任务十六:主备备份型防火墙双机热备

目录

目的

器材

拓扑

步骤

一、基本配置

配置各路由器接口的IP地址【省略】

1、配置BGP协议实现Internet路由器之间互联

2、防火墙FW1和FW2接口IP配置与区域划分

3、配置区域间转发策略

4、配置NAPT和默认路由

5、配置VRRP组,并加入Active/standby VGMP管理组中

6、配置NAT Server,允许公网用户访问公司Web服务器和FTP服务器

7、指定心跳接口,启用华为HRP协议

验证

1、连通性测试

2、服务器访问测试

总结


目的

理解双机热备与VRRP【虚拟路由冗余协议】的区别,掌握上下接交换机场景中,主备备份型防火墙双机热备配置过程。

器材

路由器(AR2220):5台

三层交换机(S5700):1台

接入层交换机(S3700):2台

主机:7台

防火墙(USG6000V):2台

拓扑

步骤

一、基本配置

配置各路由器接口的IP地址【省略】

1、配置BGP协议实现Internet路由器之间互联

[R1]isis 1
[R1-isis-1]network-entity 10.0001.0000.0000.0001.00
[R1-isis-1]is-level level-1	
[R1-isis-1]quit 
[R1]int g0/0/0	
[R1-GigabitEthernet0/0/0]isis enable 1	
[R1-GigabitEthernet0/0/0]quit 
[R1]int g0/0/1	
[R1-GigabitEthernet0/0/1]isis enable 1
[R1-GigabitEthernet0/0/1]quit 
[R1]int lo 0
[R1-LoopBack0]isis enable 1
[R1-LoopBack0]quit 
[R1]bgp 500
[R1-bgp]peer 10.0.2.2 as-number 500
[R1-bgp]peer 10.0.2.2 connect-interface LoopBack 0[R2]isis 1
[R2-isis-1]network-entity 10.0001.0000.0010.00
[R2-isis-1]is-level level-1
[R2-isis-1]quit 
[R2]int g0/0/0	
[R2-GigabitEthernet0/0/0]isis enable 1
[R2-GigabitEthernet0/0/0]quit 
[R2]int g0/0/1	
[R2-GigabitEthernet0/0/1]isis enable 1	
[R2-GigabitEthernet0/0/1]quit 
[R2]int lo 0
[R2-LoopBack0]isis enable 1	
[R2-LoopBack0]quit 
[R2]bgp 500
[R2-bgp]peer 10.0.1.1 as-number 500
[R2-bgp]peer 10.0.1.1 connect-interface LoopBack 0
[R2-bgp]peer 117.32.32.2 as-number 300
[R2-bgp]import-route isis 1
[R2-bgp]quit[R3]ospf 1
[R3-ospf-1]are 0
[R3-ospf-1-area-0.0.0.0]network 117.32.32.0 0.0.0.255
[R3-ospf-1-area-0.0.0.0]network 118.16.16.0 0.0.0.255
[R3-ospf-1-area-0.0.0.0]network 10.0.3.0 0.0.0.255	
[R3-ospf-1-area-0.0.0.0]quit 	
[R3-ospf-1]quit 
[R3]bgp 300	
[R3-bgp]peer 10.0.4.4 as-number 300
[R3-bgp]peer 10.0.4.4 connect-interface LoopBack 0
[R3-bgp]peer 117.32.32.1 as-number 500
[R3-bgp]import-route ospf 1
[R3-bgp]quit[R4]ospf 1
[R4-ospf-1]are 0	
[R4-ospf-1-area-0.0.0.0]network 118.16.16.0 0.0.0.255
[R4-ospf-1-area-0.0.0.0]network  202.202.202.0 0.0.0.255   ?????
[R4-ospf-1-area-0.0.0.0]network 204.204.204.0 0.0.0.255
[R4-ospf-1-area-0.0.0.0]network 10.0.4.0 0.0.0.255	
[R4-ospf-1-area-0.0.0.0]quit 
[R4-ospf-1]quit 
[R4]bgp 300
[R4-bgp]peer 10.0.3.3 as-number 300
[R4-bgp]peer 10.0.3.3 connect-interface LoopBack  0
[R4-bgp]quit[R5]ip route-static 0.0.0.0 0 204.204.204.1

