 
[USG6000V1-GigabitEthernet1/0/1]vrrp vrid 2 virtual-ip 200.1.1.254 24 active 
[USG6000V1]security-policy
[USG6000V1-policy-security]rule name 1	
[USG6000V1-policy-security-rule-1]source-zone trust 
[USG6000V1-policy-security-rule-1]destination-zone untrust 
[USG6000V1-policy-security-rule-1]action permit 
[USG6000V1]dis firewall session table   查看会话表
FW2：
[USG6000V1-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 192.168.1.254 24 standby
[USG6000V1-GigabitEthernet1/0/0]service-manage ping permit 	
[USG6000V1-GigabitEthernet1/0/1]service-manage ping permit 
[USG6000V1-GigabitEthernet1/0/1]vrrp vrid 2 virtual-ip 200.1.1.254 24 standby 
[USG6000V1]security-policy
[USG6000V1-policy-security]rule name 1
[USG6000V1-policy-security-rule-1]source-zone trust 	
[USG6000V1-policy-security-rule-1]destination-zone untrust 
[USG6000V1-policy-security-rule-1]action permit

之后，我们就提出了一个新的概念，叫做心跳机制。

也就是，HRP协议---用来同步主备防火墙之间的会话和策略。

这个协议配置在两台防火墙的DMZ区域之中。

FW1：
[USG6000V1]firewall zone dmz
[USG6000V1-zone-dmz]add int g1/0/2
[USG6000V1]hrp enable
HRP_M[USG6000V1]hrp int g1/0/2 remote 12.1.1.2
FW2：
[USG6000V1]firewall zone dmz 
[USG6000V1-zone-dmz]add int g1/0/2
[USG6000V1]hrp enable
HRP_S[USG6000V1]hrp standby-device 
HRP_M[USG6000V1]hrp int g1/0/2 remote 12.1.1.1
退出HRP：
quit
save
sy
undo hrp enable

到这里呢，我们双机热备实验就基本结束了，接下来来看一下两台防火墙配置之后的所有命令

FW1：

<USG6000V1>dis cu
!Software Version V500R001C10
#
sysname USG6000V1
#
 undo l2tp sendaccm enable
 l2tp domain suffix-separator @
#
undo info-center enable
#
undo telnet server enable
undo telnet ipv6 server enable
#
 hrp interface GigabitEthernet1/0/2 remote 12.1.1.2
#
 firewall packet-filter basic-protocol enable
#
 firewall detect ftp
#
 log type traffic enable
 log type syslog enable
 log type policy enable
#
 undo dataflow enable
#
 isp name "china mobile"
 isp name "china mobile" set filename china-mobile.csv
 isp name "china unicom"
 isp name "china unicom" set filename china-unicom.csv
 isp name "china telecom"
 isp name "china telecom" set filename china-telecom.csv
 isp name "china educationnet"
 isp name "china educationnet" set filename china-educationnet.csv
#
 snmp-agent session history-max-number enable
 snmp-agent session trap threshold 4000
 snmp-agent session-rate trap threshold 24000
#
 web-manager security version tlsv1 tlsv1.1
 web-manager security enable
#
firewall dataplane to manageplane application-apperceive default-action drop
#
 update schedule ips-sdb daily 00:56
 update schedule av-sdb daily 00:56
 update schedule sa-sdb daily 00:56
 update schedule cnc daily 00:56
#
ip vpn-instance default
 ipv4-family
#
 time-range worktime
  period-range 08:00:00 to 18:00:00 working-day
#
aaa
 authentication-scheme default
 authentication-scheme admin_local
 authentication-scheme admin_radius_local
 authentication-scheme admin_hwtacacs_local
 authentication-scheme admin_ad_local
 authentication-scheme admin_ldap_local
 authentication-scheme admin_radius
 authentication-scheme admin_hwtacacs
 authentication-scheme admin_ad
 authentication-scheme admin_ldap
 authorization-scheme default
 accounting-scheme default
 domain default
  service-type l2tp ike
  reference user current-domain
 manager-user password-modify enable
 manager-user audit-admin
  password cipher @%@%LDB}RIlTu"T2#/REASl-zF<-qK''K:UdG~uz[MKlLnDAF<0z@%@%
  service-type web terminal
  level 15

