HC120119004 USG防火墻雙機(jī)熱備業(yè)務(wù)特性與配置_第1頁(yè)
HC120119004 USG防火墻雙機(jī)熱備業(yè)務(wù)特性與配置_第2頁(yè)
HC120119004 USG防火墻雙機(jī)熱備業(yè)務(wù)特性與配置_第3頁(yè)
HC120119004 USG防火墻雙機(jī)熱備業(yè)務(wù)特性與配置_第4頁(yè)
HC120119004 USG防火墻雙機(jī)熱備業(yè)務(wù)特性與配置_第5頁(yè)
已閱讀5頁(yè),還剩31頁(yè)未讀, 繼續(xù)免費(fèi)閱讀

下載本文檔

版權(quán)說明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請(qǐng)進(jìn)行舉報(bào)或認(rèn)領(lǐng)

文檔簡(jiǎn)介

USG防火墻

雙機(jī)熱備業(yè)務(wù)特性與配置前言在當(dāng)前的組網(wǎng)應(yīng)用中,用戶對(duì)網(wǎng)絡(luò)可靠性的要求越來越高,特別是在一些重要的業(yè)務(wù)入口或接入點(diǎn)上需要保證網(wǎng)絡(luò)不間斷運(yùn)行。對(duì)于這些重要的業(yè)務(wù)點(diǎn)如何保證網(wǎng)絡(luò)的不間斷傳輸,成為必須解決的一個(gè)問題。本膠片主要介紹防火墻的雙機(jī)熱備份技術(shù)原理和具體配置,以及在USG防火墻上實(shí)施雙機(jī)熱備份技術(shù)所使用的三種協(xié)議:VRRP、VGMP和HRP。培訓(xùn)目標(biāo)學(xué)完本課程后,您應(yīng)該能:掌握雙機(jī)熱備份技術(shù)原理掌握VRRP,VGMP和HRP之間的關(guān)系掌握典型雙機(jī)組網(wǎng)的配置目錄雙機(jī)熱備份技術(shù)原理USG防火墻雙機(jī)熱備份技術(shù)雙機(jī)熱備份技術(shù)在防火墻上的實(shí)施雙機(jī)熱備份技術(shù)產(chǎn)生的原因傳統(tǒng)的組網(wǎng)方式如圖所示,內(nèi)部用戶和外部用戶的交互報(bào)文全部通過FirewallA。如果FirewallA出現(xiàn)故障,內(nèi)部網(wǎng)絡(luò)中所有以FirewallA作為默認(rèn)網(wǎng)關(guān)的主機(jī)與外部網(wǎng)絡(luò)之間的通訊將中斷,通訊可靠性無法保證。FirewallA10.100.10.1/24InternetPC服務(wù)器內(nèi)部網(wǎng)絡(luò)10.100.10.0/24傳統(tǒng)雙機(jī)熱備份技術(shù)在路由器上的部署RouterA10.100.10.2MasterRouterBBackup10.100.10.3RouterC10.100.10.4Backup備份組VirtualIPAddress10.100.10.1InternetPC服務(wù)器內(nèi)部網(wǎng)絡(luò)10.100.10.0/24路由器組網(wǎng)中通過VRRP協(xié)議實(shí)現(xiàn)雙機(jī)熱備份VRRP在多區(qū)域防火墻組網(wǎng)中的應(yīng)用DMZTrustUntrustUSGA10.100.20.0/24MasterUSGBBackup10.100.10.0/24備份組1VirtualIPAddress10.100.10.1備份組2VirtualIPAddress10.100.20.1備份組3VirtualIPAddress202.38.10.1為防火墻上多個(gè)區(qū)域提供雙機(jī)備份功能時(shí),需要在每一臺(tái)防火墻上配置多個(gè)VRRP備份組。VRRP在防火墻應(yīng)用中存在的缺陷USGAMasterUSGBBackupTrustDMZUntrustPC1PC2(1)(2)(3)(4)(7)會(huì)話表項(xiàng)Server(5)(6)(8)實(shí)際連線報(bào)文流徑(9)傳統(tǒng)VRRP方式無法實(shí)現(xiàn)主、備用USG防火墻狀態(tài)的一致性。