2、防火墙FW1和FW2接口IP配置与区域划分

防火墙默认用户名:admin
默认密码:Admin@123
需要进行修改密码:admin@123
配置如下:
<USG6000V1>sy
[USG6000V1]sy FW1[FW1]
[FW1]int g1/0/2
[FW1-GigabitEthernet1/0/2]ip ad 10.1.1.1 24
[FW1-GigabitEthernet1/0/2]int g1/0/0
[FW1-GigabitEthernet1/0/0]ip ad 10.2.2.1 24
[FW1-GigabitEthernet1/0/0]int g1/0/1
[FW1-GigabitEthernet1/0/1]ip ad 10.3.3.1 24
[FW1-GigabitEthernet1/0/1]quit [FW1]firewall zone trust 	
[FW1-zone-trust]add interface g1/0/2
[FW1]firewall zone untrust 
[FW1-zone-untrust]add interface g1/0/0	
[FW1]firewall zone dmz 
[FW1-zone-dmz]add interface g1/0/1FW2如上配置。此处省略,算了还是粘贴上吧
<USG6000V1>sy
[USG6000V1]sy FW2[FW2]int g1/0/0
[FW2-GigabitEthernet1/0/0]ip ad 10.2.2.2 24
[FW2-GigabitEthernet1/0/0]int g1/0/1
[FW2-GigabitEthernet1/0/1]ip ad 10.3.3.2 24
[FW2-GigabitEthernet1/0/1]int g1/0/2
[FW2-GigabitEthernet1/0/2]ip ad 10.1.1.2 24	[FW2]firewall zone trust 
[FW2-zone-trust]add  interface  g1/0/2
[FW2]firewall zone untrust 
[FW2-zone-untrust]add  interface  g1/0/0	
[FW2]firewall zone dmz 
[FW2-zone-dmz]add interface g1/0/1

3、配置区域间转发策略

[FW1]security-policy 
[FW1-policy-security]rule name trust_to_untrust
[FW1-policy-security-rule-trust_to_untrust]source-zone trust 
[FW1-policy-security-rule-trust_to_untrust]destination-zone untrust 	
[FW1-policy-security-rule-trust_to_untrust]action permit [FW2]security-policy 
[FW2-policy-security]rule name trust_to_untrust	
[FW2-policy-security-rule-trust_to_untrust]source-zone trust 	
[FW2-policy-security-rule-trust_to_untrust]destination-zone untrust 	
[FW2-policy-security-rule-trust_to_untrust]action permit[FW1-policy-security]rule name untrust_trust_web
[FW1-policy-security-rule-untrust_to_web]source-zone untrust 	
[FW1-policy-security-rule-untrust_to_web]destination-zone trust 
[FW1-policy-security-rule-untrust_to_web]destination-address 192.168.1.10 32
[FW1-policy-security-rule-untrust_to_web]service protocol tcp destination-port 80
[FW1-policy-security-rule-untrust_to_web]action permit 
[FW1-policy-security-rule-untrust_to_web]quit FW2脚本:
rule name untrust_trust_web
source-zone untrust
destination-zone trust
destination-address 192.168.1.10 mask 255.255.255.255
service protocol tcp destination-port 80
action permit
quit[FW1-policy-security]rule name untrust_trust_ftp
[FW1-policy-security-rule-untrust_trust_ftp]source-zone untrust 	
[FW1-policy-security-rule-untrust_trust_ftp]destination-zone trust 
[FW1-policy-security-rule-untrust_trust_ftp]destination-address 192.168.1.20 32
[FW1-policy-security-rule-untrust_trust_ftp]service protocol tcp destination-por
t 21
[FW1-policy-security-rule-untrust_trust_ftp]action permit 
[FW1-policy-security-rule-untrust_trust_ftp]quitFW2脚本:
rule name untrust_trust_ftp
source-zone untrust
destination-zone trust
destination-address 192.168.1.20 mask 255.255.255.255
service protocol tcp destination-port 21
action permit
quit

