Cisco 实现路由防火墙 双机热备（项目记录）

最近收到一个新的项目，双路由器、双防火墙、双交换机实现全网互通

因实际项目采用全Cisco 设备，故这次展示及命令为Cisco，华为也尝试过也能完全实现，若有需求我会在发一份华为的配置

在EVE上模拟整个项目:

网络拓扑图如下：Cisco

华为拓扑图如下：（ENSP大家都可以自己搭建来玩玩）

这篇文章我们仅对Cisco设备进行描述，ok我们开始进入正题

================================================================================================

首先，因为EVE没办法模拟VSS故我们用一台交换机来替代，VPC1代表DB-ZONE、VPC2代表APP-ZONE

VPC1:172.16.10.1 24/172.16.10.254

VPC2:172.16.20.1 24/172.16.20.254

交换机作为2层交换机，防火墙做单臂路由，因为客户要实现APP和DB放在不同的DMZ区进行隔离

-------------------------------------------------------------------------------------------------------------------------------------------------------------------------

开始配置：

VPC1：

ip 172.16.10.1 255.255.255.0 172.16.10.254 

save

VPC2:

ip 172.16.20.1 255.255.255.0 172.16.20.254

save

交换机配置

en

config t

hostname VSS

vlan 10

vlan20

int vlan 10

ip add 172.16.10.2 255.255.255.0

int vlan 20

ip add 172.16.20.2 255.255.255.0

interface GigabitEthernet0/0
 switchport trunk encapsulation dot1q
 switchport mode trunk
 negotiation auto
interface GigabitEthernet0/1
 switchport trunk encapsulation dot1q
 switchport mode trunk
 negotiation auto
interface GigabitEthernet0/2
 switchport access vlan 10
 switchport mode access
 negotiation auto
interface GigabitEthernet0/3
 switchport access vlan 20
 switchport mode access
 negotiation auto

ok重点开始了 防火墙配置 OSPF，failover，单臂路由

ASA-A（主防火墙）

先配置单臂接口和其他子接口：

interface Ethernet0
 nameif DMZ
 security-level 50
 ip address 172.16.30.1 255.255.255.0 standby 172.16.30.2 
interface Ethernet1
 no nameif    
 no security-level
 no ip address
interface Ethernet1.10
 vlan 10
 nameif DB
 security-level 100
 ip address 172.16.10.254 255.255.255.0 
interface Ethernet1.20
 vlan 20
 nameif APP
 security-level 100
 ip address 172.16.20.254 255.255.255.0 
interface Ethernet2
 description STATE Failover Interface    （同步会话）
interface Ethernet3
 description LAN Failover Interface      （同步配置）

端口配置完成后 我们开始放行流量为了 保证全部验证通过 先permit any any

same-security-traffic permit inter-interface---------------------（同安全级别的子接口互访）
access-list acl_DB extended permit ip any any 
access-list acl_DB extended permit icmp any any 
access-list acl_APP extended permit icmp any any 
access-list acl_APP extended permit ip any any 
access-list acl_DMZ extended permit ip any any 
access-list acl_DMZ extended permit icmp any any

access-group acl_DMZ in interface DMZ
access-group acl_DB in interface DB
access-group acl_APP in interface APP

全部放通以后，一定要先测试是否能通到172.16.10.254 和20.254 以及DB和APP是否能能够互通

如图：

然后配置双机热备：

failover
failover lan unit primary ------------------------------------------------设置为主
failover lan interface HA Ethernet3----------------------------------设置failover的接口，此接口用来检测心跳和同步配置
failover link stateful Ethernet2----------------------------------------设置名称
failover interface ip HA 1.1.1.1 255.255.255.0 standby 1.1.1.2---设置failover主备地址
failover interface ip stateful 2.1.1.1 255.255.255.0 standby 2.1.1.2-设置failover link主备地址

主防火墙这里就全部配置完成这里为了偷懒 我起了OSPF配置如下：

router ospf 100
network 172.16.10.0 255.255.255.0 area 0
network 172.16.20.0 255.255.255.0 area 0
network 172.16.30.0 255.255.255.0 area 0
log-adj-changes
default-information originate ----------------------------下发缺省

主防火墙到这里就全部配置完成、我们开始配置备防火墙

interface eth3
no shutdown
failover lan unit secondary
failover lan interface ha eth3
failover interface ip ha 1.1.1.1 255.255.255.0 standby 1.1.1.2
failover

这样我们就配置完成，后续的所有配置都会自动同步到备上，

ok我们开始配置路由器，主要配置的技术有nat，ospf、HSRP

同理我们先配置端口，这里就不写上去了

配置ospf：

router ospf 100
 network 172.16.30.0 0.0.0.255 area 0
 network 192.168.10.0 0.0.0.255 area 0
 default-information originate

然后我们配置HSRP

interface GigabitEthernet0/3
 ip address 172.16.30.3 255.255.255.0
 ip nat inside    ----------------------这里先写了 用于nat
 ip virtual-reassembly in
 standby 10 ip 172.16.30.254      ----vip
 standby 10 priority 101--------------优先级
 standby 10 preempt-----------------开启抢占模式
 standby 10 track 10 decrement 10----链路检测机制

track 10 interface GigabitEthernet0/0 line-protocol-----先定义track

nat：

access-list 10 permit 172.16.30.0 0.0.0.255
access-list 10 permit 172.16.10.0 0.0.0.255
access-list 10 permit 172.16.20.0 0.0.0.255-----------------先设置规则

ip nat inside source list 10 interface GigabitEthernet0/0 overload
ip route 0.0.0.0 0.0.0.0 202.106.1.1 

自从 我们整个网络就全部完成啦，备的配置请查考主路由器。

测试：

测试主防火墙shutdown

完成整个实验。

后续如果有需要华为的配置人多的话，我也会整理一份出来。