华为防火墙配置双机热备

已于 2024-04-15 14:08:40 修改
阅读量878 收藏 7
点赞数 21
分类专栏： 华为网络设备 文章标签： 运维 华为 网络 网络协议
于 2024-04-15 14:08:16 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Richardlygo/article/details/137778680
版权

一、组网需求

公司A基于确保内部网络安全性的考虑，在内外网络之间部署了防火墙。由于防火墙设备是所有信息流都必须通过的单一节点，故一旦防火墙设备出现故障所有信息流都会中断。为了增强网络的可靠性，保证当防火墙设备出现故障时不中断网络，公司A利用两台设备实现防火墙主备功能

二、配置思路

正常情况下，公司A内的用户主机以RouterA为默认网关接入Internet，当RouterA出现故障时，RouterB接替RouterA继续进行工作。具体配置思路如下：

  1. 配置各设备接口IP地址及路由协议，以保证各设备间网络层连通。

  2. 在RouterA和RouterB上分别配置防火墙功能，实现公司内外网的安全隔离。

  3. 在RouterA和RouterB上配置VRRP备份组。其中，RouterA上配置较高优先级，作为主用设备承担流量转发；RouterB上配置较低优先级，作为备用设备。
  4. 在RouterA和RouterB上配置双机热备份功能，将RouterA上的业务信息通过备份链路批量备份和实时备份到RouterB上，保证在主设备故障时业务能够不中断地顺利切换到备份设备。
  5. 在RouterA和RouterB上分别使能防火墙主备功能，实现当主用防火墙设备RouterA出现故障时，备用防火墙设备RouterB启动防火墙功能，以保证网络的不间断运行。

三、操作步骤

1、配置设备间的网络互连。

# 配置设备各接口的IP地址，以RouterA为例。RouterB的配置与之类似，详见配置文件。

<Huawei> system-view
[Huawei] sysname RouterA
[RouterA] interface gigabitethernet 1/0/0
[RouterA-GigabitEthernet1/0/0] ip address 192.168.1.1 24
[RouterA-GigabitEthernet1/0/0] quit
[RouterA] interface gigabitethernet 2/0/0
[RouterA-GigabitEthernet2/0/0] ip address 10.1.1.1 24
[RouterA-GigabitEthernet2/0/0] quit
[RouterA] interface gigabitethernet 3/0/0
[RouterA-GigabitEthernet3/0/0] ip address 192.168.2.1 24
[RouterA-GigabitEthernet3/0/0] quit

# 配置Switch的二层透传功能。

<Huawei> system-view
[Huawei] sysname Switch
[Switch] vlan 100
[Switch-vlan100] quit
[Switch] interface gigabitethernet 0/0/1
[Switch-GigabitEthernet0/0/1] port hybrid pvid vlan 100
[Switch-GigabitEthernet0/0/1] port hybrid untagged vlan 100
[Switch-GigabitEthernet0/0/1] quit
[Switch] interface gigabitethernet 0/0/2
[Switch-GigabitEthernet0/0/2] port hybrid pvid vlan 100
[Switch-GigabitEthernet0/0/2] port hybrid untagged vlan 100
[Switch-GigabitEthernet0/0/2] quit

2、配置防火墙功能。

# 在RouterA上配置防火墙功能，RouterB的配置与之类似，详见配置文件。

[RouterA] firewall zone trust
[RouterA-zone-trust] priority 15
[RouterA-zone-trust] quit
[RouterA] firewall zone untrust
[RouterA-zone-untrust] priority 1
[RouterA-zone-untrust] quit
[RouterA] firewall interzone trust untrust
[RouterA-interzone-trust-untrust] firewall enable
[RouterA-interzone-trust-untrust] quit

# 在RouterA上将接口加入安全区域，RouterB的配置与之类似，详见配置文件。

[RouterA] interface gigabitethernet 1/0/0
[RouterA-GigabitEthernet1/0/0] zone untrust
[RouterA-GigabitEthernet1/0/0] quit
[RouterA] interface gigabitethernet 2/0/0
[RouterA-GigabitEthernet2/0/0] zone trust
[RouterA-GigabitEthernet2/0/0] quit
[RouterA] interface gigabitethernet 3/0/0
[RouterA-GigabitEthernet3/0/0] zone untrust
[RouterA-GigabitEthernet3/0/0] quit

