任务十六：主备备份型防火墙双机热备

目录

目的

器材

拓扑

步骤

一、基本配置

配置各路由器接口的IP地址【省略】

1、配置BGP协议实现Internet路由器之间互联

2、防火墙FW1和FW2接口IP配置与区域划分

3、配置区域间转发策略

4、配置NAPT和默认路由

5、配置VRRP组，并加入Active/standby VGMP管理组中

6、配置NAT Server，允许公网用户访问公司Web服务器和FTP服务器

7、指定心跳接口，启用华为HRP协议

验证

1、连通性测试

2、服务器访问测试

总结

---

目的

理解双机热备与VRRP【虚拟路由冗余协议】的区别，掌握上下接交换机场景中，主备备份型防火墙双机热备配置过程。

器材

路由器（AR2220）：5台

三层交换机（S5700）：1台

接入层交换机（S3700）：2台

主机：7台

防火墙（USG6000V）：2台

拓扑

步骤

一、基本配置

配置各路由器接口的IP地址【省略】

1、配置BGP协议实现Internet路由器之间互联

[R1]isis 1
[R1-isis-1]network-entity 10.0001.0000.0000.0001.00
[R1-isis-1]is-level level-1	
[R1-isis-1]quit 
[R1]int g0/0/0	
[R1-GigabitEthernet0/0/0]isis enable 1	
[R1-GigabitEthernet0/0/0]quit 
[R1]int g0/0/1	
[R1-GigabitEthernet0/0/1]isis enable 1
[R1-GigabitEthernet0/0/1]quit 
[R1]int lo 0
[R1-LoopBack0]isis enable 1
[R1-LoopBack0]quit 
[R1]bgp 500
[R1-bgp]peer 10.0.2.2 as-number 500
[R1-bgp]peer 10.0.2.2 connect-interface LoopBack 0


[R2]isis 1
[R2-isis-1]network-entity 10.0001.0000.0010.00
[R2-isis-1]is-level level-1
[R2-isis-1]quit 
[R2]int g0/0/0	
[R2-GigabitEthernet0/0/0]isis enable 1
[R2-GigabitEthernet0/0/0]quit 
[R2]int g0/0/1	
[R2-GigabitEthernet0/0/1]isis enable 1	
[R2-GigabitEthernet0/0/1]quit 
[R2]int lo 0
[R2-LoopBack0]isis enable 1	
[R2-LoopBack0]quit 
[R2]bgp 500
[R2-bgp]peer 10.0.1.1 as-number 500
[R2-bgp]peer 10.0.1.1 connect-interface LoopBack 0
[R2-bgp]peer 117.32.32.2 as-number 300
[R2-bgp]import-route isis 1
[R2-bgp]quit


[R3]ospf 1
[R3-ospf-1]are 0
[R3-ospf-1-area-0.0.0.0]network 117.32.32.0 0.0.0.255
[R3-ospf-1-area-0.0.0.0]network 118.16.16.0 0.0.0.255
[R3-ospf-1-area-0.0.0.0]network 10.0.3.0 0.0.0.255	
[R3-ospf-1-area-0.0.0.0]quit 	
[R3-ospf-1]quit 
[R3]bgp 300	
[R3-bgp]peer 10.0.4.4 as-number 300
[R3-bgp]peer 10.0.4.4 connect-interface LoopBack 0
[R3-bgp]peer 117.32.32.1 as-number 500
[R3-bgp]import-route ospf 1
[R3-bgp]quit


[R4]ospf 1
[R4-ospf-1]are 0	
[R4-ospf-1-area-0.0.0.0]network 118.16.16.0 0.0.0.255
[R4-ospf-1-area-0.0.0.0]network  202.202.202.0 0.0.0.255   ?????
[R4-ospf-1-area-0.0.0.0]network 204.204.204.0 0.0.0.255
[R4-ospf-1-area-0.0.0.0]network 10.0.4.0 0.0.0.255	
[R4-ospf-1-area-0.0.0.0]quit 
[R4-ospf-1]quit 
[R4]bgp 300
[R4-bgp]peer 10.0.3.3 as-number 300
[R4-bgp]peer 10.0.3.3 connect-interface LoopBack  0
[R4-bgp]quit


[R5]ip route-static 0.0.0.0 0 204.204.204.1

2、防火墙FW1和FW2接口IP配置与区域划分

防火墙默认用户名：admin
默认密码：Admin@123
需要进行修改密码：admin@123
配置如下：
sy
[USG6000V1]sy FW1

[FW1]
[FW1]int g1/0/2
[FW1-GigabitEthernet1/0/2]ip ad 10.1.1.1 24
[FW1-GigabitEthernet1/0/2]int g1/0/0
[FW1-GigabitEthernet1/0/0]ip ad 10.2.2.1 24
[FW1-GigabitEthernet1/0/0]int g1/0/1
[FW1-GigabitEthernet1/0/1]ip ad 10.3.3.1 24
[FW1-GigabitEthernet1/0/1]quit 
	
