防火墙双机热备旁挂

最新推荐文章于 2024-07-19 17:35:15 发布
最新推荐文章于 2024-07-19 17:35:15 发布
阅读量320 收藏 10
点赞数 3
文章标签： 网络 智能路由器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_47592482/article/details/140520395
版权

文章目录

防火墙双机热备旁挂

拓扑图:

在这里插入图片描述

地址表
设备地址描述
SW1Vlan100：192.168.100.254/24
Vlan200：192.168.200.254/24		连接FW1-FW2的vlanif
分别去往防火墙和从防火墙回来
FW1int g1/0/1：192.168.100.253/24
int g1/0/0：192.168.200.253/24		连接交换机
FW2int g1/0/1：192.168.100.252/24
int g1/0/0：192.168.200.252/24		连接交换机
AR1int g0/0/0：192.168.20.1/24连接交换机
VRF名称接口描述
aVlan100，Vlan10去往防火墙A、业务vlan10
bVlan200，Vlan20从防火墙回到交换机、连接路由器Vlanif20接口
配置

  • SW1

    Vlan100-Vlan200：连接防火墙

    Vlan10：连接PC

    Vlan20：连接路由器

[SW1]display ip interface brief 
*down: administratively down
^down: standby
(l): loopback
(s): spoofing
The number of interface that is UP in Physical is 5
The number of interface that is DOWN in Physical is 2
The number of interface that is UP in Protocol is 5
The number of interface that is DOWN in Protocol is 2

Interface                         IP Address/Mask      Physical   Protocol  
MEth0/0/1                         unassigned           down       down      
NULL0                             unassigned           up         up(s)     
Vlanif1                           unassigned           down       down      
Vlanif10                          192.168.10.254/24    up         up        
Vlanif20                          192.168.20.254/24    up         up        
Vlanif100                         192.168.100.254/24   up         up        
Vlanif200                         192.168.200.254/24   up         up  

# 接口划分
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 20
#
interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 10
#
interface GigabitEthernet0/0/3
 port link-type access
 port default vlan 200
#
interface GigabitEthernet0/0/4
 port link-type access
 port default vlan 100
#
interface GigabitEthernet0/0/5
 port link-type access                    
 port default vlan 200
#
interface GigabitEthernet0/0/6
 port link-type access
 port default vlan 100

# 静态路由
[SW1]display current-configuration | include static
# 去往互联网的流量，下一跳FW1-FW2上行的VRRP虚拟地址
ip route-static vpn-instance a 0.0.0.0 0.0.0.0 192.168.100.251
# 从防火墙回到SW1的流量，下一跳AR1的地址
ip route-static vpn-instance b 0.0.0.0 0.0.0.0 192.168.20.1
# 从互联网返回的流量，下一跳去往FW1-FW2的下行接口的vrrp虚拟地址
ip route-static vpn-instance b 192.168.10.0 255.255.255.0 192.168.200.251
  • FW1
[FW1]display ip interface brief 
2024-05-02 12:29:20.020 
*down: administratively down
^down: standby
(l): loopback
(s): spoofing
(d): Dampening Suppressed
(E): E-Trunk down
The number of interface that is UP in Physical is 5
The number of interface that is DOWN in Physical is 5
The number of interface that is UP in Protocol is 5
The number of interface that is DOWN in Protocol is 5

Interface                         IP Address/Mask      Physical   Protocol  
GigabitEthernet0/0/0              192.168.0.1/24       down       down      
GigabitEthernet1/0/0              192.168.200.253/24   up         up        
GigabitEthernet1/0/1              192.168.100.253/24   up         up        
GigabitEthernet1/0/2              1.1.1.1/30           up         up        
GigabitEthernet1/0/3              unassigned           down       down      
GigabitEthernet1/0/4              unassigned           down       down      
GigabitEthernet1/0/5              unassigned           down       down      
GigabitEthernet1/0/6              unassigned           down       down      
NULL0                             unassigned           up         up(s)     
Virtual-if0                       unassigned           up         up(s) 

[FW1]display zone trust 
2024-05-02 12:29:45.110 
trust
 priority is 85
 interface of the zone is (2):
    GigabitEthernet0/0/0
    GigabitEthernet1/0/1
                  
[FW1]display zone untrust    
2024-05-02 12:30:29.740 
untrust
 priority is 5
 interface of the zone is (1):
    GigabitEthernet1/0/0
                  
[FW1]display zone dmz    
2024-05-02 12:30:42.360 
dmz
 priority is 50
 interface of the zone is (1):
    GigabitEthernet1/0/2
                  
# 安全策略，默认全部放通
# 配置往返路由
ip route-static 0.0.0.0 0.0.0.0 192.168.200.254
ip route-static 192.168.10.0 255.255.255.0 192.168.100.254

