eNSP-防火墙冗余部署实操（双机热备-主备模式）

#创作灵感# 记录学习实践

防火墙双机热备 - 主备模式，是提升网络可靠性、保障业务连续性的重要手段。本实验需要实现当主防火墙失效后可以自动由备用防火墙接管工作，保障双方之间能够继续通信。

双机热备-主备模式主要功能

高可靠性保障

• 避免单点故障：在网络中，单一防火墙可能因硬件故障、软件故障或其他意外情况而无法正常工作。主备模式下，当主用防火墙出现上述故障时，备用防火墙能迅速接管工作，避免因防火墙故障导致网络中断或业务停摆，保证网络服务的可用性。
• 无缝业务切换：主备模式支持毫秒级的故障切换 。当主用防火墙故障，备用防火墙快速接替，业务流量能平滑转移，用户几乎无感知，保障正在进行的业务不中断。

配置与状态同步

• 配置实时同步：主用防火墙配置（如安全策略、访问控制列表、NAT 转换规则等）会实时同步到备用防火墙。管理员在主用防火墙进行配置更改，备用防火墙自动更新，保证两台防火墙配置一致。
• 会话状态同步：会话状态信息（如 TCP 连接状态、UDP 会话信息等）也会同步。主用防火墙建立的连接信息传递给备用防火墙，切换时已建立的连接无需重新建立，保证网络通信连续性。

实验步骤

设计拓扑图 

在路由器R1配置

int g0/0/1 
ip add 10.10.10.1 24
int g0/0/2 
ip add 1.1.1.2 24
ip route-static 0.0.0.0 0.0.0.0 1.1.1.1  #静态路由，去往任意目的IP的数据包都由1.1.1.1备份组进行转发

在防火墙上进行基础配置

#在FW1防火墙：                            |     #在FW2防火墙：   
#先在端口添加ip：                         |     #先在端口添加ip：
int g0/0/1 ip add 10.2.0.1 24            |          int g0/0/1 ip add 10.2.0.2 24
int g0/0/2 ip add 10.10.0.1 24           |          int g0/0/2 ip add 10.10.0.2 24
int g0/0/3 ip add 10.3.0.1 24            |          int g0/0/3 ip add 10.3.0.2 24
#配置防火墙区域                           |     #配置防火墙区域
Firewall zone trust     add int g0/0/3   |       Firewall zone trust       add int g0/0/3
Firewall zone dmz       add int g0/0/2   |       Firewall zone dmz       add int g0/0/2
Firewall zone untrust   add int g0/0/1   |       Firewall zone untrust     add int g0/0/1

#以下命令在FW1和FW2都要配置
Ip route-static 0.0.0.0 0.0.0.0 1.1.1.2  #去往任意目的IP的数据包都由1.1.1.2进行转发

 配置备份组

在FW1防火墙（主墙）：                        |   在FW2防火墙（备墙）：
int g0/0/1                                 |   int g0/0/1
vrrp vrid 1 virtual-ip 1.1.1.1 24 master   |   vrrp vrid 1 virtual-ip 1.1.1.1 24 slave
vrrp virtual-mac enable(生成虚拟MAC地址)    |   vrrp virtual-mac enable
                                           |
int g0/0/2                                 |   int g0/0/2
vrrp vrid 2 virtual-ip 10.10.0.3 24 master |   vrrp vrid 2 virtual-ip 10.10.0.3 24 slave
vrrp virtual-mac enable                    |   vrrp virtual-mac enable
                                           |
int g0/0/3                                 |   int g0/0/3
vrrp vrid 3 virtual-ip 10.3.0.3 24 master  |   vrrp vrid 3 virtual-ip 10.3.0.3 24 slave
vrrp virtual-mac enable                    |   vrrp virtual-mac enable
                                           |
hrp int g0/0/2                             |   hrp int g0/0/2  
hrp enable                                 |   hrp enable
-----------------------------------------------------------------------------------------
hrp auto-sync config(这条命令在主墙配置就可以，在主墙输入这条命令后，备墙会自动同步配置主墙中配置的过滤规则)

配置域间策略（简单配置即可）

policy interzone trust untrust outbound  

policy 1

Policy source 10.3.0.0 0.0.0.255

Policy destination 10.10.10.0 0.0.0.255

Action permit（允许操作）

进行实验测试

在PC1上ping服务器，两边是可以正常通信的

在FW1主防火墙上用shutdown把GE0/0/3这个接口的链路关掉，再尝试ping

这个时候FW1身份切换成备墙，FW2身份切换成主墙，PC1与服务器之间依然可以正常通信

这时候把FW1的GE0/0/3接口链路用undo shutdown恢复，FW1又重新切换为主墙身份

 

今天的实验笔记就写到这叭~我会继续学习的！