 manager-user api-admin
  password cipher @%@%zA'S.A$lx$0OdNE$t{m1|Thxu/WxW~~d!@ENG$.:y[BWTh{|@%@%
  service-type api
  level 15

 manager-user admin
  password cipher @%@%;%Kj#Ns0SJGX)n.H,x}Ixvqq[Iv#"buyo9o>ZWWbY"x<vqtx@%@%
  service-type web terminal
  level 15

 role system-admin
  dashboard read-write
  monitor read-write
  policy read-write
  object read-write
  network read-write
  system read-write
 role device-admin
  dashboard read-only
  monitor read-only log log-traffic log-threat log-policy-matching report traffi
c-map threat-map session statistic statistic-acl
  monitor none diagnose
  policy read-write
  object read-write
  network read-write
  system read-write high-reliability
  system none configuration vsys license update-center mail-send feedback
 role device-admin(monitor)
  dashboard read-only
  monitor read-only log log-traffic log-threat log-policy-matching report traffi
c-map threat-map session statistic statistic-acl
  monitor none diagnose
  policy read-only
  object read-only
  network read-only
  system read-only high-reliability
  system none configuration vsys license update-center mail-send feedback
 role audit-admin
  dashboard read-only
  monitor read-write log-audit
  monitor read-only log log-traffic log-threat log-syslog log-policy-matching re
port traffic-map threat-map
  monitor none session statistic statistic-acl diagnose
  policy none
  object none
  network none
  system none
 bind manager-user audit-admin role audit-admin
#
interface GigabitEthernet0/0/0
 undo shutdown
 ip binding vpn-instance default
 ip address 192.168.0.1 255.255.255.0
 service-manage http permit
 service-manage https permit
 service-manage ping permit
 service-manage ssh permit
 service-manage snmp permit
 service-manage telnet permit
 service-manage netconf permit
#
interface GigabitEthernet1/0/0
 undo shutdown
 ip address 192.168.1.10 255.255.255.0
 vrrp vrid 1 virtual-ip 192.168.1.254 active
 service-manage ping permit
#
interface GigabitEthernet1/0/1
 undo shutdown
 ip address 200.1.1.10 255.255.255.0
 vrrp vrid 2 virtual-ip 200.1.1.254 active
 service-manage ping permit
#
interface GigabitEthernet1/0/2
 undo shutdown
 ip address 12.1.1.1 255.255.255.0
#
interface GigabitEthernet1/0/3
 undo shutdown
#
interface GigabitEthernet1/0/4
 undo shutdown
#
interface GigabitEthernet1/0/5
 undo shutdown
#
interface GigabitEthernet1/0/6
 undo shutdown
#
interface Virtual-if0
#
interface NULL0
#
firewall zone local
 set priority 100
#
firewall zone trust
 set priority 85
 add interface GigabitEthernet0/0/0
 add interface GigabitEthernet1/0/0
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet1/0/1
#
firewall zone dmz
 set priority 50
 add interface GigabitEthernet1/0/2
#
l2tp-group default-lns
#
undo ssh server compatible-ssh1x enable
#
user-interface con 0
 authentication-mode password
 set authentication password cipher $1a$e=B\I"c4~L$wl'N*oc[WBVYh1Y=dFGG>D*>";TEc
2i`-mN)k<@J$
user-interface vty 0 4
 authentication-mode aaa
 protocol inbound ssh
user-interface vty 16 20
#
sa
#
location
#
 multi-interface
  mode proportion-of-weight
#
security-policy
 rule name 1
  source-zone trust
  destination-zone untrust
  action permit
#
traffic-policy
#
policy-based-route
#
nat-policy
#
pcp-policy
#
dns-transparent-policy
#
return