# 配置双机热备
 hrp enable
 hrp interface GigabitEthernet1/0/2 remote 1.1.1.2

[FW1]display vrrp brief 
2024-05-02 12:34:20.250 
Total:2     Master:2     Backup:0     Non-active:0      
VRID  State        Interface                Type     Virtual IP     
----------------------------------------------------------------
1     Master       GE1/0/1                  Vgmp     192.168.100.251
2     Master       GE1/0/0                  Vgmp     192.168.200.251
  • FW2
[FW2]display ip interface brief 
2024-05-02 12:31:57.100 
*down: administratively down
^down: standby
(l): loopback
(s): spoofing
(d): Dampening Suppressed
(E): E-Trunk down
The number of interface that is UP in Physical is 5
The number of interface that is DOWN in Physical is 5
The number of interface that is UP in Protocol is 5
The number of interface that is DOWN in Protocol is 5

Interface                         IP Address/Mask      Physical   Protocol  
GigabitEthernet0/0/0              192.168.0.1/24       down       down      
GigabitEthernet1/0/0              192.168.200.252/24   up         up        
GigabitEthernet1/0/1              192.168.100.252/24   up         up        
GigabitEthernet1/0/2              1.1.1.2/30           up         up        
GigabitEthernet1/0/3              unassigned           down       down      
GigabitEthernet1/0/4              unassigned           down       down      
GigabitEthernet1/0/5              unassigned           down       down      
GigabitEthernet1/0/6              unassigned           down       down      
NULL0                             unassigned           up         up(s)     
Virtual-if0                       unassigned           up         up(s) 

[FW2]display zone trust 
2024-05-02 12:32:08.320 
trust
 priority is 85
 interface of the zone is (2):
    GigabitEthernet0/0/0
    GigabitEthernet1/0/1
                  
[FW2]display zone untrust 
2024-05-02 12:32:21.710 
untrust
 priority is 5
 interface of the zone is (1):
    GigabitEthernet1/0/0
                  
[FW2]display zone dmz     
2024-05-02 12:32:32.230 
dmz
 priority is 50
 interface of the zone is (1):
    GigabitEthernet1/0/2
                  
# 安全策略，默认全部放通
# 配置往返路由
ip route-static 0.0.0.0 0.0.0.0 192.168.200.254
ip route-static 192.168.10.0 255.255.255.0 192.168.100.254

# 配置双机热备
 hrp enable
 hrp standby-device
 hrp interface GigabitEthernet1/0/2 remote 1.1.1.1

# 配置vrrp
[FW2]display vrrp brief 
2024-05-02 12:34:39.040 
Total:2     Master:0     Backup:2     Non-active:0      
VRID  State        Interface                Type     Virtual IP     
----------------------------------------------------------------
1     Backup       GE1/0/1                  Vgmp     192.168.100.251
2     Backup       GE1/0/0                  Vgmp     192.168.200.251
  • AR1
[AR1]display ip interface brief 
*down: administratively down
^down: standby
(l): loopback
(s): spoofing
The number of interface that is UP in Physical is 2
The number of interface that is DOWN in Physical is 2
The number of interface that is UP in Protocol is 2
The number of interface that is DOWN in Protocol is 2

Interface                         IP Address/Mask      Physical   Protocol  
GigabitEthernet0/0/0              192.168.20.1/24      up         up        
GigabitEthernet0/0/1              unassigned           down       down      
GigabitEthernet0/0/2              unassigned           down       down      
NULL0                             unassigned           up         up(s)

# 配置回程路由
ip route-static 192.168.10.0 255.255.255.0 192.168.20.254
验证
  • PC

在这里插入图片描述

这里为了模拟设备的上行接口down后的双机热备能否实现切换,我们这里将sw1的g0/0/4down掉,查看流量反应

  • PC

在这里插入图片描述

  • FW1
HRP_S[FW1]display hrp state verbose 
2024-05-02 12:37:41.190 
 Role: standby, peer: active (should be "active-standby")
 Running priority: 44998, peer: 45000
 Backup channel usage: 0.00%
 Stable time: 0 days, 0 hours, 1 minutes
 Last state change information: 2024-05-02 12:36:00 HRP core state changed, old_state = normal, new_state = abnormal(standby), local_priority = 44998, peer_priority = 45000.