3、配置VRRP备份组。

# 在RouterA上创建VRRP备份组1，配置RouterA在该备份组中的优先级为120。

[RouterA] interface gigabitethernet 2/0/0
[RouterA-GigabitEthernet2/0/0] vrrp vrid 1 virtual-ip 10.1.1.111
[RouterA-GigabitEthernet2/0/0] vrrp vrid 1 priority 120
[RouterA-GigabitEthernet2/0/0] quit

# 在RouterB上创建VRRP备份组1，其在该备份组中的优先级为缺省值100。

[RouterB] interface gigabitethernet 2/0/0
[RouterB-GigabitEthernet2/0/0] vrrp vrid 1 virtual-ip 10.1.1.111
[RouterB-GigabitEthernet2/0/0] quit

4、配置双机热备份功能，并使能防火墙主备功能。

# 在RouterA上创建HSB主备服务0，并配置其主备通道IP地址和端口号。

[RouterA] hsb-service 0
[RouterA-hsb-service-0] service-ip-port local-ip 192.168.1.1 peer-ip 192.168.1.2 local-data-port 10241 peer-data-port 10241
[RouterA-hsb-service-0] quit

# 在RouterB上创建HSB主备服务0，并配置其主备通道IP地址和端口号。

[RouterB] hsb-service 0
[RouterB-hsb-service-0] service-ip-port local-ip 192.168.1.2 peer-ip 192.168.1.1 local-data-port 10241 peer-data-port 10241
[RouterB-hsb-service-0] quit

# 在RouterA上创建HSB备份组0，并配置其绑定HSB主备服务0和VRRP备份组1。RouterB的配置与之类似，详见配置文件。

[RouterA] hsb-group 0
[RouterA-hsb-group-0] bind-service 0
[RouterA-hsb-group-0] track vrrp vrid 1 interface gigabitethernet 2/0/0
[RouterA-hsb-group-0] quit

# 在RouterA上使能防火墙主备功能，RouterB的配置与之类似，详见配置文件。

[RouterA] hsb-service-type firewall hsb-group 0

# 在RouterA上使能HSB备份组0，使HSB备份组的相关配置生效。RouterB的配置与之类似，详见配置文件。

[RouterA] hsb-group 0
[RouterA-hsb-group-0] hsb enable
[RouterA-hsb-group-0] quit

5、验证配置结果。

# 完成上述配置以后， 在RouterA和RouterB上执行display hsb-group group-index命令，查看HSB备份组的运行情况。RouterA和RouterB上的显示信息如下。

<RouterA> display hsb-group 0
Hot Standby Group Configuration:
----------------------------------------------------------
  HSB-group ID                : 0                                
  Vrrp Group ID               : 1                                
  Vrrp Interface              : GigabitEthernet2/0/0                        
  Service Index               : 0                                
  Group Vrrp Status           : Master                           
  Group Status                : Active                           
  Group Backup Process        : Realtime                         
  Peer Group Device Name      : Router                     
  Peer Group Software Version : V300R021
  Group Backup Modules        : Firewall     
<RouterB> display hsb-group 0
Hot Standby Group Configuration:
----------------------------------------------------------
  HSB-group ID                : 0                                
  Vrrp Group ID               : 1                                
  Vrrp Interface              : GigabitEthernet2/0/0                        
  Service Index               : 0                                
  Group Vrrp Status           : Backup                           
  Group Status                : Inactive                         
  Group Backup Process        : Realtime                         
  Peer Group Device Name      : Router                     
  Peer Group Software Version : V300R021
  Group Backup Modules        : Firewall

# 在RouterA的接口GE2/0/0上执行shutdown命令，模拟RouterA出现故障。

[RouterA] interface gigabitethernet 2/0/0
[RouterA-GigabitEthernet2/0/0] shutdown
[RouterA-GigabitEthernet2/0/0] quit

# 在RouterB上执行display hsb-group group-index命令查看HSB备份组状态信息，可以看到RouterB的状态是Master。

<RouterB> display hsb-group 0
Hot Standby Group Configuration:
----------------------------------------------------------
  Hsb-group ID                : 0
  Vrrp Group ID               : 1
  Vrrp Interface              : GigabitEthernet2/0/0
  Service Index               : 0                                
  Group Vrrp Status           : Master                      
  Group Status                : Independent                      
  Group Backup Process        : Realtime                         
  Peer Group Device Name      : Router                     
  Peer Group Software Version : V300R021
  Group Backup Modules        : Firewall

