防火墙双机热备配置篇（负载分担模式）

最新推荐文章于 2024-07-15 23:02:53 发布
最新推荐文章于 2024-07-15 23:02:53 发布
阅读量2.2k 收藏 27
点赞数 10
文章标签： 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45254043/article/details/128713708
版权

目录

拓扑图

 配置步骤

1、设备互联接口配置

 2、VRRP配置

3、开启HRP协议并指定心跳接口和对端IP地址

4、配置备份方式

5、配置NAT

结果验证

拓扑图

蓝色区域为Internet，红色区域为企业内部网络，防火墙之间互联接口为心跳线

 配置步骤

1、设备互联接口配置

地址表

设备端口安全区域IP地址对端设备对端端口IP地址安全区域
FW1G1/0/0trust192.168.1.10/24sw1G0/0/1　　
FW1G1/0/1trust192.168.2.10/24sw2G0/0/2　　
FW1G1/0/2untrust200.1.1.1/24sw3G0/0/1　　
FW1G1/0/6dmz10.1.1.1/24FW2G1/0/610.1.1.2/24dmz
FW2G1/0/0trust192.168.2.20/24sw2G0/0/1　　
FW2G1/0/1trust192.168.1.20/24sw1G0/0/2　　
FW2G1/0/2untrust200.1.1.2/24sw3G0/0/2　　
R1G0/0/0　200.1.1.254/24sw3G0/0/3　　
R1Loopback0　202.1.1.1/32　　　　

根据规划表配置设备的IP地址

防火墙第一次登录是需要输入账号密码的，默认的账号密码为admin/Admin@123，第一次登陆会强制要求我们修改密码，我这里把密码修改为admin@123

FW1:

Interface                         IP Address/Mask      Physical   Protocol  
GigabitEthernet0/0/0              192.168.0.1/24       down       down      
GigabitEthernet1/0/0              192.168.1.10/24      up         up        
GigabitEthernet1/0/1              192.168.2.10/24      up         up        
GigabitEthernet1/0/2              200.1.1.1/24         up         up        
GigabitEthernet1/0/3              unassigned           down       down      
GigabitEthernet1/0/4              unassigned           down       down      
GigabitEthernet1/0/5              unassigned           down       down      
GigabitEthernet1/0/6              10.1.1.1/24          up         up        
NULL0                             unassigned           up         up(s)     
Virtual-if0                       unassigned           up         up(s)

FW2:

Interface                         IP Address/Mask      Physical   Protocol  
GigabitEthernet0/0/0              192.168.0.1/24       down       down      
GigabitEthernet1/0/0              192.168.2.20/24      up         up        
GigabitEthernet1/0/1              192.168.1.20/24      up         up        
GigabitEthernet1/0/2              200.1.1.2/24         up         up        
GigabitEthernet1/0/3              unassigned           down       down      
GigabitEthernet1/0/4              unassigned           down       down      
GigabitEthernet1/0/5              unassigned           down       down      
GigabitEthernet1/0/6              10.1.1.2/24          up         up        
NULL0                             unassigned           up         up(s)     
Virtual-if0                       unassigned           up         up(s)

R1:

Interface                         IP Address/Mask      Physical   Protocol  
GigabitEthernet0/0/0              200.1.1.254/24       up         up        
GigabitEthernet0/0/1              unassigned           down       down      
GigabitEthernet0/0/2              unassigned           down       down      
LoopBack0                         202.1.1.1/32         up         up(s)     
NULL0                             unassigned           up         up(s)

 可以在防火墙上顺带把安全区域也划分了

FW1:

[FW1]firewall zone trust 
[FW1-zone-trust]add int g1/0/0
[FW1-zone-trust]add int g1/0/1

[FW1]firewall zone dmz
[FW1-zone-dmz]add int g1/0/6

[FW1]firewall zone untrust 
[FW1-zone-untrust]add int g1/0/2

FW2:

[FW1]firewall zone trust 
[FW1-zone-trust]add int g1/0/0
[FW1-zone-trust]add int g1/0/1