[FW1]firewall zone trust 	
[FW1-zone-trust]add interface g1/0/2
[FW1]firewall zone untrust 
[FW1-zone-untrust]add interface g1/0/0	
[FW1]firewall zone dmz 
[FW1-zone-dmz]add interface g1/0/1

FW2如上配置。此处省略，算了还是粘贴上吧
sy
[USG6000V1]sy FW2

[FW2]int g1/0/0
[FW2-GigabitEthernet1/0/0]ip ad 10.2.2.2 24
[FW2-GigabitEthernet1/0/0]int g1/0/1
[FW2-GigabitEthernet1/0/1]ip ad 10.3.3.2 24
[FW2-GigabitEthernet1/0/1]int g1/0/2
[FW2-GigabitEthernet1/0/2]ip ad 10.1.1.2 24	

[FW2]firewall zone trust 
[FW2-zone-trust]add  interface  g1/0/2
[FW2]firewall zone untrust 
[FW2-zone-untrust]add  interface  g1/0/0	
[FW2]firewall zone dmz 
[FW2-zone-dmz]add interface g1/0/1

3、配置区域间转发策略

[FW1]security-policy 
[FW1-policy-security]rule name trust_to_untrust
[FW1-policy-security-rule-trust_to_untrust]source-zone trust 
[FW1-policy-security-rule-trust_to_untrust]destination-zone untrust 	
[FW1-policy-security-rule-trust_to_untrust]action permit 

[FW2]security-policy 
[FW2-policy-security]rule name trust_to_untrust	
[FW2-policy-security-rule-trust_to_untrust]source-zone trust 	
[FW2-policy-security-rule-trust_to_untrust]destination-zone untrust 	
[FW2-policy-security-rule-trust_to_untrust]action permit




[FW1-policy-security]rule name untrust_trust_web
[FW1-policy-security-rule-untrust_to_web]source-zone untrust 	
[FW1-policy-security-rule-untrust_to_web]destination-zone trust 
[FW1-policy-security-rule-untrust_to_web]destination-address 192.168.1.10 32
[FW1-policy-security-rule-untrust_to_web]service protocol tcp destination-port 80
[FW1-policy-security-rule-untrust_to_web]action permit 
[FW1-policy-security-rule-untrust_to_web]quit 

FW2脚本：
rule name untrust_trust_web
source-zone untrust
destination-zone trust
destination-address 192.168.1.10 mask 255.255.255.255
service protocol tcp destination-port 80
action permit
quit




[FW1-policy-security]rule name untrust_trust_ftp
[FW1-policy-security-rule-untrust_trust_ftp]source-zone untrust 	
[FW1-policy-security-rule-untrust_trust_ftp]destination-zone trust 
[FW1-policy-security-rule-untrust_trust_ftp]destination-address 192.168.1.20 32
[FW1-policy-security-rule-untrust_trust_ftp]service protocol tcp destination-por
t 21
[FW1-policy-security-rule-untrust_trust_ftp]action permit 
[FW1-policy-security-rule-untrust_trust_ftp]quit

FW2脚本：
rule name untrust_trust_ftp
source-zone untrust
destination-zone trust
destination-address 192.168.1.20 mask 255.255.255.255
service protocol tcp destination-port 21
action permit
quit

4、配置NAPT和默认路由

[FW1]nat address-group pool_to_internet  //定义地址池名称
[FW1-address-group-pool_to_internet]section 201.201.201.254 201.201.201.254  //section：段，即地址段
[FW1-address-group-pool_to_internet]quit 
[FW1]nat-policy 	
[FW1-policy-nat]rule name napt_to_internet
[FW1-policy-nat-rule-napt_to_internet]destination-zone untrust 	
[FW1-policy-nat-rule-napt_to_internet]source-zone trust 	
[FW1-policy-nat-rule-napt_to_internet]action source-nat address-group pool_to_in
ternet
[FW1-policy-nat-rule-napt_to_internet]quit 	
[FW1-policy-nat]quit 	
[FW1]ip route-static 0.0.0.0 0 201.201.201.1

FW2脚本：
nat address-group pool_to_internet
section 201.201.201.254 201.201.201.254
quit 
nat-policy 	
rule name napt_to_internet
destination-zone untrust 	
source-zone trust 	
action source-nat address-group pool_to_internet
quit 	
quit 	
ip route-static 0.0.0.0 0 201.201.201.1

5、配置VRRP组，并加入Active/standby VGMP管理组中

[FW1]int g1/0/2	
[FW1-GigabitEthernet1/0/2]vrrp vrid 1 virtual-ip 192.168.1.254 255.255.255.0 active 
[FW1-GigabitEthernet1/0/2]vrrp virtual-mac enable  //vrrp虚拟接口本身没有mac地址，如不配置虚拟mac地址，会使用物理接口实际mac地址对报文进行封装。主备状态发生切换时，交换机不会自动更新记录表中的mac地址，还会将报文发送至原来主用设备，导致业务中断或中断时间过长
[FW1-GigabitEthernet1/0/2]quit 
[FW1]int g1/0/0
[FW1-GigabitEthernet1/0/0]vrrp vrid 2 virtual-ip 201.201.201.254 24 active 
[FW1-GigabitEthernet1/0/0]vrrp virtual-mac enable 	
[FW1-GigabitEthernet1/0/0]quit

