在eNSP模拟器上使用usg6000v实现双机热备（旁路部署，上下行连接三层设备的主备备份组网）

最新推荐文章于 2022-10-13 09:51:43 发布
最新推荐文章于 2022-10-13 09:51:43 发布
阅读量663 收藏 3
点赞数
文章标签： 网络 服务器 网络协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u010311846/article/details/127295452
版权

在eNSP模拟器上使用usg6000v实现双机热备（旁路部署，上三下三，主备模式）

拓扑图

在这里插入图片描述

设备选型

PC1设备为PC型终端设备

LSW1设备为S3700型交换机

LSW2-3为S5700型交换机

AR1-5为AR2220型路由器

FW1-2为USG6000型防火墙

实验要求

1.完成所有设备的初始化配置（命名，接口IP，FW设备的安全区域划分）

2.在AR1-2设备上部署VRRP备份组，用于内网设备的网关

3.底层部署OSPF，Trust区域（内网区域）为OSPF10，Untrust区域（外网区域）为OSPF20并在FW设备上双向引入

4.防火墙上开启HRP协议，配置心跳接口，追踪业务端口，并指定FW2设备为备份设备

5.在两个核心交换机（LSW2-3）上配置策略路由，调整来回流量路径使其经过防火墙

6.主设备上根据业务需求配置安全策略

7.为实现主备链路的及时切换，需要创建BFD会话（R1<–>FW1,FW1<–>R5）

8.在连接终端设备的VRRP备份组以及防火墙的HRP协议上都联动已创建好的BFD会话实现主备角色的一致切换

操作步骤

1.设备初始化配置

PC1：
在这里插入图片描述
AR1：

 sysname R1
#
interface GigabitEthernet0/0/0
 ip address 10.0.0.251 255.255.255.0 
#
interface GigabitEthernet0/0/1
 ip address 10.0.10.1 255.255.255.0

AR2：

 sysname R2
#
interface GigabitEthernet0/0/0
 ip address 10.0.0.252 255.255.255.0 
#
interface GigabitEthernet0/0/1
 ip address 10.0.11.1 255.255.255.0

AR3：

 sysname R3
#
interface GigabitEthernet0/0/0
 ip address 10.0.20.2 255.255.255.0 
#
interface GigabitEthernet0/0/1
 ip address 10.0.35.3 255.255.255.0

AR4：

 sysname R4
#
interface GigabitEthernet0/0/0
 ip address 10.0.21.2 255.255.255.0 
#
interface GigabitEthernet0/0/1
 ip address 10.0.45.4 255.255.255.0

AR5：

 sysname R5
#
interface GigabitEthernet0/0/0
 ip address 10.0.35.5 255.255.255.0 
#
interface GigabitEthernet0/0/1
 ip address 10.0.45.5 255.255.255.0 
#
interface LoopBack0
 ip address 5.5.5.5 255.255.255.0

LSW2：

sysname Sw2
#
undo info-center enable
#
vlan batch 10 20 30 40
#
interface Vlanif10
 ip address 10.0.10.2 255.255.255.0
#
interface Vlanif20
 ip address 10.0.20.1 255.255.255.0
#
interface Vlanif30
 ip address 10.0.24.2 255.255.255.0
#
interface Vlanif40
 ip address 10.0.22.2 255.255.255.0
#
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 10
#
interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 20
#
interface GigabitEthernet0/0/3
 port link-type access
 port default vlan 30
#
interface GigabitEthernet0/0/4
 port link-type access
 port default vlan 40

LSW3：

sysname Sw3
#
undo info-center enable
#
vlan batch 10 20 30 40
#
interface Vlanif10
 ip address 10.0.11.2 255.255.255.0
#
interface Vlanif20
 ip address 10.0.21.1 255.255.255.0
#
interface Vlanif30
 ip address 10.0.25.2 255.255.255.0
#
interface Vlanif40
 ip address 10.0.23.2 255.255.255.0
#
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 10
#
interface GigabitEthernet0/0/2
 port link-type access
 port default vlan 20
#
interface GigabitEthernet0/0/3
 port link-type access
 port default vlan 30
#
interface GigabitEthernet0/0/4
 port link-type access
 port default vlan 40

FW1：

sysname Fw1
#
interface GigabitEthernet1/0/0
 undo shutdown
 ip address 10.0.12.1 255.255.255.0
#
interface GigabitEthernet1/0/1
 undo shutdown
 ip address 10.0.24.1 255.255.255.0
#
interface GigabitEthernet1/0/2
 undo shutdown
 ip address 10.0.22.1 255.255.255.0
#
firewall zone trust
 set priority 85
 add interface GigabitEthernet1/0/0
 add interface GigabitEthernet1/0/1
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet1/0/2

