防火墙学习1---防火墙直路部署，上下行连接路由器主备组网

备注：本人学习华为防火墙的笔记记录方式，如有错误，请指出。无任何错误引导网友想法。

双击热备：

FW部署在网络出口位置时，如果发生故障会影响到整网业务。为提升网络的可靠性，需要部署两台FW并组成双机热备。

双机热备需要两台硬件和软件配置均相同的FW。两台FW之间通过一条独立的链路连接，这条链路通常被称之为“心跳线”。两台FW通过心跳线了解对端的健康状况，向对端备份配置和表项（如会话表、IPSec SA等）。当一台FW出现故障时，业务流量能平滑地切换到另一台设备上处理，使业务不中断。

FW支持主备备份和负载分担模式两种运行模式。

主备备份模式：两台设备一主一备。正常情况下业务流量由主用设备处理。当主用设备故障时，备用设备接替主用设备处理业务流量，保证业务不中断。

负载分担模式：两台设备互为主备。正常情况下两台设备共同分担整网的业务流量。当其中一台设备故障时，另外一台设备会承担其业务，保证原本通过该设备转发的业务不中断。

目录

一、组网需求

二、组网架构

三、具体步骤

1.路由器R1配置：

2.路由器R2配置：

3.路由器ISP配置：

4.路由器R3配置：

5.路由器R4配置：

6.防火墙配置：

​四、查看相关状态

五、验证双机热备现象

---

一、组网需求

如下图所示，两台FW的业务接口都工作在三层，上下行分别连接路由器。FW与上下行路由器之间运行OSPF协议。现在希望两台FW以主备备份方式工作。正常情况下，流量通过FW1转发。当FW1出现故障时，流量通过FW2转发，保证业务不中断。

二、组网架构

三、具体步骤

1.路由器R1配置：

2.路由器R2配置：

3.路由器ISP配置：

4.路由器R3配置：

5.路由器R4配置：

6.防火墙配置：

①配置FW1的IP地址，并将其加入到firewall安全区域中，配置OSPF

②配置FW1的IP地址，并将其加入到firewall安全区域中，配置OSPF

③FW1的双机热备配置：

④FW2的双机热备配置

⑤配置防火墙的安全策略

四、查看相关状态

查看防火墙的OSPF状态

在FW1查看防火墙的VGMP状态：

在FW2上面查看防火墙的VGMP状态：

由上面两张图可以看到，FW1处于主用状态，FW2处于备用状态。当处于备用状态时，会将OSPF发布的路由信息cost修改为65500.

五、验证双机热备现象

首先查看FW1作为主用路径时的路径信息：

由上图可以看到，此时内网用户访问8.8.8.8是通过FW1，R1访问ISP的。

将FW1的g1/0/1接口shutdown掉，此时查看掉包和路径信息：

由上图可以看出，在主备切换的过程中丢了一个包，此时查看FW1和FW2的VGMP状态信息

由上图可以看出，此时FW2已经成为主用设备，FW1成为备用设备。