防火墙 配置VRRP
一、网络拓扑图
二、需求描述
USG-A和USG-B之间启用VRRP虚拟路由器冗余协议,使USG-A为vlan1的主“路由器”,USG-B为vlan2的主“路由器”。
三、实验步骤
1.配置USG-A。
2.配置USG-B。
3.配置起路由器作用的IPS。
实验步骤及截图:
1.配置USG-A。
将接口eth1、eth2和eth4配置为路由模式,将eth3设置为HA网口
配置HA网口eth3,IP地址30.1.1.1
配置VRRP,确定优先级高低
配置端口联动,将接口eth1、eth2加入端口组
新建别名接口,并配置所需的虚拟IP地址
配置一条去200.1.1.0/24 网段的静态路由
新建一条全通的安全策略(排除安全策略干扰)
在其他设备都配置完毕网络收敛后,查看VRRP监控
2.配置USG-B。
将接口eth1、eth2和eth0配置为路由模式,将eth3设置为HA网口
配置HA网口,IP地址设为30.1.1.2
配置VRRP,确定好优先级
配置端口联动,将接口eth1、eth2加入端口组
新建两个别名接口,并配置虚拟IP地址
新建一条去200.1.1.0/24网段的静态路由
新建一条全通的安全策略
在其他设备配置完毕、网络收敛后,查看VRRP监控
- 配置代替路由器的IPS
将接口g0/1 、g0/2和g0/3配置为路由模式并设置所需的IP地址
配置三条所需的静态路由
新建一条全部允许通过的入侵防御策略
最后在两台交换机上划分所需的vlan1与vlan2
Vlan1:与USG-A eth1、USG-B eth1 和192.168.3.0/24客户机连接的三个接口;
Vlan2:与USG-A eth2、USG-B eth2 和192.168.4.0/24客户机连接的三个接口。
四、实验目标:
结果能实现:
1 Vlan1网段的设备默认情况下通过USG-A转发数据
Vlan2网段的设备默认情况下通过USG-B转发数据
需要通过TraceRoute 查看到对应的数据包路径
2 当关掉USG-A,此时USG-B成为vlan1的主路由器(同时仍然保持vlan2的主路由器角色)
实验结果:
Vlan1网段的设备默认情况下通过USG-A转发数据
Vlan2网段的设备默认情况下通过USG-B转发数据
需要通过TraceRoute 查看到对应的数据包路径(见上图)
当关掉USG-A,此时USG-B成为vlan1的主路由器(同时仍然保持vlan2的主路由器角色)
(这里通过关闭USG-B测试)
192.168.3.123/24 跃点未变化
192.168.4.123/24第二跳改为80.1.1.1(与USG-A eth4接口相连的IPS接口IP地址)