目錄雙機(jī)熱備份技術(shù)原理USG防火墻雙機(jī)熱備份技術(shù)雙機(jī)熱備份技術(shù)在防火墻上的實(shí)施防火墻雙機(jī)熱備份技術(shù)分析防火墻雙擊熱備份技術(shù)的特征控制主、備用防火墻的切換狀態(tài)信息的備份USG防火墻的雙機(jī)熱備份技術(shù)依靠三種協(xié)議實(shí)現(xiàn):VRRP(虛擬路由冗余協(xié)議)VGMP(VRRP組管理協(xié)議)HRP(華為冗余協(xié)議)防火墻主備狀態(tài)切換的實(shí)現(xiàn)VGMP(VRRPGroupManagementProtocol)提出VRRP管理組的概念,將同一臺(tái)防火墻上的多個(gè)VRRP備份組都加入到一個(gè)VRRP管理組,由管理組統(tǒng)一管理所有VRRP備份組。通過統(tǒng)一控制各VRRP備份組狀態(tài)的切換,來保證管理組內(nèi)的所有VRRP備份組狀態(tài)都是一致的。VGMP的作用:防火墻主備狀態(tài)控制切換VRRP管理組的功能:狀態(tài)一致性管理(管理組內(nèi)VRRP備份組同步狀態(tài)切換)搶占管理(屏蔽VRRP備份組搶占)通道管理(trans-only)VGMP實(shí)現(xiàn)原理USGAMasterUSGBBackupTrustDMZUntrust備份組1備份組2備份組3A1A2A3B2B1B3管理組管理組備份組4VGMP數(shù)據(jù)通道USGAMasterUSGBBackupTrustDMZUntrustA1A2A3B2B1B3A4B4A4-B4A3-B3A1-B1A2-B2防火墻狀態(tài)信息的備份VGMP可以保證報(bào)文來回路徑通過同一臺(tái)防火墻。當(dāng)主防火墻出現(xiàn)故障時(shí),所有流量都將切換到備防火墻。但USG防火墻是狀態(tài)防火墻,如果備防火墻上沒有原來主防火墻上的連接狀態(tài)數(shù)據(jù),則切換到備防火墻的很多流量將無法通過,造成現(xiàn)有的連接中斷,此時(shí)用戶必須重新發(fā)起連接。為了實(shí)現(xiàn)主用設(shè)備出現(xiàn)故障時(shí)能由備用設(shè)備平滑地接替工作,需要在主、備用設(shè)備之間備份關(guān)鍵配置命令和會(huì)話表狀態(tài)等關(guān)鍵信息。HRPHRP(HuaweiRedundancyProtocol)華為冗余協(xié)議華為公司冗余協(xié)議HRP(HuaweiRedundancyProtocol)是承載在VGMP報(bào)文上進(jìn)行傳輸?shù)?。HRP用于在主用設(shè)備和備用設(shè)備之間備份關(guān)鍵配置命令和會(huì)話表狀態(tài)等關(guān)鍵信息。HRP/VGMP/VRRP之間的關(guān)系VRRP備份組VGMP管理組VGMP報(bào)文HRP模塊HRP報(bào)文接口VRRP報(bào)文目錄雙機(jī)熱備份技術(shù)原理USG防火墻雙機(jī)熱備份技術(shù)雙機(jī)熱備份技術(shù)在防火墻上的實(shí)施防火墻雙機(jī)熱備份組網(wǎng)方式USG的雙機(jī)熱備份,可以工作在路由模式和混合模式兩種模式下:路由模式是指USG的業(yè)務(wù)端口和HRP備份通道接口均工作在路由模式下?;旌夏J绞侵窾SG的業(yè)務(wù)端口工作在透明模式下,而HRP備份通道接口工作在路由模式下。路由模式和混合模式都包含兩種組網(wǎng)方式:主備組網(wǎng)方式負(fù)載分擔(dān)組網(wǎng)方式路由模式-主備組網(wǎng)方式防火墻設(shè)備管理組成員優(yōu)先級(jí)狀態(tài)會(huì)話量AMaster備份組1,2,3高主用100%BSlave備份組1,2,3低備用0USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0PC1PC2路由模式-主備組網(wǎng)方式配置參考1USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0[USG2100]interfaceGigabitEthernet1/0/0[USG2100-GigabitEthernet1/0/0]ipaddress10.100.10.224

