今天继续给大家介绍HCIE安全系列内容。本文使用华为eNSP模拟器,实现了镜像模式下华为防火墙双机热备配置实例。
阅读本文,您需要有一定的防火墙配置基础和防火墙双机热备理论基础,如果您对此还存在困惑,欢迎查阅我博客内的其他文章,相信您一定会有所收获!
推荐先导文章阅读:
VGMP协议详解
HRP协议详解
防火墙双机热备技术详解
一、实验目的及拓扑
实验拓扑如上所示,现在要求两台防火墙配置透明模式下双机热备。
二、实验配置命令
当防火墙工作在透明模式下后,两台防火墙相当于一台防火墙来进行使用,他们的所有的配置都是完全相同的,因此要求在防火墙物理接口上也必须完全一致。在透明模式下,防火墙接口上拥有相同的IP地址。
(一)双机热备前准备命令
首先,我们可以先配置好防火墙双机热备,之后的命令只需要在一台防火墙上配置,另一台防火墙就会自动同步命令了。
防火墙双机热备需要配置心跳线并启用双机热备功能,配置命令如下:
hrp interface GigabitEthernet 1/0/6 remote 192.168.0.2
hrp enable
#
firewall zone dmz
set priority 50
add interface GigabitEthernet1/0/6
除此之外,还需要在备防火墙上配置上述命令之前上执行命令:
hrp standby-device
这样,防火墙双击热备就配置成功了。
(二)双机热备配置完成后命令
在完成双机热备后,就可以配置接口IP、安全区域、安全策略和VGMP组了。相关命令如下所示:
hrp enable
hrp mirror config enable
hrp standby-device
hrp interface GigabitEthernet1/0/6 remote 192.168.0.1
hrp track interface GigabitEthernet1/0/0
hrp track interface GigabitEthernet1/0/1
#
interface GigabitEthernet0/0/0
undo shutdown
ip binding vpn-instance default
ip address 192.168.0.1 255.255.255.0
alias GE0/METH
#
interface GigabitEthernet1/0/0
undo shutdown
ip address 192.168.1.254 255.255.255.0
#
interface GigabitEthernet1/0/1
undo shutdown
ip address 192.168.2.1 255.255.255.0
#
interface GigabitEthernet1/0/6
undo shutdown
ip address 192.168.0.2 255.255.255.0
#
firewall zone trust
set priority 85
add interface GigabitEthernet0/0/0
add interface GigabitEthernet1/0/0
#
firewall zone untrust
set priority 5
add interface GigabitEthernet1/0/1
#
ip route-static 0.0.0.0 0.0.0.0 192.168.2.254
#
security-policy
rule name 1
source-zone trust
destination-zone untrust
action permit
这样,防火墙双机热备就配置成功了。
三、实验现象
(一)双击热备配置完成后命令自动同步
从上图可看出,在透明模式下,在主设备上每次执行命令后都会有+B的符号,这就表示命令已经成功配置到备用防火墙上了。
(二)双击热备状态
(三)全部配置完成后互通实验
原创不易,转载请说明出处:https://blog.csdn.net/weixin_40228200/article/details/119282097