4、配置NAPT和默认路由

[FW1]nat address-group pool_to_internet  //定义地址池名称
[FW1-address-group-pool_to_internet]section 201.201.201.254 201.201.201.254  //section:段,即地址段
[FW1-address-group-pool_to_internet]quit 
[FW1]nat-policy 	
[FW1-policy-nat]rule name napt_to_internet
[FW1-policy-nat-rule-napt_to_internet]destination-zone untrust 	
[FW1-policy-nat-rule-napt_to_internet]source-zone trust 	
[FW1-policy-nat-rule-napt_to_internet]action source-nat address-group pool_to_in
ternet
[FW1-policy-nat-rule-napt_to_internet]quit 	
[FW1-policy-nat]quit 	
[FW1]ip route-static 0.0.0.0 0 201.201.201.1FW2脚本:
nat address-group pool_to_internet
section 201.201.201.254 201.201.201.254
quit 
nat-policy 	
rule name napt_to_internet
destination-zone untrust 	
source-zone trust 	
action source-nat address-group pool_to_internet
quit 	
quit 	
ip route-static 0.0.0.0 0 201.201.201.1

5、配置VRRP组,并加入Active/standby VGMP管理组中

[FW1]int g1/0/2	
[FW1-GigabitEthernet1/0/2]vrrp vrid 1 virtual-ip 192.168.1.254 255.255.255.0 active 
[FW1-GigabitEthernet1/0/2]vrrp virtual-mac enable  //vrrp虚拟接口本身没有mac地址,如不配置虚拟mac地址,会使用物理接口实际mac地址对报文进行封装。主备状态发生切换时,交换机不会自动更新记录表中的mac地址,还会将报文发送至原来主用设备,导致业务中断或中断时间过长
[FW1-GigabitEthernet1/0/2]quit 
[FW1]int g1/0/0
[FW1-GigabitEthernet1/0/0]vrrp vrid 2 virtual-ip 201.201.201.254 24 active 
[FW1-GigabitEthernet1/0/0]vrrp virtual-mac enable 	
[FW1-GigabitEthernet1/0/0]quitFW2脚本:
int g1/0/2	
vrrp vrid 1 virtual-ip 192.168.1.254 255.255.255.0 standby
vrrp virtual-mac enable 
quit 
int g1/0/0
vrrp vrid 2 virtual-ip 201.201.201.254 24 standby
vrrp virtual-mac enable 	
quit为方便故障调试,允许主机1和主机2与VRRP虚拟接口ping通:
[FW1]int g1/0/2	
[FW1-GigabitEthernet1/0/2]service-manage ping permit 	
[FW1-GigabitEthernet1/0/2]quit
[FW2]int g1/0/2	
[FW2-GigabitEthernet1/0/2]service-manage ping permit 	
[FW2-GigabitEthernet1/0/2]quit

查看VRRP组状态:

 

6、配置NAT Server,允许公网用户访问公司Web服务器和FTP服务器

[FW1]nat server protocol tcp global 201.201.201.254 www inside 192.168.1.10 www
[FW1]nat server protocol tcp global 201.201.201.254 ftp inside 192.168.1.20 ftp[FW2]nat server protocol tcp global 201.201.201.254 www inside 192.168.1.10 www
[FW2]nat server protocol tcp global 201.201.201.254 ftp inside 192.168.1.20 ftp