[USG2100-GigabitEthernet1/0/0]vrrpvrid1virtual-ip10.100.10.1master[USG2100]interfaceGigabitEthernet3/0/0[USG2100-GigabitEthernet3/0/0]ipaddress202.38.10.224

[USG2100-GigabitEthernet3/0/0]vrrpvrid2virtual-ip202.38.10.1master#將GE1/0/0和GE3/0/0加入到對(duì)應(yīng)的VRRP備份組中。路由模式-主備組網(wǎng)方式配置參考2USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0[USG2100]

interfaceGigabitEthernet2/0/0[USG2100-GigabitEthernet2/0/0]ipaddress10.100.20.224[USG2100-GigabitEthernet2/0/0]vrrpvrid3virtual-ip10.100.20.1master#將GE2/0/0加入到對(duì)應(yīng)的VRRP備份組中。

[USG2100]

hrpinterfaceGigabitEthernet2/0/0[USG2100]

hrpenable#指定HRP的備份通道并使能HRP功能。路由模式-主備組網(wǎng)方式配置參考3USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0HRP_M[USG2100]hrpauto-syncconfigHRP_M[USG2100]policyinterzonetrustuntrustoutboundHRP_M[USG2100-policy-interzone-trust-untrust-outbound]

policy1HRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]actionpermitHRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]policysource10.100.10.0mask24#使能配置命令自動(dòng)備份功能并添加區(qū)域間包過濾規(guī)則。

路由模式-主備組網(wǎng)方式配置驗(yàn)證USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0HRP_M[USG2100]displayhrpstate

Thefirewall'sconfigstateis:MASTERCurrentstateofvirtualroutersconfiguredasmaster:GigabitEthernet1/0/0vrid1:masterGigabitEthernet3/0/0vrid2:masterGigabitEthernet2/0/0vrid3:master#在USGA上執(zhí)行displayhrpstate命令,檢查當(dāng)前HRP的狀態(tài),顯示以上信息表示HRP建立成功。

路由模式-負(fù)載分擔(dān)組網(wǎng)方式防火墻設(shè)備管理組備份組優(yōu)先級(jí)狀態(tài)會(huì)話量AMaster備份組1,2,3高主用部分BSlave備份組1,2,3低備用0ASlave備份組4,5,6低備用0BMaster備份組4,5,6高主用部分Master/Slave管理組USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5PC1PC2USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組Master/Slave管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5路由模式-負(fù)載分擔(dān)組網(wǎng)方式配置參考1[USG2100]interfaceGigabitEthernet1/0/0

[USG2100-GigabitEthernet1/0/0]ipaddress10.100.10.324[USG2100-GigabitEthernet1/0/0]vrrpvrid1virtual-ip10.100.10.1master[USG2100-GigabitEthernet1/0/0]vrrpvrid4virtual-ip10.100.10.2slave[USG2100]interfaceGigabitEthernet3/0/0[USG2100-GigabitEthernet3/0/0]ipaddress202.38.10.324