FW2：

<USG6000V1>dis cu
!Software Version V500R001C10
#
sysname USG6000V1
#
 undo l2tp sendaccm enable
 l2tp domain suffix-separator @
#
undo info-center enable
#
undo telnet server enable
undo telnet ipv6 server enable
#
 hrp standby-device
 hrp interface GigabitEthernet1/0/2 remote 12.1.1.1
#
 firewall packet-filter basic-protocol enable
#
 firewall detect ftp
#
 log type traffic enable
 log type syslog enable
 log type policy enable
#
 undo dataflow enable
#
 isp name "china mobile"
 isp name "china mobile" set filename china-mobile.csv
 isp name "china unicom"
 isp name "china unicom" set filename china-unicom.csv
 isp name "china telecom"
 isp name "china telecom" set filename china-telecom.csv
 isp name "china educationnet"
 isp name "china educationnet" set filename china-educationnet.csv
#
 snmp-agent session history-max-number enable
 snmp-agent session trap threshold 4000
 snmp-agent session-rate trap threshold 24000
#
 web-manager security version tlsv1 tlsv1.1
 web-manager security enable
#
firewall dataplane to manageplane application-apperceive default-action drop
#
 update schedule ips-sdb daily 07:23
 update schedule av-sdb daily 07:23
 update schedule sa-sdb daily 07:23
 update schedule cnc daily 07:23
#
ip vpn-instance default
 ipv4-family
#
 time-range worktime
  period-range 08:00:00 to 18:00:00 working-day
#
aaa
 authentication-scheme default
 authentication-scheme admin_local
 authentication-scheme admin_radius_local
 authentication-scheme admin_hwtacacs_local
 authentication-scheme admin_ad_local
 authentication-scheme admin_ldap_local
 authentication-scheme admin_radius
 authentication-scheme admin_hwtacacs
 authentication-scheme admin_ad
 authentication-scheme admin_ldap
 authorization-scheme default
 accounting-scheme default
 domain default
  service-type l2tp ike
  reference user current-domain
 manager-user password-modify enable
 manager-user audit-admin
  password cipher @%@%nf=@Z(<T%'s5JIOG()'D~'1/Z%{-8i_pC9y[M/;R*J\)'12~@%@%
  service-type web terminal
  level 15

 manager-user api-admin
  password cipher @%@%Iw\]&!7-^NXzA;)]O1U'@>N1s|40Psb~{S0k#N#!sdi->N4@@%@%
  service-type api
  level 15

 manager-user admin
  password cipher @%@%>Q&h02DNTI:2x}I14lhG=pHOiGcw%]4Ra9R~vdS-=.lBpHR=@%@%
  service-type web terminal
  level 15

