HC120119004 USG防火墻雙機(jī)熱備業(yè)務(wù)特性與配置

USG防火墻

雙機(jī)熱備業(yè)務(wù)特性與配置前言在當(dāng)前的組網(wǎng)應(yīng)用中，用戶對網(wǎng)絡(luò)可靠性的要求越來越高，特別是在一些重要的業(yè)務(wù)入口或接入點(diǎn)上需要保證網(wǎng)絡(luò)不間斷運(yùn)行。對于這些重要的業(yè)務(wù)點(diǎn)如何保證網(wǎng)絡(luò)的不間斷傳輸，成為必須解決的一個問題。本膠片主要介紹防火墻的雙機(jī)熱備份技術(shù)原理和具體配置，以及在USG防火墻上實(shí)施雙機(jī)熱備份技術(shù)所使用的三種協(xié)議：VRRP、VGMP和HRP。培訓(xùn)目標(biāo)學(xué)完本課程后，您應(yīng)該能：掌握雙機(jī)熱備份技術(shù)原理掌握VRRP，VGMP和HRP之間的關(guān)系掌握典型雙機(jī)組網(wǎng)的配置目錄雙機(jī)熱備份技術(shù)原理USG防火墻雙機(jī)熱備份技術(shù)雙機(jī)熱備份技術(shù)在防火墻上的實(shí)施雙機(jī)熱備份技術(shù)產(chǎn)生的原因傳統(tǒng)的組網(wǎng)方式如圖所示，內(nèi)部用戶和外部用戶的交互報文全部通過FirewallA。如果FirewallA出現(xiàn)故障，內(nèi)部網(wǎng)絡(luò)中所有以FirewallA作為默認(rèn)網(wǎng)關(guān)的主機(jī)與外部網(wǎng)絡(luò)之間的通訊將中斷，通訊可靠性無法保證。FirewallA10.100.10.1/24InternetPC服務(wù)器內(nèi)部網(wǎng)絡(luò)10.100.10.0/24傳統(tǒng)雙機(jī)熱備份技術(shù)在路由器上的部署RouterA10.100.10.2MasterRouterBBackup10.100.10.3RouterC10.100.10.4Backup備份組VirtualIPAddress10.100.10.1InternetPC服務(wù)器內(nèi)部網(wǎng)絡(luò)10.100.10.0/24路由器組網(wǎng)中通過VRRP協(xié)議實(shí)現(xiàn)雙機(jī)熱備份VRRP在多區(qū)域防火墻組網(wǎng)中的應(yīng)用DMZTrustUntrustUSGA10.100.20.0/24MasterUSGBBackup10.100.10.0/24備份組1VirtualIPAddress10.100.10.1備份組2VirtualIPAddress10.100.20.1備份組3VirtualIPAddress202.38.10.1為防火墻上多個區(qū)域提供雙機(jī)備份功能時，需要在每一臺防火墻上配置多個VRRP備份組。VRRP在防火墻應(yīng)用中存在的缺陷USGAMasterUSGBBackupTrustDMZUntrustPC1PC2(1)(2)(3)(4)(7)會話表項(xiàng)Server(5)(6)(8)實(shí)際連線報文流徑(9)傳統(tǒng)VRRP方式無法實(shí)現(xiàn)主、備用USG防火墻狀態(tài)的一致性。目錄雙機(jī)熱備份技術(shù)原理USG防火墻雙機(jī)熱備份技術(shù)雙機(jī)熱備份技術(shù)在防火墻上的實(shí)施防火墻雙機(jī)熱備份技術(shù)分析防火墻雙擊熱備份技術(shù)的特征控制主、備用防火墻的切換狀態(tài)信息的備份USG防火墻的雙機(jī)熱備份技術(shù)依靠三種協(xié)議實(shí)現(xiàn)：VRRP（虛擬路由冗余協(xié)議）VGMP（VRRP組管理協(xié)議）HRP（華為冗余協(xié)議）防火墻主備狀態(tài)切換的實(shí)現(xiàn)VGMP（VRRPGroupManagementProtocol)提出VRRP管理組的概念，將同一臺防火墻上的多個VRRP備份組都加入到一個VRRP管理組，由管理組統(tǒng)一管理所有VRRP備份組。通過統(tǒng)一控制各VRRP備份組狀態(tài)的切換，來保證管理組內(nèi)的所有VRRP備份組狀態(tài)都是一致的。VGMP的作用：防火墻主備狀態(tài)控制切換VRRP管理組的功能：狀態(tài)一致性管理（管理組內(nèi)VRRP備份組同步狀態(tài)切換）搶占管理（屏蔽VRRP備份組搶占）通道管理（trans-only）VGMP實(shí)現(xiàn)原理USGAMasterUSGBBackupTrustDMZUntrust備份組1備份組2備份組3A1A2A3B2B1B3管理組管理組備份組4VGMP數(shù)據(jù)通道USGAMasterUSGBBackupTrustDMZUntrustA1A2A3B2B1B3A4B4A4-B4A3-B3A1-B1A2-B2防火墻狀態(tài)信息的備份VGMP可以保證報文來回路徑通過同一臺防火墻。當(dāng)主防火墻出現(xiàn)故障時，所有流量都將切換到備防火墻。但USG防火墻是狀態(tài)防火墻，如果備防火墻上沒有原來主防火墻上的連接狀態(tài)數(shù)據(jù)，則切換到備防火墻的很多流量將無法通過，造成現(xiàn)有的連接中斷，此時用戶必須重新發(fā)起連接。為了實(shí)現(xiàn)主用設(shè)備出現(xiàn)故障時能由備用設(shè)備平滑地接替工作，需要在主、備用設(shè)備之間備份關(guān)鍵配置命令和會話表狀態(tài)等關(guān)鍵信息。HRPHRP（HuaweiRedundancyProtocol）華為冗余協(xié)議華為公司冗余協(xié)議HRP（HuaweiRedundancyProtocol）是承載在VGMP報文上進(jìn)行傳輸?shù)?。HRP用于在主用設(shè)備和備用設(shè)備之間備份關(guān)鍵配置命令和會話表狀態(tài)等關(guān)鍵信息。HRP/VGMP/VRRP之間的關(guān)系VRRP備份組VGMP管理組VGMP報文HRP模塊HRP報文接口VRRP報文目錄雙機(jī)熱備份技術(shù)原理USG防火墻雙機(jī)熱備份技術(shù)雙機(jī)熱備份技術(shù)在防火墻上的實(shí)施防火墻雙機(jī)熱備份組網(wǎng)方式USG的雙機(jī)熱備份，可以工作在路由模式和混合模式兩種模式下：路由模式是指USG的業(yè)務(wù)端口和HRP備份通道接口均工作在路由模式下?；旌夏Ｊ绞侵窾SG的業(yè)務(wù)端口工作在透明模式下，而HRP備份通道接口工作在路由模式下。路由模式和混合模式都包含兩種組網(wǎng)方式：主備組網(wǎng)方式負(fù)載分擔(dān)組網(wǎng)方式路由模式-主備組網(wǎng)方式防火墻設(shè)備管理組成員優(yōu)先級狀態(tài)會話量AMaster備份組1，2，3高主用100%BSlave備份組1，2，3低備用0USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0PC1PC2路由模式-主備組網(wǎng)方式配置參考1USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0[USG2100]interfaceGigabitEthernet1/0/0[USG2100-GigabitEthernet1/0/0]ipaddress10.100.10.224