四、配置文件

RouterA的配置文件

#
sysname RouterA
#
hsb-service-type firewall hsb-group 0
#
interface GigabitEthernet1/0/0
 ip address 192.168.1.1 255.255.255.0
 zone untrust
#
interface GigabitEthernet2/0/0
 ip address 10.1.1.1 255.255.255.0
 vrrp vrid 1 virtual-ip 10.1.1.111
 vrrp vrid 1 priority 120
 zone trust
#
interface GigabitEthernet3/0/0
 ip address 192.168.2.1 255.255.255.0
 zone untrust
#
hsb-service 0
 service-ip-port local-ip 192.168.1.1 peer-ip 192.168.1.2 local-data-port 10241 peer-data-port 10241
# 
firewall zone trust
 priority 15
#                                                                               
firewall zone untrust                                                           
 priority 1                                                                     
#                                                                               
firewall interzone trust untrust                                                
 firewall enable
#
hsb-group 0
 track vrrp vrid 1 interface GigabitEthernet2/0/0
 bind-service 0
 hsb enable
#
return

RouterB的配置文件

#
sysname RouterB
#
hsb-service-type firewall hsb-group 0
#
interface GigabitEthernet1/0/0
 ip address 192.168.1.2 255.255.255.0
 zone untrust
#
interface GigabitEthernet2/0/0
 ip address 10.1.1.2 255.255.255.0
 vrrp vrid 1 virtual-ip 10.1.1.111
 zone trust
# 
interface GigabitEthernet3/0/0
 ip address 192.168.2.2 255.255.255.0
 zone untrust
#
firewall zone trust
 priority 15
#                                                                               
firewall zone untrust                                                           
 priority 1                                                                     
#                                                                               
firewall interzone trust untrust                                                
 firewall enable
#              
hsb-service 0
 service-ip-port local-ip 192.168.1.2 peer-ip 192.168.1.1 local-data-port 10241 peer-data-port 10241
#
hsb-group 0
 track vrrp vrid 1 interface GigabitEthernet2/0/0
 bind-service 0
 hsb enable
#
return

Switch的配置文件

#
sysname Switch
#
vlan batch 100
#
interface GigabitEthernet0/0/1
 port hybrid pvid vlan 100
 port hybrid untagged vlan 100
#
interface GigabitEthernet0/0/2
 port hybrid pvid vlan 100
 port hybrid untagged vlan 100
#
return

