weixin_48030849的博客

1.1 华三M-LAG介绍LAG（Multichassis link aggregation，跨设备链路聚合）将两台物理设备在聚合层面虚拟成一台设备来实现跨设备链路聚合，从而提供设备级冗余保护和流量负载分担。Device A与Device B形成负载分担，共同进行流量转发，当其中一台设备发生故障时，流量可以快速切换到另一台设备，保证业务的正常运行。如下图所示M-LAG设备在M-LAG系统中互为邻居，其中Device A为主设备，Device B为从设备。

shutdownsave forceSW2的配置：save forcerebootshutdownsave foceSW3的配置：save forcerebootshutdownsave foce。

为了提高系统的可用性，当IRF分裂时我们就需要一种机制，能够检测出网络中同时存在多个IRF，并进行相应的处理，尽量降低IRF分裂对业务的影响。· 如果出现故障的是继续正常工作的IRF，则在进行MAD故障恢复前，可以通过命令行先启用Recovery状态的IRF，让它接替原IRF工作，以便保证业务尽量少受影响，再恢复MAD故障。· 如果在MAD故障恢复前，处于Recovery状态的IRF也出现了故障，则需要将故障IRF和故障链路都修复后，才能让冲突的IRF重新合并为一个IRF，恢复MAD故障。

虚拟系统之间的互访分为直接互访和间接互访。1.直接互访：报文先进入虚拟系统vsysa，虚拟系统vsysa按照防火墙转发流程对报文进行处理。然后报文进入虚拟系统vsysb，虚拟系统vsysb再次按照防火墙转发流程对报文进行处理。具体过程如下。(1)客户端向服务器发起连接;(2)首包到达FW后，基于接口分流，被送入虚拟系统vsysa。vsysa按照防火墙转发流程对报文进行处理，包括匹配黑名单、查找路由、做NAT、匹配安全策略等等。如果vsysa不允许转发报文，则丢弃报文，流程结束；

在虚拟系统和根系统互访的场景中，虚拟系统和根系统都会按照防火墙转发流程对报文进行处理。针对互访的业务，虚拟系统和根系统都要配置策略、都会建立会话。这样，一方面增加了配置的复杂性，另一方面，每条连接都需要两条会话，业务量大时，会造成整机的会话资源紧张。通过配置引流表，可以解决上述问题。引流表中记录的是IP地址和虚拟系统的归属关系。如下的引流表，表示10.3.0.8这个IP地址属于虚拟系统vsysa。其中，第一个10.3.0.8是这个网段的起始地址，第二个10.3.0.8是这个网段的结束地址。

虚拟系统与跟系统互访可分为虚拟系统访问根系统和跟系统访问虚拟系统。

防火墙的虚拟系统（Virtual System）是在一台物理设备上划分出的多台相互独立的逻辑设备。每个虚拟系统相当于一台真实的设备。有自己的接口、地址集、用户/组、路由表项以及策略。每个虚拟系统由独立的管理员进行管理，使得多个虚拟系统的管理更加清晰简单，所以非常适合大规模的组网环境。每个虚拟系统拥有独立的配置及路由表项，这使得虚拟系统下的局域网即使使用了相同的地址范围，仍然可以正常进行通信。可以为每个虚拟系统分配固定的系统资源，保证不会因为一个虚拟系统的业务繁忙而影响其他虚拟系统。

备注：本人学习华为防火墙的笔记记录方式，如有错误，请指出。

备注：本人学习华为防火墙的笔记记录方式，如有错误，请指出。一、组网需求如下图所示，两台FW的业务接口都工作在三层，上行连接路由器，下行连接二层交换机。FW与路由器之间运行OSPF协议。现在希望两台FW以主备备份方式工作。正常情况下，流量通过FW_A转发。当FW_A出现故障时，流量通过FW_B转发，保证业务不中断。