[USG2100-GigabitEthernet3/0/0]vrrpvrid2virtual-ip202.38.10.1master

[USG2100-GigabitEthernet3/0/0]vrrpvrid5virtual-ip202.38.10.2slave

將接口GE1/0/0和GE3/0/0加入到對(duì)應(yīng)的VRRP備份組中路由模式-負(fù)載分擔(dān)組網(wǎng)方式配置參考2USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組Master/Slave管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5[USG2100]interfaceGigabitEthernet2/0/0[USG2100-GigabitEthernet2/0/0]ipaddress10.100.20.324[USG2100-GigabitEthernet2/0/0]vrrpvrid3virtual-ip10.100.20.1master[USG2100-GigabitEthernet2/0/0]vrrpvrid6virtual-ip10.100.20.2slave[USG2100]

hrpinterfaceGigabitEthernet2/0/0[USG2100]

hrpenable

#將GE1/0/0和GE3/0/0加入對(duì)應(yīng)的備份組;指定HRP備份通道并使能HRP功能。

路由模式-負(fù)載分擔(dān)組網(wǎng)方式配置參考3USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組Master/Slave管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5HRP_M[USG2100]hrpauto-syncconfigHRP_M[USG2100]policyinterzonetrustuntrustoutboundHRP_M[USG2100-policy-interzone-trust-untrust-outbound]

policy1HRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]actionpermitHRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]policysource10.100.10.0mask24#使能配置命令自動(dòng)備份功能并添加區(qū)域間包過濾規(guī)則。路由模式-負(fù)載分擔(dān)組網(wǎng)方式配置驗(yàn)證HRP_M[USG2100]dishrpstate

Thefirewall'sconfigstateis:MASTERCurrentstateofvirtualroutersconfiguredasmaster:GigabitEthernet3/0/0vrid2:masterGigabitEthernet2/0/0vrid3:masterGigabitEthernet1/0/0vrid1:masterCurrentstateofvirtualroutersconfiguredasslave:GigabitEthernet3/0/0vrid5:slaveGigabitEthernet2/0/0vrid6:slaveGigabitEthernet1/0/0vrid4:slave#在USGA上執(zhí)行displayhrpstate命令,檢查當(dāng)前HRP的狀態(tài)。從以上顯示信息可以看出,在USGA上,VRRP備份組1、2、3屬于Master管理組;VRRP備份組4、5、6屬于Slave管理組。混合模式-主備組網(wǎng)方式上圖組網(wǎng)方式可以實(shí)現(xiàn)負(fù)載分擔(dān)嗎?G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1PC1PC2混合模式-主備組網(wǎng)方式配置參考1G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1[USG2100]interfaceGigabitEthernet0/0/1[USG2100-GigabitEthernet0/0/1]ipaddress10.100.20.224[USG2100-GigabitEthernet0/0/1]vrrpvrid1virtual-ip10.100.20.1master[USG2100]firewallzonedmz

[USG2100-zone-dmz]addinterfacegigabitethernet0/0/1

#配置GE0/0/1所屬的VRRP備份組和虛擬IP地址,并將其加入DMZ區(qū)域

混合模式-主備組網(wǎng)方式配置參考2G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1[USG2100]interfacegigabitethernet0/0/0

[USG2100-GigabitEthernet0/0/0]portswitch

[USG2100]interfacegigabitethernet0/0/2

[USG2100-GigabitEthernet0/0/2]portswitch#配置GE0/0/0和GE0/0/2工作在透明模式。

混合模式-主備組網(wǎng)方式配置參考3G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1[USG2100]

vlan2[USG2100-vlan-2]portGigabitEthernet0/0/0

[USG2100-vlan-2]portGigabitEthernet0/0/2

[USG2100-vlan-2]hrptrackmaster

溫馨提示

  • 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請(qǐng)下載最新的WinRAR軟件解壓。
  • 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請(qǐng)聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
  • 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁(yè)內(nèi)容里面會(huì)有圖紙預(yù)覽,若沒有圖紙預(yù)覽就沒有圖紙。
  • 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
  • 5. 人人文庫(kù)網(wǎng)僅提供信息存儲(chǔ)空間,僅對(duì)用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理,對(duì)用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對(duì)任何下載內(nèi)容負(fù)責(zé)。
  • 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請(qǐng)與我們聯(lián)系,我們立即糾正。
  • 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時(shí)也不承擔(dān)用戶因使用這些下載資源對(duì)自己和他人造成任何形式的傷害或損失。

最新文檔

評(píng)論

0/150

提交評(píng)論