FW2脚本：
int g1/0/2	
vrrp vrid 1 virtual-ip 192.168.1.254 255.255.255.0 standby
vrrp virtual-mac enable 
quit 
int g1/0/0
vrrp vrid 2 virtual-ip 201.201.201.254 24 standby
vrrp virtual-mac enable 	
quit


为方便故障调试，允许主机1和主机2与VRRP虚拟接口ping通：
[FW1]int g1/0/2	
[FW1-GigabitEthernet1/0/2]service-manage ping permit 	
[FW1-GigabitEthernet1/0/2]quit
[FW2]int g1/0/2	
[FW2-GigabitEthernet1/0/2]service-manage ping permit 	
[FW2-GigabitEthernet1/0/2]quit

查看VRRP组状态：

 

6、配置NAT Server，允许公网用户访问公司Web服务器和FTP服务器

[FW1]nat server protocol tcp global 201.201.201.254 www inside 192.168.1.10 www
[FW1]nat server protocol tcp global 201.201.201.254 ftp inside 192.168.1.20 ftp

[FW2]nat server protocol tcp global 201.201.201.254 www inside 192.168.1.10 www
[FW2]nat server protocol tcp global 201.201.201.254 ftp inside 192.168.1.20 ftp

7、指定心跳接口，启用华为HRP协议

[FW1]hrp interface g1/0/1 remote 10.3.3.2 //指定心跳接口。双机热备防火墙心跳线用于了解对方状态，协商主从关系，相互备份状态。心跳线两端接口称为心跳接口
[FW1]hrp enable   //启用HRP【华为冗余协议】，用于将主用防火墙配置和状态数据向备用防火墙同步
HRP_S[FW1]hrp auto-sync   //指定双击热备方式为自动备份。默认开启自动备份，本行命令可不输入。启用自动备份功能后，在主用设备上每执行一条可以备份的命令时，此配置命令会立刻同步备份到备用设备上，但主用设备状态数据不会立即同步，需经过一个周期后才会备份到备用设备
HRP_M[FW1]  //S--->M。S表示处于HRP协议Slave状态，M表示处于HRP协议Master状态（需等待几秒钟协商时间）

[FW2]hrp interface g1/0/1 remote 10.3.3.1
[FW2]hrp enable
HRP_S[FW2]hrp auto-sync   

配置心跳接口后，查看心跳接口运行状态：

验证

1、连通性测试

1）查看HRP当前状态

2）配置NAPT后，主机1可以连通R5【主机1我换成了PC做测试，如果不闲麻烦可以使用虚拟机】

 

3）拔掉防火墙FW1和SW2间的线缆，主机1仍然可以ping通R5

 

4）重新查看防火墙HRP协议状态

2、服务器访问测试

主机3访问主机4的百度web站点，主机5访问主机1的Web站点，主机6访问主机2的FTP站点

//配置easy-ip和nat server
[R5]acl 2000
[R5-acl-basic-2000]rule permit source any
[R5-acl-basic-2000]quit 
[R5]int g0/0/0
[R5-GigabitEthernet0/0/0]nat outbound 2000
[R5-GigabitEthernet0/0/0]nat server protocol tcp global current-interface 80 ins
ide 192.168.10.10 80
Warning:The port 80 is well-known port. If you continue it may cause function fa
ilure.
Are you sure to continue?[Y/N]:y	
[R5-GigabitEthernet0/0/0]quit 

 eg：主机3访问主机4的百度web站点

要是遇见大佬，还请答疑，感谢

总结
 

1）双机热备只支持两台设备进行备份，心跳接口之间可以连接多个路由器，但一定要能ping通

2）处于双机热备的两台防火墙要求硬件配置和软件版本一致，并且要求接口卡型号与所在槽位一致，否则会出现一台设备备份过去的数据，而在另一台设备上无法识别的情况，或者找不到相关物理资源，从而导致流量切换后报文转发出错或失败。

3）双机热备只支持数据同步，不支持配置同步。所以在一端进行某些配置时，比如配置接口类型、接口允许通过的vlan等，需要手工在对端防火墙也进行相应的配置。

4）VRRP【Virtual Router Redundancy Protocol，虚拟路由冗余协议】

由IETF提出，将物理设备和逻辑设备分离，实现内网主机在多个出口网关之间选择路径和流量平衡。

5)VGMP【VRRP Group Management Protocol，VRRP组管理协议】

由华为提出，防止VRRP状态不一致（报文来回路径不一致）导致TCP会话连接中断问题。VGMP是在VRRP基础上由华为自主研发的扩展协议，负责备份VRRP状态数据。

6）HRP【Huawei Redundancy Protocol，华为冗余协议】

用于防火墙状态数据实时备份，避免因报文来回路径不一致导致的TCP会话连接中断，可以看成是VRRP和VGMP的集合。

7）双击热备方式

自动备份【自动开启，华为防火墙默认备份模式】、手工批量备份、快速备份