FW2：

sysname Fw2
#
interface GigabitEthernet1/0/0
 undo shutdown
 ip address 10.0.12.2 255.255.255.0
#
interface GigabitEthernet1/0/1
 undo shutdown
 ip address 10.0.25.1 255.255.255.0
#
interface GigabitEthernet1/0/2
 undo shutdown
 ip address 10.0.23.1 255.255.255.0
#
firewall zone trust
 set priority 85
 add interface GigabitEthernet1/0/0
 add interface GigabitEthernet1/0/1
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet1/0/2

2.在AR1-2设备上部署VRRP备份组

AR1:

interface GigabitEthernet0/0/0
 vrrp vrid 1 virtual-ip 10.0.0.254
 vrrp vrid 1 priority 120
 vrrp vrid 1 preempt-mode timer delay 10

AR2:

interface GigabitEthernet0/0/0
 vrrp vrid 1 virtual-ip 10.0.0.254

3.部署OSPF，Trust区域（内网区域）为OSPF10，UNtrust区域（外网区域）为OSPF20并在FW设备上双向引入

AR1:

ospf 10 
 area 0.0.0.0 
  network 10.0.0.0 0.0.0.255 
  network 10.0.10.0 0.0.0.255

AR2:

ospf 10 
 area 0.0.0.0 
  network 10.0.0.0 0.0.0.255 
  network 10.0.11.0 0.0.0.255

AR3:

ospf 20 
 area 0.0.0.0 
  network 10.0.20.0 0.0.0.255 
  network 10.0.35.0 0.0.0.255

AR4:

ospf 20 
 area 0.0.0.0 
  network 10.0.21.0 0.0.0.255 
  network 10.0.45.0 0.0.0.255

AR5:

ospf 20 
 area 0.0.0.0 
  network 5.5.5.0 0.0.0.255 
  network 10.0.35.0 0.0.0.255 
  network 10.0.45.0 0.0.0.255

LSW2:

ospf 10
 area 0.0.0.0
  network 10.0.10.0 0.0.0.255
  network 10.0.24.0 0.0.0.255
#
ospf 20
 area 0.0.0.0
  network 10.0.20.0 0.0.0.255
  network 10.0.22.0 0.0.0.255

LSW3:

ospf 10
 area 0.0.0.0
  network 10.0.11.0 0.0.0.255
  network 10.0.25.0 0.0.0.255
#
ospf 20
 area 0.0.0.0
  network 10.0.23.0 0.0.0.255
  network 10.0.21.0 0.0.0.255

FW1:

ospf 10
 import-route ospf 20
 area 0.0.0.0
  network 10.0.24.0 0.0.0.255
#
ospf 20
 import-route ospf 10
 area 0.0.0.0
  network 10.0.22.0 0.0.0.255

FW2:

ospf 10
 import-route ospf 20
 area 0.0.0.0
  network 10.0.25.0 0.0.0.255
#
ospf 20
 import-route ospf 10
 area 0.0.0.0
  network 10.0.23.0 0.0.0.255

4.防火墙上开启HRP协议，配置心跳接口，追踪业务端口，并指定FW2设备为备份设备

FW1:

 hrp enable
 hrp interface GigabitEthernet1/0/0 remote 10.0.12.2
 hrp track interface GigabitEthernet1/0/1
 hrp track interface GigabitEthernet1/0/2

FW2:

 hrp enable
 hrp standby-device                                   //指定当前设备为备份设备
 hrp interface GigabitEthernet1/0/0 remote 10.0.12.1
 hrp track interface GigabitEthernet1/0/1
 hrp track interface GigabitEthernet1/0/2

5.在两个核心交换机（LSW2-3）上配置策略路由，调整来回流量路径使其经过防火墙

LSW2：

acl number 2000                   
 rule 10 permit source 10.0.0.0 0.0.0.255
 //创建基本ACL用来筛选需要重定向的内网流量
#
interface GigabitEthernet0/0/1
 traffic-redirect inbound acl 2000 ip-nexthop 10.0.24.1  
 //调用刚才创建的ACL，使用Traffic-redirect工具进行流量重定向
 #
 acl number 2001
 rule 10 permit source 5.5.5.0 0.0.0.255
 //创建基本ACL用来筛选需要重定向的外网流量
#
interface GigabitEthernet0/0/2
 traffic-redirect inbound acl 2001 ip-nexthop 10.0.22.1
 //调用刚才创建的ACL，使用Traffic-redirect工具进行流量重定向

注：流量重定向也可使用Traffic-Policy工具完成

LSW3：

acl number 2000
 rule 5 permit source 10.0.0.0 0.0.0.255
#
acl number 2001
 rule 5 permit source 5.5.5.0 0.0.0.255
#
interface GigabitEthernet0/0/1
 traffic-redirect inbound acl 2000 ip-nexthop 10.0.25.1
#
interface GigabitEthernet0/0/2
 traffic-redirect inbound acl 2001 ip-nexthop 10.0.23.1