7、指定心跳接口,启用华为HRP协议

[FW1]hrp interface g1/0/1 remote 10.3.3.2 //指定心跳接口。双机热备防火墙心跳线用于了解对方状态,协商主从关系,相互备份状态。心跳线两端接口称为心跳接口
[FW1]hrp enable   //启用HRP【华为冗余协议】,用于将主用防火墙配置和状态数据向备用防火墙同步
HRP_S[FW1]hrp auto-sync   //指定双击热备方式为自动备份。默认开启自动备份,本行命令可不输入。启用自动备份功能后,在主用设备上每执行一条可以备份的命令时,此配置命令会立刻同步备份到备用设备上,但主用设备状态数据不会立即同步,需经过一个周期后才会备份到备用设备
HRP_M[FW1]  //S--->M。S表示处于HRP协议Slave状态,M表示处于HRP协议Master状态(需等待几秒钟协商时间)[FW2]hrp interface g1/0/1 remote 10.3.3.1
[FW2]hrp enable
HRP_S[FW2]hrp auto-sync   

配置心跳接口后,查看心跳接口运行状态:

验证

1、连通性测试

1)查看HRP当前状态

2)配置NAPT后,主机1可以连通R5【主机1我换成了PC做测试,如果不闲麻烦可以使用虚拟机】

 

3)拔掉防火墙FW1和SW2间的线缆,主机1仍然可以ping通R5

 

4)重新查看防火墙HRP协议状态

2、服务器访问测试

主机3访问主机4的百度web站点,主机5访问主机1的Web站点,主机6访问主机2的FTP站点

//配置easy-ip和nat server
[R5]acl 2000
[R5-acl-basic-2000]rule permit source any
[R5-acl-basic-2000]quit 
[R5]int g0/0/0
[R5-GigabitEthernet0/0/0]nat outbound 2000
[R5-GigabitEthernet0/0/0]nat server protocol tcp global current-interface 80 ins
ide 192.168.10.10 80
Warning:The port 80 is well-known port. If you continue it may cause function fa
ilure.
Are you sure to continue?[Y/N]:y	
[R5-GigabitEthernet0/0/0]quit 

 eg:主机3访问主机4的百度web站点

要是遇见大佬,还请答疑,感谢

总结
 

1)双机热备只支持两台设备进行备份,心跳接口之间可以连接多个路由器,但一定要能ping通

2)处于双机热备的两台防火墙要求硬件配置和软件版本一致,并且要求接口卡型号与所在槽位一致,否则会出现一台设备备份过去的数据,而在另一台设备上无法识别的情况,或者找不到相关物理资源,从而导致流量切换后报文转发出错或失败。

3)双机热备只支持数据同步,不支持配置同步。所以在一端进行某些配置时,比如配置接口类型、接口允许通过的vlan等,需要手工在对端防火墙也进行相应的配置。

4)VRRP【Virtual Router Redundancy Protocol,虚拟路由冗余协议】

由IETF提出,将物理设备和逻辑设备分离,实现内网主机在多个出口网关之间选择路径和流量平衡。

5)VGMP【VRRP Group Management Protocol,VRRP组管理协议】

由华为提出,防止VRRP状态不一致(报文来回路径不一致)导致TCP会话连接中断问题。VGMP是在VRRP基础上由华为自主研发的扩展协议,负责备份VRRP状态数据。

6)HRP【Huawei Redundancy Protocol,华为冗余协议】

用于防火墙状态数据实时备份,避免因报文来回路径不一致导致的TCP会话连接中断,可以看成是VRRP和VGMP的集合。

7)双击热备方式

自动备份【自动开启,华为防火墙默认备份模式】、手工批量备份、快速备份

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.rhkb.cn/news/220234.html

如若内容造成侵权/违法违规/事实不符,请联系长河编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

MATLAB图解傅里叶变换(初学者也可以理解)

1、概述 相信很多人对于傅里叶变换可能觉得比较复杂和有点难懂&#xff0c;其实不难&#xff0c;它只是一种积分变换。 傅里叶变换&#xff0c;表示能将满足一定条件的某个函数表示成三角函数&#xff08;正弦和/或余弦函数&#xff09;或者它们的积分的线性组合。也就是说&qu…