 role system-admin
  dashboard read-write
  monitor read-write
  policy read-write
  object read-write
  network read-write
  system read-write
 role device-admin
  dashboard read-only
  monitor read-only log log-traffic log-threat log-policy-matching report traffi
c-map threat-map session statistic statistic-acl
  monitor none diagnose
  policy read-write
  object read-write
  network read-write
  system read-write high-reliability
  system none configuration vsys license update-center mail-send feedback
 role device-admin(monitor)
  dashboard read-only
  monitor read-only log log-traffic log-threat log-policy-matching report traffi
c-map threat-map session statistic statistic-acl
  monitor none diagnose
  policy read-only
  object read-only
  network read-only
  system read-only high-reliability
  system none configuration vsys license update-center mail-send feedback
 role audit-admin
  dashboard read-only
  monitor read-write log-audit
  monitor read-only log log-traffic log-threat log-syslog log-policy-matching re
port traffic-map threat-map
  monitor none session statistic statistic-acl diagnose
  policy none
  object none
  network none
  system none
 bind manager-user audit-admin role audit-admin
#
interface GigabitEthernet0/0/0
 undo shutdown
 ip binding vpn-instance default
 ip address 192.168.0.1 255.255.255.0
 service-manage http permit
 service-manage https permit
 service-manage ping permit
 service-manage ssh permit
 service-manage snmp permit
 service-manage telnet permit
 service-manage netconf permit
#
interface GigabitEthernet1/0/0
 undo shutdown
 ip address 192.168.1.20 255.255.255.0
 vrrp vrid 1 virtual-ip 192.168.1.254 standby
 service-manage ping permit
#
interface GigabitEthernet1/0/1
 undo shutdown
 ip address 200.1.1.20 255.255.255.0
 vrrp vrid 2 virtual-ip 200.1.1.254 standby
 service-manage ping permit
#
interface GigabitEthernet1/0/2
 undo shutdown
 ip address 12.1.1.2 255.255.255.0
#
interface GigabitEthernet1/0/3
 undo shutdown
#
interface GigabitEthernet1/0/4
 undo shutdown
#
interface GigabitEthernet1/0/5
 undo shutdown
#
interface GigabitEthernet1/0/6
 undo shutdown
#
interface Virtual-if0
#
interface NULL0
#
firewall zone local
 set priority 100
#
firewall zone trust
 set priority 85
 add interface GigabitEthernet0/0/0
 add interface GigabitEthernet1/0/0
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet1/0/1
#
firewall zone dmz
 set priority 50
 add interface GigabitEthernet1/0/2
#
l2tp-group default-lns
#
undo ssh server compatible-ssh1x enable
#
user-interface con 0
 authentication-mode password
 set authentication password cipher $1a$O.hZ;{*5nE$7lGb*tO9hYaF9!~"/g(*R_mg6V\3M
L0v^F7zG865$
user-interface vty 0 4
 authentication-mode aaa
 protocol inbound ssh
user-interface vty 16 20
#
sa
#
location
#
 multi-interface
  mode proportion-of-weight
#
security-policy
 rule name 1
  source-zone trust
  destination-zone untrust
  action permit
#
traffic-policy
#
policy-based-route
#
nat-policy
#
pcp-policy
#
dns-transparent-policy
#
return