6.主设备（FW1）上根据业务需求配置安全策略

FW1：

security-policy
 rule name t2u
  source-zone trust
  destination-zone untrust
  source-address 10.0.0.0 mask 255.255.255.0
  destination-address 5.5.5.5 mask 255.255.255.255
  action permit

7.为实现主备链路的及时切换，需要创建BFD会话（R1<–>FW1,FW1<–>R5)

R1:

bfd
#
bfd 1 bind peer-ip 10.0.22.1 source-ip 10.0.10.1      //指向FW1设备的上游接口的BFD会话
 discriminator local 10
 discriminator remote 22
 commit

FW1:

bfd
#
bfd 1 bind peer-ip 10.0.10.1 source-ip 10.0.22.1      //回指R1设备的BFD会话
 discriminator local 22
 discriminator remote 10
 commit
 bfd 2 bind peer-ip 10.0.35.5 source-ip 10.0.22.1     //指向R5设备的BFD会话
 discriminator local 20
 discriminator remote 35
 commit

R5:

bfd
#
bfd 2 bind peer-ip 10.0.22.1 source-ip 10.0.35.5     //回指FW1设备的BFD会话
 discriminator local 35
 discriminator remote 20
 commit

8.在连接终端设备的VRRP备份组以及防火墙的HRP协议上都联动已创建好的BFD会话实现主备角色的一致切换

AR1:

interface GigabitEthernet0/0/0
 vrrp vrid 1 track bfd-session 10 reduced 30      //VRRP备份组联动BFD会话，惩罚值为30

FW1:

 hrp track bfd-session 20                         //探测FW1到AR5的区间链路
 hrp track bfd-session 22                         //探测FW1到AR1的区间链路

结果验证

1.无故障情况下

连通性&流量路径：
在这里插入图片描述
BFD会话状态（以中间设备FW1为参考）：
在这里插入图片描述
VRRP备份组主备角色：
在这里插入图片描述
2.故障模拟，在BFD会话覆盖的链路上找端口down掉（本案例选择FW1设备端口）

FW1设备关闭主链路对应端口：

interface GigabitEthernet1/0/2
 shutdown

连通性&流量路径：
在这里插入图片描述
BFD会话状态（以中间设备FW1为参考）：
在这里插入图片描述
VRRP备份组主备角色：
在这里插入图片描述
3.故障恢复