Acrel-1000DP分布式光伏系统在某重工企业18MW分布式光伏中应用——安科瑞 顾烊宇

摘 要&#xff1a;分布式光伏发电特指在用户场地附近建设&#xff0c;运行方式以用户侧自发自用、余电上网&#xff0c;且在配电系统平衡调节为特征的光伏发电设施&#xff0c;是一种新型的、具有广阔发展前景的发电和能源综合利用方式&#xff0c;它倡导就近发电&#xff0c;就…

枚举enum(学习推荐版,通俗易懂)

定义及特点 第一行的列举名称&#xff08;都是常量&#xff09;&#xff0c;代表每个枚举的对象&#xff08;因为枚举不能创建对象&#xff0c;只能依靠罗列名称确定可使用枚举对象个数&#xff09;&#xff0c;这些名称代表的对象可以使用所在枚举类的所有成员变量、成员方法、…

4.配置系统时钟思路及方法

前言&#xff1a; 比起之前用过的三星的猎户座4412芯片&#xff0c;STM32F4的系统时钟可以说是小巫见大巫&#xff0c;首先我们需要清晰时钟产生的原理&#xff1a;几乎大多数的芯片都是由晶振产生一个比较低频的频率&#xff0c;然后通过若干个PLL得到单片机能承受的频率&…

每日一题:LeetCode-LCR 016. 无重复字符的最长子串

每日一题系列&#xff08;day 15&#xff09; 前言&#xff1a; &#x1f308; &#x1f308; &#x1f308; &#x1f308; &#x1f308; &#x1f308; &#x1f308; &#x1f308; &#x1f308; &#x1f308; &#x1f308; &#x1f308; &#x1f308; &#x1f50e…

Spring Cloud + Vue前后端分离-第6章 通用代码生成器开发

Spring Cloud Vue前后端分离-第6章 通用代码生成器开发 6-1 代码生成器原理介绍 1.增加generator模块&#xff0c;用于代码生成 2.集成freemarker 通用代码生成器开发 FreeMarker 是一款模版引擎&#xff0c;通过模板生成文件&#xff0c;包括html页面&#xff0c;excel …

第7章 排序

前言 在这一章&#xff0c;我们讨论数组元素的排序问题。为简单起见&#xff0c;假设在我们的例子中数组只包含整数&#xff0c;虽然更复杂的结构显然也是可能的。对于本章的大部分内容&#xff0c;我们还假设整个排序工作能够在主存中完成&#xff0c;因此&#xff0c;元素的个…

前端检测字符串中是否含有特殊字符,并返回该特殊字符

一、判断字符串中是否含有特殊字符 const hasSpecicalCharacter (str) > {var regex /[!#$%^&*(),.?":{}|<>]/return regex.test(str) } //含有特殊字符返回true, 没有特殊字符返回false 二、判断字符串中是否含有特殊字符&#xff0c;并返回该特殊字符…

传统软件集成AI大模型——Function Calling

传统软件和AI大模型的胶水——Function Calling 浅谈GPT对传统软件的影响Function Calling做了什么&#xff0c;为什么选择Function CallingFunction Calling简单例子&#xff0c;如何使用使用场景 浅谈GPT对传统软件的影响 目前为止好多人对chatGPT的使用才停留在OpenAI自己提…

20、WEB攻防——PHP特性缺陷对比函数CTF考点CMS审计实例

文章目录 一、PHP常用过滤函数&#xff1a;1.1 与1.2 md51.3 intval1.4 strpos1.5 in_array1.6 preg_match1.7 str_replace CTFshow演示三、参考资料 一、PHP常用过滤函数&#xff1a; 1.1 与 &#xff1a;弱类型对比&#xff08;不考虑数据类型&#xff09;&#xff0c;甚至…

pytorch文本分类(三)模型框架(DNNtextCNN)

pytorch文本分类&#xff08;三&#xff09;模型框架&#xff08;DNN&textCNN&#xff09; 原任务链接 目录 pytorch文本分类&#xff08;三&#xff09;模型框架&#xff08;DNN&textCNN&#xff09;1. 背景知识深度学习 2. DNN2.1 从感知器到神经网络2.2 DNN的基本…