Arrebol l
关注
  • 0
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
使用eNSP配置防火墙USG6000v双机热备（VGMP+HRP+OSPF+NAT）
有谁需要地图吗？
02-28 8832
前言 本实验使用华为模拟器eNSP中USG6000v完成实验。USG6000v是虚拟防火墙。 实验拓扑 配置过程 一、导入设备包 由于USG6000v模拟器需要导入设备包才能使用，所以需要在华为企业专网下载USG6000v的设备包才能使用，根据自己eNSP的版本下载对应版本的设备包，推荐使用eNSP500或eNSP510。比如我的eNSP版本是510，那么需要进入该链接：eNSP各版本下载链接进行设备包的下载。 下载设备包需要一个华为账户...
华为防火墙双机热备配置实例
weixin_45457085的博客
01-07 9862
拓扑解释 两台防火墙FW1与FW2做双机热备冗余，SW2方向做trust区域，SW3方向做UNtrust区域 适用场景 一般园区网中 配置开始 先搞定底层的交换机 SW2上：（SW3上相同） vlan 10 int g0/0/3 port link-type access port access default vlan 10 port-group group-member g0/0/1 g0/0/2 port link-type trunk port trunk pvid v..
华为ensp中USG6000V防火墙双机热备VRRP+HRP原理及配置
最新发布
博客之路,前途漫漫
05-06 3576
华为防火墙双机热备是一种高可用性解决方案，可以将两台防火墙设备组成一个双机热备组，实现主备切换。当主用防火墙出现故障时，备用防火墙可以自动切换为新的主用防火墙，确保网络流量不中断。
华为防火墙配置（双机热备）
1风天云月的博客
12-10 1万+
​ 目录 前言 一、双机热备概述 1、双机热备介绍 2、双机热备的要求 （1）硬件要求 （2）软件要求 （3）License要求 3、心跳线 4、心跳线和心跳接口的配置 5、心跳线和心跳接口的配置注意事项 6、双机热备工作模式 （1）主备备份模式 （2）负载分担模式 7、VGMP组 8、VGMP组的状态 二、双机热备配置 1、案例 2、配置过程 （1）USG1 （2）USG2 （3）AR1 （4）SW1 3、测试 （1）PC1 （2）PC2 结
华为ensp防火墙双机热备web配置（一篇文章教会你）
weixin_52557120的博客
06-19 4536
本章主要介绍了防火墙双机热备的实验配置，含图文操作
华为 hrp vgmp 联动技术
weixin_44548030的博客
02-26 800
hrp vgmp
华为防火墙USG双机热备实例
qq_21612759的博客
03-07 1775
防火墙的双机热备
华为USG6000系列防火墙固件文件包括USG6000v1到V5升级包
06-13
华为USG6000系列防火墙固件。压缩包包含文件USG6000v500r001c30spc100.bin+USG6000V500R005C20SPC500(mini).bin+USG6000V500R005C20SPC500三个文件。
华为防火墙 USG6000v 配置详细版.docx
03-19
针对华为ensp模拟软件，为学习者提供USG6000v防火墙详细配置教程以及调试方法供使用者学习，更好的进行模拟实验，帮助了解防火墙的配置流程以及技术要领
华为USG6000系列下一代防火墙双机热备应用解决方案.docx
10-28
华为USG6000系列下一代防火墙双机热备应用解决方案.docx
华为ENSP模拟器USG6000防火墙
08-28
解压后获得vfw_usg.vdi文件，直接导入ensp模拟器即可，新建USG6000V防火墙时会弹出导入界面
华为USG6000V镜像包.rar
12-02
华为ensp防火墙USG6000V镜像包
在eNSP模拟器上使用usg6000v实现双机热备（旁路部署，上下行连接三层设备的主备备份组网）
接华为网络、网安方向小组作业，期末作业，课程设计、毕设等，有意可私信留言。
06-22 2865
在eNSP模拟器上使用usg6000v实现双机热备（旁路部署，上三下三，主备模式）拓扑图设备选型实验要求操作步骤结果验证 拓扑图 设备选型 PC1设备为PC型终端设备 LSW1设备为S3700型交换机 LSW2-3为S5700型交换机 AR1-5为AR2220型路由器 FW1-2为USG6000型防火墙 实验要求 1.完成所有设备的初始化配置（命名，接口IP，FW设备的安全区域划分） 2.在AR1-2设备上部署VRRP备份组，用于内网设备的网关 3.底层部署OSPF，Trust区域（内网区域）为OSPF1
华为防火墙USG6000通过WEB图形界面配置案例