FW1：

interface GigabitEthernet1/0/2
 undo shutdown

连通性&流量路径：
在这里插入图片描述

BFD会话状态（以中间设备FW1为参考）：
在这里插入图片描述

VRRP备份组主备角色：
在这里插入图片描述

candlezang
关注
  • 0
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
华为eNSP防火墙USG6000v安装包
11-19
该资源为华为eNSP中防火墙USG6000v的安装包，下载后可直接使用，初始账号为admin，密码为Admin@123，具体的可见本人相关博客
在eNSP模拟器上配置usg6000v的虚拟系统
接华为网络、网安方向小组作业，期末作业，课程设计、毕设等，有意可私信留言。
06-05 2519
在eNSP模拟器上配置usg6000v的虚拟系统拓扑图设备选型配置思路操作步骤结果验证 拓扑图 设备选型 研发部门、非研发部门终端设备为PC型终端设备 FW1设备为USG6000型号防火墙 LSW1设备为S3700型交换机 ISP路由器设备为AR2220型号路由器 Cloud设备为其他设备中的Cloud设备，主要用于桥接虚拟网卡实现对USG6000v的WEB界面操作 配置思路 1.完成终端设备的网络参数配置以及ISP路由器的接口IP以及重命名 2.登录USG6000v设备的CLI，修改管理接口（G/0/0
USG6000v设备包和NE5000E设备包
04-17
该资源为eNSP的USG6000v防火墙设备包以及NE5000E设备包，下载导入即可使用，防火墙默认账号密码为：user：admin password：Admin@123
华为ensp防火墙usg6000安装包
02-27
该资源为华为eNSP中防火墙USG6000v的安装包，下载后在ensp导入镜像，初始账号为admin，密码为Admin@123
ensp-USG6000V组件.zip
05-18
亲测可用，删除里面的temp.txt文件（解决资源冲突），使用的环境ensp V100R003C00SPC100 以及virtualbox 5.2.30
在eNSP模拟器上使用usg6000v实现双机热备（直路部署，上下行连接三层设备的主备备份组网）
接华为网络、网安方向小组作业，期末作业，课程设计、毕设等，有意可私信留言。
06-17 1877
在eNSP模拟器上使用usg6000v实现双机热备（直路部署，上三下三，主备模式）拓扑图设备选型配置思路操作步骤结果验证 拓扑图 设备选型 PC1设备使用PC型终端设备 LSW1设备使用S3700型号交换机设备 R1-R5使用Router型路由器设备 FW1-FW2使用USG6000型号防火墙设备 配置思路 1.完成终端设备的网络参数配置以及网络设备的基本配置（设备重命名+接口IP） 2.完成FW1和FW2设备的初始化配置（重命名+接口IP+区域划分） 3.全网部署OSPF实现三层路由可达 4.在R1设备
在eNSP模拟器上使用usg6000v实现双机热备（直路部署，上下行连接二层设备的主备备份组网）
u010311846的博客
10-13 629
3.根据拓扑规划分别创建连接内网用户、外网用户以及公司服务器的VRRP备份组（使用VGMP）1.完成各终端设备的网络参数配置以及FW的初始化配置（密码修改，接口IP）2.根据终端设备类型，将端口规划到合适的安全区域中。4.FW1-2设备上开启HRP并配置心跳接口。FW1-FW2使用USG6000型号防火墙。内网用户和外网用户均使用PC型终端设备。内网用户可以访问外网用户，反之不能访问。公司服务器采用Server型终端设备。内网用户和外网用户均可访问公司服务器。LSW1-3采用S3700型交换机。
HUAWEI-Ensp模拟器 双机热备传统方式.docx
11-12
### HUAWEI-Ensp模拟器 双机热备传统方式 #### 双机热备份简介 **定义**：双机热备份（Hot-Standby Backup）是一种高可用性的解决方案，通过设置主用（Master）设备和备用（Backup）设备来确保系统的连续性和稳定...
ensp模拟器镜像，网工必备，USG6000V镜像，支持ensp v1.3
01-11
ensp模拟器，网工必备，USG6000V镜像，支持ensp v1.3
USG6000V-enspv1.3 ＋virtualBox + USG6000V设备包
01-23
USG6000V-enspv1.3 ＋virtualBox + USG6000V设备包,华为USG6000V,基于NFV架构的虚拟综合业务网关，虚拟资源利用率高,资源虚拟化技术支持大量多租户共同使用，产品具备丰富的网关业务能力,可以导入到ensp中
华为eNSP 设备文件 USG6000V系列
01-08
描述：eNSP使用的设备文件USG6000V 设备文件适用版本：V100R003C00SPC100 华为eNSP论坛传送门:https://forum.huawei.com/enterprise/zh/forum-753.html (〃￣︶￣)人(￣ω￣ｏ)摸鱼学习恰饭睡觉，真理无穷。
enspusg6000设备包
最新发布
10-26
enspusg6000设备包
ENSP软件USG6000v1版本软件包
12-28
USG6000v1版本，943M放心下载
ENSP-USG6000V.zip
05-03
华为USG6000V,基于NFV架构的虚拟综合业务网关，虚拟资源利用率高,资源虚拟化技术支持大量多租户共同使用，产品具备丰富的网关业务能力,可以导入到ensp中
华为eNSP模拟器防火墙插件USG6000V
09-20
华为eNSP模拟器防火墙插件USG6000V
使用eNSP配置防火墙USG6000v双机热备（VGMP+HRP+OSPF+NAT）
有谁需要地图吗？
02-28 8869
前言 本实验使用华为模拟器eNSP中USG6000v完成实验。USG6000v是虚拟防火墙。 实验拓扑 配置过程 一、导入设备包 由于USG6000v模拟器需要导入设备包才能使用，所以需要在华为企业专网下载USG6000v的设备包才能使用，根据自己eNSP的版本下载对应版本的设备包，推荐使用eNSP500或eNSP510。比如我的eNSP版本是510，那么需要进入该链接：eNSP各版本下载链接进行设备包的下载。 下载设备包需要一个华为账户...
ensp 双机热备 配置_【解忧番外篇】基于eNSP USG6000v的双机热备实验
weixin_39946239的博客
12-19 851
前言本实验使用华为模拟器eNSP中USG6000v完成实验。实验拓扑配置过程一、导入设备包由于USG6000v模拟器需要导入设备包才能使用，所以需要在华为企业专网下载USG6000v的设备包才能使用，根据自己eNSP的版本下载对应版本的设备包，推荐使用eNSP500或eNSP510。比如我的eNSP版本是510，那么需要进入该链接：eNSP各版本下载链接 进行设备包的下载。下载设备包需要一个华为账...
004-华为eNSP实验-防火墙 USG6000V
热门推荐
m0_37736190的博客
11-27 1万+
本章知识点 导入USG6000V防火墙设备 1、导入防火墙USG6000V设备 新建一个USG6000V 导入一个设备包（从 陈海峰 分享拿 https://forum.huawei.com/enterprise/zh/thread-584872.html#pid3269990） 2、启动USG6000V 一直###
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值