[USG2100-GigabitEthernet1/0/0]vrrpvrid1virtual-ip10.100.10.1master[USG2100]interfaceGigabitEthernet3/0/0[USG2100-GigabitEthernet3/0/0]ipaddress202.38.10.224

[USG2100-GigabitEthernet3/0/0]vrrpvrid2virtual-ip202.38.10.1master#將GE1/0/0和GE3/0/0加入到對應(yīng)的VRRP備份組中。路由模式-主備組網(wǎng)方式配置參考2USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0[USG2100]

interfaceGigabitEthernet2/0/0[USG2100-GigabitEthernet2/0/0]ipaddress10.100.20.224[USG2100-GigabitEthernet2/0/0]vrrpvrid3virtual-ip10.100.20.1master#將GE2/0/0加入到對應(yīng)的VRRP備份組中。

[USG2100]

hrpinterfaceGigabitEthernet2/0/0[USG2100]

hrpenable#指定HRP的備份通道并使能HRP功能。路由模式-主備組網(wǎng)方式配置參考3USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0HRP_M[USG2100]hrpauto-syncconfigHRP_M[USG2100]policyinterzonetrustuntrustoutboundHRP_M[USG2100-policy-interzone-trust-untrust-outbound]

policy1HRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]actionpermitHRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]policysource10.100.10.0mask24#使能配置命令自動備份功能并添加區(qū)域間包過濾規(guī)則。

路由模式-主備組網(wǎng)方式配置驗(yàn)證USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0HRP_M[USG2100]displayhrpstate

Thefirewall'sconfigstateis:MASTERCurrentstateofvirtualroutersconfiguredasmaster:GigabitEthernet1/0/0vrid1:masterGigabitEthernet3/0/0vrid2:masterGigabitEthernet2/0/0vrid3:master#在USGA上執(zhí)行displayhrpstate命令，檢查當(dāng)前HRP的狀態(tài)，顯示以上信息表示HRP建立成功。

