防火墙NAT与双机热备

 双机热备

基于VRRP的路由器冗余部署方案

VRRP（Virtual Router Redundancy Protocol）是一种容错协议，它保证当主机的下一跳路由器（默认网关）出现故障时，由备份路由器自动代替出现故障的路由器完成报文转发任务，从而保持网络通信的连续性和可靠性。同一VRRP备份组内的路由器有两种角色：Master设备（活动状态）、Backup设备（备份状态）。

 主设备Router A正常时：

Router A作为VRRP备份组的Master设备，负责转发数据流量。

  主设备Router A故障时：

Router B感知到VRRP心跳超时，从而被选举为新的主设备；

Router B发送免费ARP，交换机收到后刷新MAC地址表；

Router B响应用户的ARP请求，并负责流量转发。

VRRP在防火墙之中的应用

为防火墙上多个区域提供双机备份功能时，需要在每一台防火墙上配置多个VRRP备份组

 VGMP的基本原理

为了保证所有VRRP备份组切换的一致性，在VRRP的基础上进行了扩展，推出了VGMP（VRRP组管理协议）来弥补此局限。将同一台防火墙上的多个VRRP备份组都加入到一个VGMP管理组，由管理组统一管理所有VRRP备份组的状态，来保证管理组内的所有VRRP备份组状态都是一致的。

当故障发生时，VGMP统一切换VRRP备份组1与VRRP备份组2的状态。当VGMP组状态为Active时，VRRP备份组的状态都是Master；当VGMP组状态为Standby时，VRRP备份组的状态都是Backup

 HPR的基本概念

主要是用来实现防火墙之间的状态信息和关键配置的 动态备份,不同厂商采取的方法不同。

其需要备份的内容如下

 防火墙双机热备主备设备切换

业务口/业务线路故障

如图所示，防火墙A的业务口/所连业务线出现故障时，防火墙A的VGMP组优先级降低，发送VGMP请求报文；

防火墙B收到对端发送的VGMP请求报文后，与自己的VGMP组优先级进行比较，发送VGMP应答报文；

防火墙A收到回应报文，将VGMP组状态切换为Standby，防火墙A上的VRRP备份组1和备份组2则切换状态为Backup；

防火墙B将VGMP组状态切换为Active，防火墙B上的VRRP备份组1和备份组2则切换状态为Master。由防火墙B向交换机B和D发送免费ARP报文。

NAT实验

实验拓扑

PC1配置的IP地址为192.168.2.2/24

进入防火墙配置NAT

 做好NAT之后写策略，放通流量

 测试PC1是否能够访问PC2

接下来配置源地址和目标地址双转

配置NAT策略

创建地址池

 

 NAT配置好了之后配置策略放行

 测试是否能够访问并且抓包查看

 

双机热备实验 

配置主设备防火墙

配置虚拟ip

 配置备用防火墙

查看设备信息

 

 测试是否能够成功切换

此时3为主4为备

关闭g0/0/7接口

 

此时可以成功切换