 Configuration:
 hello interval:              1000ms
 preempt:                     60s
 mirror configuration:        off
 mirror session:              off
 track trunk member:          on
 auto-sync configuration:     on
 auto-sync connection-status: on
 adjust ospf-cost:            on
 adjust ospfv3-cost:          on
 adjust bgp-cost:             on
 nat resource:                off

 Detail information:
           GigabitEthernet1/0/1 vrrp vrid 1: Initialize
           GigabitEthernet1/0/0 vrrp vrid 2: standby (should be "active")
                                  ospf-cost: +65500 (should be "+0")
                                ospfv3-cost: +65500 (should be "+0")
                                   bgp-cost: +100 (should be "+0")

HRP_S[FW1]display vrrp brief 
2024-05-02 12:37:51.510 
Total:2     Master:0     Backup:1     Non-active:1      
VRID  State        Interface                Type     Virtual IP     
----------------------------------------------------------------
1     Initialize   GE1/0/1                  Vgmp     192.168.100.251
2     Backup       GE1/0/0                  Vgmp     192.168.200.251
  • FW2
HRP_M[FW2]display hrp state verbose 
2024-05-02 12:38:15.020 
 Role: active, peer: standby (should be "standby-active")
 Running priority: 45000, peer: 44998
 Backup channel usage: 0.00%
 Stable time: 0 days, 0 hours, 2 minutes
 Last state change information: 2024-05-02 12:36:02 HRP core state changed, old_state = normal, new_state = abnormal(active), local_priority = 45000, peer_priority = 44998.

 Configuration:
 hello interval:              1000ms
 preempt:                     60s
 mirror configuration:        off
 mirror session:              off
 track trunk member:          on
 auto-sync configuration:     on
 auto-sync connection-status: on
 adjust ospf-cost:            on
 adjust ospfv3-cost:          on
 adjust bgp-cost:             on
 nat resource:                off

 Detail information:
           GigabitEthernet1/0/1 vrrp vrid 1: active (should be "standby")
           GigabitEthernet1/0/0 vrrp vrid 2: active (should be "standby")
                                  ospf-cost: +0 (should be "+65500")
                                ospfv3-cost: +0 (should be "+65500")
                                   bgp-cost: +0 (should be "+100")

HRP_M[FW2]display vrrp brief 
2024-05-02 12:38:22.380 
Total:2     Master:2     Backup:0     Non-active:0      
VRID  State        Interface                Type     Virtual IP     
----------------------------------------------------------------
1     Master       GE1/0/1                  Vgmp     192.168.100.251
2     Master       GE1/0/0                  Vgmp     192.168.200.251