[FW1]firewall zone dmz
[FW1-zone-dmz]add int g1/0/6

[FW1]firewall zone untrust 
[FW1-zone-untrust]add int g1/0/2

 2、VRRP配置

在这个图里可以设置4个VRRP备份组

FW1：

[FW1-zone-untrust]add int g1/0/2
[FW1-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 192.168.1.254 active
[FW1-GigabitEthernet1/0/0]int g1/0/1
[FW1-GigabitEthernet1/0/1]vrrp vrid 2 virtual-ip 192.168.2.254 standby 
[FW1-GigabitEthernet1/0/1]int g1/0/2
[FW1-GigabitEthernet1/0/2]vrrp vrid 3 virtual-ip 200.1.1.101 active 
[FW1-GigabitEthernet1/0/2]vrrp vrid 4 virtual-ip 200.1.1.102 standby

FW2：

 

[FW2]int g1/0/0
[FW2-GigabitEthernet1/0/0]vrrp vrid 2 virtual-ip 192.168.2.254 active 
[FW2-GigabitEthernet1/0/0]int g1/0/1
[FW2-GigabitEthernet1/0/1]vrrp vri 1 virtual-ip 192.168.1.254 standby 
[FW2-GigabitEthernet1/0/1]int g1/0/2
[FW2-GigabitEthernet1/0/2]vrrp vrid 3 virtual-ip 200.1.1.101 standby 
[FW2-GigabitEthernet1/0/2]vrrp vrid 4 virtual-ip 200.1.1.102 active

这里是把FW1设置为VRID 1的主墙，VRID2的备墙；FW2是VRID2的主墙，VRID1的备墙。然后VRID3和VRID4各配置了一个虚拟IP地址，这两个虚拟IP地址是作为公网IP地址使用的，后面在配置NAT的时候，把这两个地址加入到NAT地址池，这样可以使用两个地址同时去上网

 FW1：

[FW1]dis vrrp brief 
2023-01-17 03:42:51.160 
Total:4     Master:4     Backup:0     Non-active:0      
VRID  State        Interface                Type     Virtual IP     
----------------------------------------------------------------
1     Master       GE1/0/0                  Vgmp     192.168.1.254  
2     Master       GE1/0/1                  Vgmp     192.168.2.254  
3     Master       GE1/0/2                  Vgmp     200.1.1.101    
4     Master       GE1/0/2                  Vgmp     200.1.1.102

FW2：

[FW2]dis vrrp brief 
2023-01-17 03:43:26.160 
Total:4     Master:0     Backup:4     Non-active:0      
VRID  State        Interface                Type     Virtual IP     
----------------------------------------------------------------
1     Backup       GE1/0/1                  Vgmp     192.168.1.254  
2     Backup       GE1/0/0                  Vgmp     192.168.2.254  
3     Backup       GE1/0/2                  Vgmp     200.1.1.101    
4     Backup       GE1/0/2                  Vgmp     200.1.1.102

3、开启HRP协议并指定心跳接口和对端IP地址

[FW1]hrp int g1/0/6 remote 10.1.1.2 
[FW1]hrp enable

[FW2]hrp int g1/0/6 remote 10.1.1.1 
[FW2]hrp enable

4、配置备份方式

因为是负载分担模式，那么可能会发生流量从FW1出去，回包从FW2回来，防火墙默认又开启了状态检测，没有收到首包就收到了后续包，这个时候防火墙直接把数据流量丢弃，所以我们需要把备份模式配置为快速备份，将主墙上的一些表项信息同步到备墙

HRP_M[FW1]hrp mirror session enable 
HRP_S[FW2]hrp mirror session enable

5、配置NAT

把VRID3和VRID4配置的虚拟IP地址配置为NAT地址池

HRP_M[FW1]nat address-group nat
HRP_M[FW1-address-group-nat]section 200.1.1.101 200.1.1.102

接下来配置安全策略和NAT策略，地址转换采用地址池模式

 

HRP_M[FW1-policy-security-rule-1]dis th 
2023-01-17 03:53:54.770 
#
 rule name 1
  source-zone trust
  destination-zone untrust
  source-address 192.168.1.0 mask 255.255.255.0
  source-address 192.168.2.0 mask 255.255.255.0
  action permit
#

nat-policy
 rule name 1
  source-zone trust
  source-address 192.168.1.0 mask 255.255.255.0
  source-address 192.168.2.0 mask 255.255.255.0
  action source-nat address-group nat
#

