H3C高可用网络设计

H3C高可用网络设计
需求
（1）汇聚层、核心层、防火墙，都要采用高可用设计。
（2）各层之间要求链路冗余，高带宽。
（3）双ISP设计，智能访问Internet。
拓扑图

防火墙配置
命令配置完成之前，不要连线
FW-A堆叠
irf member 1 priority 32

interface range Gi1/0/22 to Gi1/0/23
shutdown

irf-port 1/2
port group interface GigabitEthernet1/0/22
port group interface GigabitEthernet1/0/23

interface range Gi1/0/22 to Gi1/0/23
undo shutdown

save //保存配置
irf-port-configuration active
FW-B堆叠
irf member 1 renumber 2 //将IRF编号改为2，改完要保存重启
save --> quit --> reboot

interface range Gi2/0/22 to Gi2/0/23
shutdown

irf-port 2/1
port group interface GigabitEthernet2/0/22
port group interface GigabitEthernet2/0/23

interface range Gi2/0/22 to Gi2/0/23
undo shutdown

save //保存配置
irf-port-configuration active

现在，可以用线将两台防火墙的22、23端口连接起来，它们进行选举后，成为次优先级的设备会自动重启，重启完成后，两台设备变成逻辑上一台设备，使用命令dis irf ? 查看堆叠是否成功。
配置 LACP MAD
irf domain 0 //不与其它设备的domain号相同

interface Route-Aggregation1 //连接防火墙与核心交换机，三层聚合
description to-CoreSwitch
ip address 172.16.111.1 255.255.255.252
link-aggregation mode dynamic //另一端也要配置成dynamic
mad enable

interface range Gi1/0/20 to Gi1/0/21
port link-aggregation group 1

interface range Gi2/0/20 to Gi2/0/21
port link-aggregation group 1
配置区域接口
security-zone name Trust
import interface GigabitEthernet1/0/1 //默认的web接口，若不从此接口登录web，就不需要此行
import interface Route-Aggregation11 //三层聚合链路接口

security-zone name Untrust
import interface GigabitEthernet1/0/0 //电信WAN接口
import interface GigabitEthernet2/0/0 //联通WAN接口

security-policy ip //#安全策略，允许Trust访问Untrust和Local。接口默认情况下属于Local
rule 0 name allow-to-internet
action pass
source-zone Trust
destination-zone Untrust
destination-zone Local
destination-zone DMZ
到这一步，已经可以通过Gi1/0/1接口进行web管理了，默认登录帐号为admin/admin。
配置WAN接口
interface GigabitEthernet1/0/0 //电信接口