备注：本人学习华为防火墙的笔记记录方式，如有错误，请指出。无任何错误引导网友想法。FW部署在网络出口位置时，如果发生故障会影响到整网业务。为提升网络的可靠性，需要部署两台FW并组成双机热备。双机热备需要两台硬件和软件配置均相同的FW。两台FW之间通过一条独立的链路连接，这条链路通常被称之为“心跳线”。两台FW通过心跳线了解对端的健康状况，向对端备份配置和表项（如会话表、IPSec SA等）。当一台FW出现故障时，业务流量能平滑地切换到另一台设备上处理，使业务不中断。

FTP（File Transfer Protocol，文件传输协议），它工作在 OSI 模型的第七层， TCP 模型的第四层， 即应用层， 使用 TCP 传输而不是 UDP， 客户在和服务器建立连接前要经过一个“三次握手”的过程， 保证客户与服务器之间的连接是可靠的， 而且是面向连接， 为数据传输提供可靠保证。（3）在AR2上面登录FTP服务器，上传test.txt文件，下载AR-S6280-S.txt到本地AR2上面。get：下载文件，下载的是单个文件（get 文件名称）mget是下载多个文件。

总结：防火墙上面针对不同的ISP并且属于不同的安全区域时，要注意安全策略的细节之处；在web界面配置思路和命令行界面的配置思路是相同的。在PC上面ping测试Internet的loopback0，并在防火墙上面查看（第一个包不通是因为ARP解析）某企业部署华为防火墙作为出口网关设备，分别从ISP1和ISP2购买宽带服务，实现内网用户上网需求。（4）配置源NAT策略，实现私网指定网段访问Internet时自动进行源地址转换。（2）当一条链路出现故障时，流量可以被及时切换到另一条链路上，避免业务中断。

Unr即用户网络路由user network route的简写，按照平时的理解，路由一般都有很明确的协议，比如ospf、bgp、static等，可以通过ospf、bgp等从其他设备学习路由，也可以通过本地发布的方式发布路由，如静态路由、黑洞路由等；但是unr路由并没有类似明确的协议，一般来说，要产生路由，首先要在接口上配置ip，再其次是配置IP的端口需要UP，然后才会产生本地路由，出现在本地路由表；3. 当地址池地址与出接口地址一致时，不会产生路由环路，不需要配置黑洞路由。，无法直接undo删除。

客户局域网的PC主机通过交换机LSW1双归部署了VRRP备份组R1和R2，其中R1为VRRP的master设备,R2为VRRP的backup设备；用户希望当R1到LSW1或者R1出现故障的时候，主备网关切换小于1ms，减少出现故障时对业务的影响。在R1上配置VRRP与BFD联动，当BFD会话状态Down时，RouterB的优先级减少30。4、将R1的gi0/0/0接口shutdown，模拟故障，并查看VRRP与BFD状态。1.配置R1、R2、R3设备各个接口地址以及OSPF配置。查看VRRP的状态信息。

（2）在FW1和FW2上面配置OSPF协议，宣告私网网段以及tunnel接口网段，通过tunnel接口建立邻居关系；总结：在防火墙上面配置GRE VPN最重要的点就是注意防火墙上面的安全策略需要放行相关的流量，否则隧道无法建立。（1）在防火墙FW1和FW2上面配置tunnel接口，封装相关信息；（3）在FW1和FW2上面创建安全策略，放行相关流量通过。（3）在FW1上面配置OSPF并进行tunnel接口的封装。（4）在FW2上面配置OSPF并封装tunnel接口。（5）在FW1上面配置安全策略。

GRE（Generic Routing Encapsulation）通用路由封装协议可以对某些网络层协议（如IPX、ATM、IPv6、AppleTalk等）的数据报文进行封装，使这些被封装的数据报文能够在另一个网络层协议（如IPv4）中传输。②在AR2和AR3上创建Tunnel接口，创建GRE隧道，并在AR2和AR3上配置经过Tunnel接口的静态路由，使PC1和PC2之间的流量通过GRE隧道传输，实现PC1和PC2互通。GRE提供了将一种协议的报文封装在另一种协议报文中的机制，是一种三层隧道封装技术。