 这些配置只需要在主墙上配置，会通过HRP协议同步到备墙

最后在防火墙配置缺省路由就可以实现上网了（路由默认不会同步，所以需要在两台防火墙上都配置）

HRP_M[FW1]ip route-static 0.0.0.0 0 200.1.1.254
HRP_S[FW2]ip route-static 0.0.0.0 0 200.1.1.254

结果验证

在sw1和sw2下的PC访问R1创建的环回口地址

 

我们可以在sw3上查看mac地址表信息，查看是否所有端口都学习到了mac地址，如果都学习到了那么说明负载分担是没问题的

 

-------------------------------------------------------------------------------
MAC Address    VLAN/       PEVLAN CEVLAN Port            Type      LSP/LSR-ID  
               VSI/SI                                              MAC-Tunnel  
-------------------------------------------------------------------------------
00e0-fcb9-1b61 1           -      -      GE0/0/2         dynamic   0/-         
0000-5e00-0104 1           -      -      GE0/0/2         dynamic   0/-         
0000-5e00-0103 1           -      -      GE0/0/1         dynamic   0/-         
00e0-fc45-5493 1           -      -      GE0/0/3         dynamic   0/-         
00e0-fcf1-0f68 1           -      -      GE0/0/1         dynamic   0/-         
-------------------------------------------------------------------------------
Total matching items on slot 0 displayed = 5