热门推荐
LiBai'S BLOG
12-02 2万+
华为防火墙USG6000：NAT和NAT Server配置案例网络拓扑图通过WEB方式登录到防火墙登录成功配置防火墙使内网用户通过PAT方式上网配置防火墙使得外网用户能访问企业DMZ区域的FTP服务器(双向nat)内网用户与FTP-Server配置配置代码官方参考文档 网络拓扑图 通过WEB方式登录到防火墙 登录成功 配置防火墙使内网用户通过PAT方式上网 防火墙上新建一个Nat Pool，供内网用户以NAT方式访问外网 配置Nat策略 配置策略，使得trust区域可以访问untrust区域 配
华为防火墙双机热备-VGMP
qq_32044265的博客
07-20 4808
VGMP协议是华为公司的私有协议。VGMP协议中定义了VGMP组，FW基于VGMP组实现设备主备状态管理。 每台FW都有一个VGMP组，用户不能删除这个VGMP组，也不能再创建其他的VGMP组。VGMP组有优先级和状态两个属性。VGMP组优先级决定了VGMP组的状态。 FW能根据VGMP组的状态调整VRRP备份组状态、动态路由（OSPF、OSPFv3和BGP）的开销值、VLAN的状态以及接口的状态（镜像模式），从而实现主备备份或负载分担模式的双机热备。.........
3-防火墙高可靠性
qianlai22的博客
04-01 2604
1.IP-Link技术 IP-link定义 IP-Link是指FW通过向指定的目的IP周期性地发送探测报文并等待应答，来判断链路是否发生故障。 FW发送探测报文后，在三个探测周期（默认为15s）内未收到响应报文，则认为当前链路发生故障，IP-Link的状态变为Down。随后，FW会进行IP-Link Down相关的后续操作，例如双机热备主备切换等。 当链路从故障中恢复，FW能连续地收到3个响应报文，则认为链路故障已经消除，IP-Link的状态变为Up。也就是说，链路故障恢复后，IP-Link
企业网 SSL VPN 史诗级配置-华为ensp毕设实验
白话聊网络的博客
10-31 6057
最初实验路由器为边界，路由器做nat访问sw1上的两个三次vlanif，后期客户要求在该拓扑上部署ssl vpn，更改拓扑，让防火墙作为边界设备，在sw1下桥接虚拟机，让虚拟机的地址和防火墙G1/0/2的外网口地址互通（甭管用啥协议，目的就是打通）重启成功后，打开ensp的云彩，就会发现有你刚才创建的VM2，添加网卡这步，应该都会吧，再不百度一大堆。点击刚才设置好的vm2，把dhcp分配地址取消掉，子网处设置题目需求的地址段，确定，在配置前，在虚拟机ping下防火墙接口，不通-白玩-通了之后再往下玩。
华为USG6000V双机热备HRRP
林奋斗的博客
06-21 1316
1、 配置IP省略 2、 区域划分 [fw1]firewall zone trust [fw1-zone-trust]undo add int g0/0/0 [fw1-zone-trust]add int g1/0/2 [fw1]firewall zone dmz [fw1-zone-dmz]add int g0/0/0 [fw1-zone-dmz]q [fw1]firewall zone untrust [fw1-zone-untrust]add int g1/0/0 [fw1-zone-u.
eNSP防火墙任务配置
m0_64118193的博客
10-17 6521
进入untrust区域。#进入trust区域。
ensp 双机热备 配置_【解忧番外篇】基于eNSP USG6000v的双机热备实验
05-20
双机热备是指在网络环境中，两台设备通过热备技术实现自动切换，以保证网络的连续性和可靠性。eNSP是华为公司提供的网络仿真平台，可以用于模拟网络环境并进行实验。 下面是基于eNSP USG6000v的双机热备实验的配置步骤： 1. 配置虚拟网络环境 在eNSP中，创建两个虚拟机，并将它们连接到一个虚拟交换机上。 2. 配置USG6000v 在eNSP中，选择USG6000v，并进行以下配置： （1）配置主节点和备份节点的IP地址和网关。 （2）配置主节点和备份节点的同步口令。 （3）配置主节点和备份节点的HA端口。 （4）配置主节点和备份节点的HA心跳检测端口和检测周期。 （5）启用USG6000v的HA功能。 3. 配置测试环境 在eNSP中，配置测试环境，包括客户端和服务端。 4. 进行实验测试 在eNSP中，启动USG6000v的HA功能，并进行测试。可以模拟主节点故障，观察备份节点是否能够自动切换为主节点，并保证网络的连续性和可靠性。 以上就是基于eNSP USG6000v的双机热备实验的配置步骤。通过这样的实验，可以更好地了解双机热备技术，并提高网络的可靠性和连续性。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值