【防火墙 配置VRRP】

防火墙 配置VRRP

一、网络拓扑图

二、需求描述

USG-A和USG-B之间启用VRRP虚拟路由器冗余协议，使USG-A为vlan1的主“路由器”，USG-B为vlan2的主“路由器”。

三、实验步骤

1.配置USG-A。
2.配置USG-B。
3.配置起路由器作用的IPS。

实验步骤及截图：
1.配置USG-A。
将接口eth1、eth2和eth4配置为路由模式，将eth3设置为HA网口

配置HA网口eth3，IP地址30.1.1.1

配置VRRP，确定优先级高低

配置端口联动，将接口eth1、eth2加入端口组

新建别名接口，并配置所需的虚拟IP地址

配置一条去200.1.1.0/24 网段的静态路由

新建一条全通的安全策略（排除安全策略干扰）

在其他设备都配置完毕网络收敛后，查看VRRP监控

2.配置USG-B。

将接口eth1、eth2和eth0配置为路由模式，将eth3设置为HA网口

配置HA网口，IP地址设为30.1.1.2

配置VRRP，确定好优先级

配置端口联动，将接口eth1、eth2加入端口组

新建两个别名接口，并配置虚拟IP地址

新建一条去200.1.1.0/24网段的静态路由

新建一条全通的安全策略

在其他设备配置完毕、网络收敛后，查看VRRP监控

3. 配置代替路由器的IPS

将接口g0/1 、g0/2和g0/3配置为路由模式并设置所需的IP地址

配置三条所需的静态路由

新建一条全部允许通过的入侵防御策略

最后在两台交换机上划分所需的vlan1与vlan2
Vlan1:与USG-A eth1、USG-B eth1 和192.168.3.0/24客户机连接的三个接口；
Vlan2:与USG-A eth2、USG-B eth2 和192.168.4.0/24客户机连接的三个接口。

四、实验目标：

结果能实现：
1 Vlan1网段的设备默认情况下通过USG-A转发数据
Vlan2网段的设备默认情况下通过USG-B转发数据
需要通过TraceRoute 查看到对应的数据包路径
2 当关掉USG-A，此时USG-B成为vlan1的主路由器（同时仍然保持vlan2的主路由器角色）

实验结果：
Vlan1网段的设备默认情况下通过USG-A转发数据

Vlan2网段的设备默认情况下通过USG-B转发数据

需要通过TraceRoute 查看到对应的数据包路径（见上图）

---

当关掉USG-A，此时USG-B成为vlan1的主路由器（同时仍然保持vlan2的主路由器角色）
（这里通过关闭USG-B测试）

192.168.3.123/24 跃点未变化

192.168.4.123/24第二跳改为80.1.1.1（与USG-A eth4接口相连的IPS接口IP地址）