weixin_45254043
关注
  • 10
    点赞
  • 踩
  • 27
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
paloalto防火墙执行初始配置
weixin_34221276的博客
04-22 1万+
1.默认情况下，防火墙的 IP 地址为 192.168.1.1，用户名/密码为 admin/admin。 　　为了安全起见，在继续执行其他防火墙配置任务之前，必须更改这些设置。必须从 MGT 接口（即使计划不使用此接口进行防火墙管理）， 　　或使用直接连接到防火墙控制台端口的串行连接来执行这些初始配置任务。 　　1）安装防火墙，并连接电源。 　　2）配置好MGT端口的IP地址、掩码、默认网...
双机热备（负载分担热备）
hey1616的博客
11-17 466
双机热备工作模式、VGMP组、负载分担热备实验
防火墙 双机热备配置(主备备份和负载分担模式)
one piece的博客
02-01 1061
1. 根据网段划分配置IP地址和安全区域。
防火墙————负载分担双机热备
zj2059129607的博客
11-17 701
VRRP（Virtual Router Redundancy Protocol）是一种容错协议，它保证当主机的下一跳路由器（默认网关）出现故障时，由备份路由器自动代替出现故障的路由器完成报文转发任务，从而保持网络通信的连续性和可靠性。在FW上配置VRRP时，是将两台FW上编号相同的接口加入一个VRRP备份组。一个VRRP备份组相当于一台虚拟路由设备，拥有虚拟IP地址和虚拟MAC地址。网络内主机将其网关设置为VRRP备份组的虚拟IP地址。这些主机都是通过虚拟路由器与外部网络通信。和。
防火墙学习1---防火墙直路部署，上下行连接路由器主备组网
weixin_48030849的博客
05-11 785
备注：本人学习华为防火墙的笔记记录方式，如有错误，请指出。无任何错误引导网友想法。FW部署在网络出口位置时，如果发生故障会影响到整网业务。为提升网络的可靠性，需要部署两台FW并组成双机热备。双机热备需要两台硬件和软件配置均相同的FW。两台FW之间通过一条独立的链路连接，这条链路通常被称之为“心跳线”。两台FW通过心跳线了解对端的健康状况，向对端备份配置和表项（如会话表、IPSec SA等）。当一台FW出现故障时，业务流量能平滑地切换到另一台设备上处理，使业务不中断。
防火墙技术案例5_双机热备(负载分担)组网下的IPSec配置.pdf
11-26
防火墙技术案例5_双机热备(负载分担)组网下的IPSec配置.pdf
防火墙双机热备+负载分担
YOUNG_SPY的博客
07-16 2975
防火墙usg-6000v基本操作
华为防火墙双机热备主备备份和负载分担配置案例（两端为路由跑ospf）
IT技术
11-11 1319
华为防火墙双机热备主备备份和负载分担配置案例（两端为路由跑ospf）
华为防火墙USG6000v双机热备部署，上下行部署三层业务的负载分担组网。
Fanyunin的博客
05-21 1519
华为防火墙USG6000v双机热备部署，上下行部署三层业务的负载分担组网。
防火墙技术案例双机热备负载分担组网下的IPSec配置.pdf
01-30
防火墙技术案例双机热备负载分担组网下的IPSec配置.pdf
防火墙技术案例双机热备负载分担组网下的IPSec配置.doc
12-23
防火墙技术案例双机热备负载分担组网下的IPSec配置.doc
ASA双出口流量负载PBR策略
10-10
ASA双出口流量负载PBR策略 ASA2130
PALOALTO中文手册
12-23
下一代防火墙Paloalto中文操作手册。
paloalto_PA_中文配置手册
04-28
paloalto_PA_中文配置手册
防火墙技术案例5双机热备负载分担资料组网下的IPSec配置.doc
09-20
防火墙技术案例5双机热备负载分担资料组网下的IPSec配置.doc
华为防火墙配置流量根据链路质量负载分担
Tony_long7483的博客
09-15 872
1.基本IP地址及连通性配置 （1）内网IP地址配置 （2）配置外网IP地址 [ISP1-GigabitEthernet0/0/0]ip add 20.1.1.2 24 [ISP1-GigabitEthernet0/0/1]ip add 40.1.1.2 24 [ISP2-GigabitEthernet0/0/0]ip add 30.1.1.3 24 [ISP2-GigabitEthernet0/0/1]ip add 50.1.1.3 24 [AR3-GigabitEthernet0/0/0]ip ad.
配置 负载分担双机热备
GUOJUNWEI11的博客
11-17 145
FW部署在网络出口位置时，如果发生故障会影响到整网业务。为提升网络的可靠性，需要部署两台FW并组成双机热备。双机热备需要两台硬件和软件配置均相同的FW。两台FW之间通过一条独立的链路连接，这条链路通常被称之为“心跳线”。两台FW通过心跳线了解对端的健康状况，向对端备份配置和表项（如会话表、IPSec SA等）。当一台FW出现故障时，业务流量能平滑地切换到另一台设备上处理，使业务不中断。
ensp防火墙出口路由双链路运营商，负载分担及设备冗余
m0_63775189的博客
09-01 5014
USG作为校园或大型企业出口可以实现内网用户通过两个运营商访问Internet，并保护内网不受网络攻击。
网络安全——防御（防火墙）带宽以及双机热备实验
最新发布
Nirvana92的博客
07-15 739
12，对现有网络进行改造升级，将当个防火墙组网改成双机热备的组网形式，做负载分担模式，游客区和DMZ区走FW3，生产区和办公区的流量走FW113，办公区上网用户限制流量不超过100M，其中销售部人员在其基础上限制流量不超过60M，且销售部一共10人，每人限制流量不超过6M14，销售部保证email应用在办公时间至少可以使用10M的带宽，每个人至少1M15，移动链路采用的是100M的带宽，要求游客区用户仅能占用50M，并且基于在线地址进行动态均分。
负载分担防火墙双机热备配置
09-24
在负载分担防火墙双机热备配置中，需要进行以下步骤： 1. 启用HRP协议：HRP（Huawei Redundancy Protocol）协议用于实现动态状态数据和关键配置命令的备份。在双机热备组网中，主防火墙出现故障时，所有流量将切换到备防火墙。为了保证流量的正常转发，需要启用HRP协议。 2. 配置会话快速备份功能：会话快速备份功能用于负载分担的工作方式，以应对报文来回路径不一致的场景。在负载分担组网下，由于两台防火墙都是主用设备，可能存在报文来回路径不一致的情况。为了防止业务中断，需要配置会话快速备份功能，使两台防火墙能够实时相互备份会话，保证回程报文能够查找到相应的会话表项。 3. 配置双机热备：通过冗余技术/协议实现动态的主备切换/负载分担。双机热备技术提高了网络的可靠性，防止单点故障。可以使用VRRP虚拟路由器冗余协议来实现主备设备会话表的同步，并确保流量路径来回一致。 总结以上步骤，负载分担防火墙双机热备配置的关键是启用HRP协议、配置会话快速备份功能以及配置双机热备。这样可以确保防火墙的状态数据和配置命令得到备份，保证流量的正常转发，并提高网络的可靠性。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值