路由模式-負(fù)載分擔(dān)組網(wǎng)方式防火墻設(shè)備管理組備份組優(yōu)先級狀態(tài)會話量AMaster備份組1，2，3高主用部分BSlave備份組1，2，3低備用0ASlave備份組4，5，6低備用0BMaster備份組4，5，6高主用部分Master/Slave管理組USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5PC1PC2USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組Master/Slave管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5路由模式-負(fù)載分擔(dān)組網(wǎng)方式配置參考1[USG2100]interfaceGigabitEthernet1/0/0

[USG2100-GigabitEthernet1/0/0]ipaddress10.100.10.324[USG2100-GigabitEthernet1/0/0]vrrpvrid1virtual-ip10.100.10.1master[USG2100-GigabitEthernet1/0/0]vrrpvrid4virtual-ip10.100.10.2slave[USG2100]interfaceGigabitEthernet3/0/0[USG2100-GigabitEthernet3/0/0]ipaddress202.38.10.324

[USG2100-GigabitEthernet3/0/0]vrrpvrid2virtual-ip202.38.10.1master

[USG2100-GigabitEthernet3/0/0]vrrpvrid5virtual-ip202.38.10.2slave

將接口GE1/0/0和GE3/0/0加入到對應(yīng)的VRRP備份組中路由模式-負(fù)載分擔(dān)組網(wǎng)方式配置參考2USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組Master/Slave管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5[USG2100]interfaceGigabitEthernet2/0/0[USG2100-GigabitEthernet2/0/0]ipaddress10.100.20.324[USG2100-GigabitEthernet2/0/0]vrrpvrid3virtual-ip10.100.20.1master[USG2100-GigabitEthernet2/0/0]vrrpvrid6virtual-ip10.100.20.2slave[USG2100]

hrpinterfaceGigabitEthernet2/0/0[USG2100]

hrpenable

#將GE1/0/0和GE3/0/0加入對應(yīng)的備份組；指定HRP備份通道并使能HRP功能。

路由模式-負(fù)載分擔(dān)組網(wǎng)方式配置參考3USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組Master/Slave管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5HRP_M[USG2100]hrpauto-syncconfigHRP_M[USG2100]policyinterzonetrustuntrustoutboundHRP_M[USG2100-policy-interzone-trust-untrust-outbound]

policy1HRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]actionpermitHRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]policysource10.100.10.0mask24#使能配置命令自動備份功能并添加區(qū)域間包過濾規(guī)則。路由模式-負(fù)載分擔(dān)組網(wǎng)方式配置驗(yàn)證HRP_M[USG2100]dishrpstate

Thefirewall'sconfigstateis:MASTERCurrentstateofvirtualroutersconfiguredasmaster:GigabitEthernet3/0/0vrid2:masterGigabitEthernet2/0/0vrid3:masterGigabitEthernet1/0/0vrid1:masterCurrentstateofvirtualroutersconfiguredasslave:GigabitEthernet3/0/0vrid5:slaveGigabitEthernet2/0/0vrid6:slaveGigabitEthernet1/0/0vrid4:slave#在USGA上執(zhí)行displayhrpstate命令，檢查當(dāng)前HRP的狀態(tài)。從以上顯示信息可以看出，在USGA上，VRRP備份組1、2、3屬于Master管理組；VRRP備份組4、5、6屬于Slave管理組?；旌夏Ｊ?主備組網(wǎng)方式上圖組網(wǎng)方式可以實(shí)現(xiàn)負(fù)載分擔(dān)嗎？G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1PC1PC2混合模式-主備組網(wǎng)方式配置參考1G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1[USG2100]interfaceGigabitEthernet0/0/1[USG2100-GigabitEthernet0/0/1]ipaddress10.100.20.224[USG2100-GigabitEthernet0/0/1]vrrpvrid1virtual-ip10.100.20.1master[USG2100]firewallzonedmz

[USG2100-zone-dmz]addinterfacegigabitethernet0/0/1

#配置GE0/0/1所屬的VRRP備份組和虛擬IP地址，并將其加入DMZ區(qū)域

混合模式-主備組網(wǎng)方式配置參考2G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1[USG2100]interfacegigabitethernet0/0/0

[USG2100-GigabitEthernet0/0/0]portswitch

[USG2100]interfacegigabitethernet0/0/2

[USG2100-GigabitEthernet0/0/2]portswitch#配置GE0/0/0和GE0/0/2工作在透明模式。

混合模式-主備組網(wǎng)方式配置參考3G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1[USG2100]

vlan2[USG2100-vlan-2]portGigabitEthernet0/0/0

[USG2100-vlan-2]portGigabitEthernet0/0/2

[USG2100-vlan-2]hrptrackmaster