机器视觉【1】相机的成像(畸变)模型

零、前言 很久没写文章&#xff0c;简单唠一唠。 不知道巧合还是蜀道同归&#xff0c;部门领导设定了些研究课题&#xff0c;用于公司部门员工的超前发展&#xff0c;该课题是“2D to 3D的三维重建”&#xff0c;这一块刚好是我个人看中的一个大方向&#xff0c;所以就有了这…

智能优化算法应用:基于黑猩猩算法3D无线传感器网络(WSN)覆盖优化 - 附代码

智能优化算法应用&#xff1a;基于黑猩猩算法3D无线传感器网络(WSN)覆盖优化 - 附代码 文章目录 智能优化算法应用&#xff1a;基于黑猩猩算法3D无线传感器网络(WSN)覆盖优化 - 附代码1.无线传感网络节点模型2.覆盖数学模型及分析3.黑猩猩算法4.实验参数设定5.算法结果6.参考文…

早期的OCR是怎么识别图片上的文字的?

现在的OCR技术融合了人工智能技术&#xff0c;通过深度学习&#xff0c;无论是识别的准确率还是效果都非常不错&#xff0c;那您知道在早期的OCR是通过什么技术来实现的吗&#xff1f;如果您不知道&#xff0c;那么&#xff0c;就让我来告诉您&#xff1a;它主要是基于字符的几…

matlab中Signal Builder模块的用法总结

目录 前言方法一方法二参考文章 前言 今天在用matlab中Signal Builder的模块时&#xff0c;不知道怎么去得到想要的信号源&#xff0c;于是上网查了一下&#xff0c;并记录一下 方法一 如图所示&#xff0c;打开自定义 上面一行是横坐标&#xff0c;下面一行是纵坐标 [0,1…

【uniapp小程序-上拉加载】

在需要上拉加载的页面的page.json上添加红框框里面的 onReachBottom() {if(this.commentCurrent<this.commentTotal){this.commentCurrent 1; this.commentList();this.status loading;}else{this.status ;} }, methods:{commentList(){let params {courseid:this.cour…

Android-----AndroidManifests.xml 之meta-data

一、概念 meta-data&#xff1a;元数据、文件元数据。主要用来定义一些组件相关的配置值。 metadata是一组供父组件使用的名值对&#xff08;name-value pair&#xff09;&#xff0c;一个组件元素可以包含任意数量的meta-data子元素。这些子元素的值存放在一个 Bundle 对象中…

加速数据采集:用OkHttp和Kotlin构建Amazon图片爬虫

引言 曾想过轻松获取亚马逊上的商品图片用于项目或研究吗&#xff1f;是否曾面对网络速度慢或被网站反爬虫机制拦截而无法完成数据采集任务&#xff1f;如果是&#xff0c;那么本文将为您介绍如何用OkHttp和Kotlin构建一个高效的Amazon图片爬虫解决方案。 背景介绍 亚马逊&a…

【九】python模板方法模式

文章目录 9.1 模板方法模式概述9.2 代码示例9.3 模板方法模式的UML图9.4 模板方法模式的优点和缺点9.4.1 模板方法模式提供以下优点:9.4.2 模板方法模式的缺点如下: 9.1 模板方法模式概述 模板方法模式是一种行为设计模式&#xff0c;它使用一个抽象的基类定义了一个操作中的算…

Linux shell编程学习笔记36:read命令

*更新日志 *2023-12-18 1.根据[美] 威廉肖特斯 &#xff08;Willian shotts&#xff09;所著《Linux命令行大全&#xff08;第2版&#xff09;》 更新了-e、-i、-r选项的说明 2.更新了 2.8 的实例&#xff0c;增加了gif动图 3.补充了-i的应用实例 2.1…