拓扑图
![](https://i-blog.csdnimg.cn/blog_migrate/a35c4a947dd5da2a2ab9bc13f3b52590.png)
区域、接口、IP:
FW1:
[FW1]firewall zone trust
[FW1-zone-trust]add in g1/0/0
Quit
[FW1]firewall zone untrust
[FW1-zone-untrust]add in g1/0/1
[FW1]int g1/0/0
[FW1-GigabitEthernet1/0/0]ip add 10.1.1.1 24
[FW1-GigabitEthernet1/0/0]int g1/0/1
[FW1-GigabitEthernet1/0/1]ip add 10.1.2.1 24
FW2:
[FW2]firewall zone trust
[FW2-zone-trust]add in g1/0/0
[FW2-zone-trust]q
[FW2]firewall zone untrust
[FW2-zone-untrust]add in g1/0/1
[FW2-zone-untrust]q
[FW2]int g1/0/0
[FW2-GigabitEthernet1/0/0]ip add 10.1.1.2 24
[FW2-GigabitEthernet1/0/0]int g1/0/1
[FW2-GigabitEthernet1/0/1]ip add 10.1.2.2 24
![](https://i-blog.csdnimg.cn/blog_migrate/f67f1eb8914b62279ed44774f6a73a70.png)
![](https://i-blog.csdnimg.cn/blog_migrate/bd21cee704721b4ea12911202b00e63d.png)
VRRP、VGMP
FW1:
[FW1]int g1/0/0
[FW1-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 10.1.1.254 active #配置vrrp虚拟网关并加入VGMP组active代表主网关。
[FW1]int g1/0/1
[FW1-GigabitEthernet1/0/1]vrrp vrid 2 virtual-ip 10.1.2.254 active
FW2:
[FW2]int g1/0/0
[FW2-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 10.1.1.254 standby #配置vrrp虚拟网关并加入VGMP组standby代表备网关。
[FW2-GigabitEthernet1/0/0]int g1/0/1
[FW2-GigabitEthernet1/0/1]vrrp vrid 2 virtual-ip 10.1.2.254 standby
HRP(心跳)
FW1:
[FW1]int Eth-Trunk 1 #创建端口组1
[FW1-Eth-Trunk1]trunkport GigabitEthernet 1/0/5 to 1/0/6 #把接口加入端口组
[FW1-Eth-Trunk1]ip address 10.1.12.1 24 #给端口组配置ip
FW2:
[FW2]int Eth-Trunk 1 #创建端口组1
[FW2-Eth-Trunk1]trunkport GigabitEthernet 1/0/5 to 1/0/6 #把接口加入端口组
[FW2-Eth-Trunk1]ip add 10.1.12.2 24 #给端口组配置ip
FW1:
[FW1]hrp enable #开启hrp。
HRP_S[FW1]hrp interface Eth-Trunk 1 remote 10.1.12.2 #指定hrp接口,remote后面跟对端ip地址。
FW2:
[FW2]hrp enable #开启hrp。
HRP_S[FW2]hrp interface Eth-Trunk 1 remote 10.1.12.1 #指定hrp接口,remote后面跟对端ip地址。
FW1:
HRP_M[FW1]firewall zone dmz
HRP_M[FW1-zone-dmz]add in Eth-Trunk 1
FW2:
HRP_M[FW2]firewall zone dmz
HRP_M[FW2-zone-dmz]add in Eth-Trunk 1
加入防火墙区域之后就可以互相知道状态了
![](https://i-blog.csdnimg.cn/blog_migrate/14ba3ddc4ca9fd4408d201fd5981f398.png)
#主
![](https://i-blog.csdnimg.cn/blog_migrate/ee9066949020064d0ca1074feaa03b6b.png)
#备
![](https://i-blog.csdnimg.cn/blog_migrate/2d61e502b8ba1156ca94077565903085.png)
#现在可以看到vrrp的类型已经不是vrrp决定的了,而是vgmp。
安全策略:
HRP_M[FW1]security-policy (+B) #进入安全策略(+B)代表自动同步。
HRP_M[FW1-policy-security]rule name shangwang (+B) #策略名称。
HRP_M[FW1-policy-security-rule-shangwang]source-zone trust (+B) #源区域。
HRP_M[FW1-policy-security-rule-shangwang]destination-zone untrust (+B) #目的区域。
HRP_M[FW1-policy-security-rule-shangwang]action permit (+B) #访问。
![](https://i-blog.csdnimg.cn/blog_migrate/414d6f12b83ab2f7dd8ef5b9dbcb81f7.png)
#交换机生成虚max地址,后面两位是vrrp vid。
测试:
![](https://i-blog.csdnimg.cn/blog_migrate/b339634c7434afd470b3f92abb169a73.png)
FW1:
![](https://i-blog.csdnimg.cn/blog_migrate/2d23e43d95075d017e254c9fa2444c3f.png)
#命中数为5次。
FW2:
![](https://i-blog.csdnimg.cn/blog_migrate/259b4078331868b296b5c18a5a17ec20.png)
#备防护墙命中数为0。
![](https://i-blog.csdnimg.cn/blog_migrate/fe3f29bee456558cb86f502c3568214e.png)
#使用长ping。
FW1:
![](https://i-blog.csdnimg.cn/blog_migrate/70ad88bea5782cf5e818d47c7e8bd101.png)
#把接口关掉。
![](https://i-blog.csdnimg.cn/blog_migrate/1e2847f47b0abadc78ff42a9901565cc.png)
#中间有一次丢包。
FW2:
![](https://i-blog.csdnimg.cn/blog_migrate/ace08d5a90e2e73cc91f0b7b7e98fd21.png)
#可以看到FW2自动成为主防火墙了。
![](https://i-blog.csdnimg.cn/blog_migrate/291cc5bbeed54219870d8fae7fd3452c.png)
#再看命中数。
FW1:
![](https://i-blog.csdnimg.cn/blog_migrate/1e577191f5ddbef0d21b9f1665f03b77.png)
#这里显示开启接口后1分钟会进行抢占。
![](https://i-blog.csdnimg.cn/blog_migrate/2c59df3be879602c94620de3378a1a5b.png)
#开启接口,等待一分钟。
![](https://i-blog.csdnimg.cn/blog_migrate/8c428020a9fd2734ef0d899bdf226c14.png)
#可以看到已经抢占回来了。
!所有配置完成以后,备设备是可以进行基础的ip接口什么配置的,但是复杂的一些东西不能配置。