# 查看firewall session表
HRP_M[FW2]display firewall session table 
2024-05-02 12:38:41.040 
 Current Total Sessions : 5
 udp  VPN: public --> public  1.1.1.1:16384 --> 1.1.1.2:18514
 udp  VPN: public --> public  1.1.1.1:49152 --> 1.1.1.2:18514
 icmp  VPN: public --> public  192.168.10.253:20873 --> 192.168.20.1:2048
 udp  VPN: public --> public  1.1.1.2:49152 --> 1.1.1.1:18514
 icmp  VPN: public --> public  192.168.10.253:21129 --> 192.168.20.1:2048
HaLo_Grace肄繇
关注
  • 3
    点赞
  • 踩
  • 10
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
防火墙双机热备实验.zip
03-03
防火墙双机热备实验
华为防火墙双机热备.docx
09-06
华为防火墙双机热备.docx
华为ensp中USG6000V防火墙双机热备VRRP+HRP原理及配置
博客之路,前途漫漫
05-06 3567
华为防火墙双机热备是一种高可用性解决方案，可以将两台防火墙设备组成一个双机热备组，实现主备切换。当主用防火墙出现故障时，备用防火墙可以自动切换为新的主用防火墙，确保网络流量不中断。
防火墙双机热备实验
weixin_74452917的博客
02-06 867
双机热备状态成功建立后，FW1的安全策略配置会自动备份到FW2上。在防火墙FW1上行业务接口GE1/0/0上配置VRRP备份组1，并设置其状态为Standby。在防火墙FW1上行业务接口GE1/0/1上配置VRRP备份组2，并设置其状态为Standby。在防火墙FW1上行业务接口GE1/0/0上配置VRRP备份组1，并设置其状态为Active。在防火墙FW1上行业务接口GE1/0/1上配置VRRP备份组2，并设置其状态为Active。企业的两台防火墙的业务接口都工作在三层，上下行分别连接二层交换机。
防火墙双机热备配置实验
ChenD的学习笔记
12-12 2625
一、实验拓扑 二、配置云 三、配置防火墙 四、分配FW的接口地址与安全区域 五、按图示进行配置 六、双机热备的配置 七、配置NAT 八、模拟双机热备的切 防火墙双机热备配置实验
《eNSP - 防火墙双机热备 实验》
君逍遥o
10-31 1607
eNSP；防火墙；双机热备
防火墙双机热备配置步骤
12-25 884
hrp enable。
华为防火墙双机热备简介
qq2353177176的博客
11-15 535
VRRP提高了主备方案，防止单点故障但是防火墙需要VGMP来解决来回路径不一致的问题，将全部VRRP组状态统一管理 //是主全是主，是备全是备 当切换主备的时候，备设备也需要有一定是表项配置才能进行业务不中断，所以需要HRP传递备份防火墙双机之间状态信息和关键配置命令。
ensp 防火墙双机热备
m0_62894893的博客
10-03 282
配置防火墙的IP-link探测。配置接口地址和安全区域。
eNSP防火墙双机热备
qq_50829760的博客
11-11 1251
1、防火墙双机热备 2、电信和联通双出口 3、核心交换机配置VRRP+MSTP负载均衡。4、出口配置NAT 5、核心交换机作为用户网关实现vlan间路由。
【实战教程】掌握防火墙双机热备，确保业务不间断！
didiplus
01-25 1333
在网络安全的领域中，保障连续性和可靠性至关重要。而防火墙双机热备技术，宛如网络的安全双保险，确保在一台防火墙发生故障或停机时，另一台能够即时接管，实现无缝切换，保持网络的不间断运行。这种高可用性的设计为网络架构提供了额外的安全层，应对潜在风险，确保网络的稳定与安全。
SecPath-防火墙双机热备典型配置.doc
12-23
SecPath-防火墙双机热备典型配置.doc
华为防火墙双机热备配置及组网.pdf
11-03
华为防火墙双机热备配置及组网.pdf
防火墙双机热备3.3配置案例.pdf
03-27
防火墙双机热备3.3配置案例.pdf防火墙双机热备3.3配置案例.pdf防火墙双机热备3.3配置案例.pdf防火墙双机热备3.3配置案例.pdf防火墙双机热备3.3配置案例.pdf
【Socket 编程】基于UDP协议建立多人聊天室
稻草人敲代码的博客
07-19 285
对于服务端来说，除了要接收消息之外，还要实现一个路由转发模块，该路由转发模块可以将相应发送给所有连接的客户端。而对于客户端来说，除了要发送消息给聊天室，还要能实时看到其它所有客户端的消息。下面来看看具体实现的代码，代码只给出核心模块，其余代码模块代码可以借鉴我之前的博客。具体来说，服务器类实现的功能只有收消息。
网络协议-SOTP 协议格式
ziyunLLL的博客
07-19 279
SOTP（Secure Overlay Transport Protocol）是一种安全的覆盖层传输协议，旨在提供增强的安全性和功能。2.密钥管理：密钥的管理和交换是协议安全的重要部分，通常使用公钥基础设施（PKI）或密钥交换协议（如 Diffie-Hellman）。1.安全性：确保加密算法和认证算法的安全性。常用的加密算法包括 AES，常用的认证算法包括 HMAC-SHA256。3.性能：加密和认证会增加计算开销，需要在安全性和性能之间找到平衡。SOTP 协议格式的一般结构。
docker build时的网络问题
最新发布
flynetcn的专栏
07-19 221
docker build网络问题
27_MobileNetV3网络详解
https://github.com/foxpup11?tab=repositories
07-17 803
https://www.bilibili.com/video/BV1GK4y1p7uE/?spm_id_from=333.999.0.0&vd_source=7dace3632125a1ef7fd32c285eb2fbac
负载分担防火墙双机热备配置
09-24
在负载分担防火墙双机热备配置中，需要进行以下步骤： 1. 启用HRP协议：HRP（Huawei Redundancy Protocol）协议用于实现动态状态数据和关键配置命令的备份。在双机热备组网中，主防火墙出现故障时，所有流量将切换到备防火墙。为了保证流量的正常转发，需要启用HRP协议。 2. 配置会话快速备份功能：会话快速备份功能用于负载分担的工作方式，以应对报文来回路径不一致的场景。在负载分担组网下，由于两台防火墙都是主用设备，可能存在报文来回路径不一致的情况。为了防止业务中断，需要配置会话快速备份功能，使两台防火墙能够实时相互备份会话，保证回程报文能够查找到相应的会话表项。 3. 配置双机热备：通过冗余技术/协议实现动态的主备切换/负载分担。双机热备技术提高了网络的可靠性，防止单点故障。可以使用VRRP虚拟路由器冗余协议来实现主备设备会话表的同步，并确保流量路径来回一致。 总结以上步骤，负载分担防火墙双机热备配置的关键是启用HRP协议、配置会话快速备份功能以及配置双机热备。这样可以确保防火墙的状态数据和配置命令得到备份，保证流量的正常转发，并提高网络的可靠性。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值