橘座以大橘为重
关注
  • 21
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
华为防火墙双机热备配置及组网.pdf
11-03
华为防火墙双机热备配置及组网.pdf
【网络实验】eNSP模拟华为防火墙配置双机热备VRRP
Vector_seven的博客
08-19 2938
心跳线双方的接口编号一定要一样；华为防火墙不止三个区域，还可以自定义区域，只是这里刚好三个区域，可以就用dmz区域；但是设定其他自定义区域也没事，反正默认都不能互通；防火墙的vrrp和路由器的vrrp有区别：路由器的vrrp是在路由器内部设，如果只是双机热备，就只用设置一组vrid防火墙的vrrp即使是双机热备也要设置两组，且是一个防火墙的上行链路接口和下行链路接口各为一组，且两个口都要配置虚拟ip。
华为防火墙配置（双机热备）
1风天云月的博客
12-10 1万+
​ 目录 前言 一、双机热备概述 1、双机热备介绍 2、双机热备的要求 （1）硬件要求 （2）软件要求 （3）License要求 3、心跳线 4、心跳线和心跳接口的配置 5、心跳线和心跳接口的配置注意事项 6、双机热备工作模式 （1）主备备份模式 （2）负载分担模式 7、VGMP组 8、VGMP组的状态 二、双机热备配置 1、案例 2、配置过程 （1）USG1 （2）USG2 （3）AR1 （4）SW1 3、测试 （1）PC1 （2）PC2 结
华为防火墙实现双机热备配置详解
热门推荐
小健健的博客
10-26 1万+
一提到防火墙，一般都会想到企业的边界设备，是内网用户与互联网的必经之路。防火墙承载了非常多的功能，比如：安全规则、IPS、文件类型过滤、内容过滤、应用层过滤等。也正是因为防火墙如此的重要，如果防火墙一旦出现问题，所有对外通信的服务都将中断，所以企业中首先要考虑的就是防火墙的优化及高可用性。 博文大纲： 一、双机热备工作原理 二、VRRP协议 （1）VRRP协议概述 （2）VRRP的角色 （3）V...
华为防火墙双机热备简介
最新发布
qq2353177176的博客
11-15 304
VRRP提高了主备方案，防止单点故障但是防火墙需要VGMP来解决来回路径不一致的问题，将全部VRRP组状态统一管理 //是主全是主，是备全是备 当切换主备的时候，备设备也需要有一定是表项配置才能进行业务不中断，所以需要HRP传递备份防火墙双机之间状态信息和关键配置命令。
华为防火墙双机热备配置实例
weixin_45457085的博客
01-07 9354
拓扑解释 两台防火墙FW1与FW2做双机热备冗余，SW2方向做trust区域，SW3方向做UNtrust区域 适用场景 一般园区网中 配置开始 先搞定底层的交换机 SW2上：（SW3上相同） vlan 10 int g0/0/3 port link-type access port access default vlan 10 port-group group-member g0/0/1 g0/0/2 port link-type trunk port trunk pvid v..
华为防火墙双机热备配置手册
12-01
华为防火墙双机热备配置手册，适用于Quidway Eudemon 300/500/1000等型号
华为防火墙VRRP双机热备配置及组网.pdf
09-04
华为防火墙VRRP双机热备配置及组网.pdf
华为防火墙-双机热备配置.pdf
11-04
华为防火墙-双机热备配置.pdf
华为防火墙双机热备配置与组网.doc
10-09
华为防火墙双机热备配置与组网.doc
华为/华三交换机配置SNMP
Richardlygo的博客
07-13 1万+
SNMP
华为交换机web界面配置
Richardlygo的博客
07-24 8220
web登录
华为交换机镜像口配置
Richardlygo的博客
08-23 4637
镜像口
华为交换机配置SSH远程登录
Richardlygo的博客
08-02 2973
连接console线直接配置。
配置IPV6的DHCP自动获取服务器
Richardlygo的博客
07-17 2536
IPV6 DHCP配置
交换机NTP服务器地址配置
Richardlygo的博客
07-26 1387
NTP
【华为网络设备】设置静态路由表，使不同网段设备互相联通
Richardlygo的博客
09-11 1167
工具：华为eNSP模拟软件 目标：配置静态路由表使不同网段的客户电脑123能相互ping通。 如上拓扑图： 设备IP地址一览表 设备名称 端口 IP PC-CLENT1 E0/0/1 192.168.1.100 PC-CLENT2 E0/0/1 192.168.23.100 PC-CLENT3 E0/0/1 ...
H3交换机 Guest － vlan 功能的配置
Richardlygo的博客
08-08 1154
guest vlan
华为防火墙配置大全
Richardlygo的博客
11-13 1078
防火墙（Firewall）也称防护墙，是由Check Point创立者Gil Shwed于1993年发明并引入国际互联网（US5606668（A）1993-12-15）防火墙是位于内部网和外部网之间的屏障，它按照系统管理员预先定义好的规则来控制数据包的进出。防火墙是系统的第一道防线，其作用是防止非法用户的进入。 初始化防火墙 初始化防火墙:默认用户名为admin,默认的密码Admin...
华三防火墙做双机热备
09-06
要实现华三防火墙的双机热备，可以使用华三自主研发的IRF（Intelligent Resilient Framework）技术。IRF是一种硬件虚拟化技术，它的核心思想是将多台设备通过IRF物理接口连接起来，虚拟化成一台"分布式设备"。通过适当的配置，这些设备可以共享硬件资源和软件处理能力，实现协同工作、统一管理和不间断维护。 你可以创建一个动态聚合端口，并启用LACP MAD检测功能，以确保IRF之间的连通性。具体的双机热备配置步骤可以参考华为防火墙实现双机热备配置的相关博文。 这样，当一台设备出现故障或维护时，另一台设备可以顺利接管工作，实现双机热备的高可用性。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *2* *3* [H3C IRF2典型应用](https://blog.csdn.net/weixin_45186298/article/details/102837463)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 100%"] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值