争怎路由网/路由器百科/内容

设置为主备模式(主主模式与主备模式)

路由器百科2024-06-02 阅读

去年给某银行部署过华为防火墙双出口冗余,主备模式,但是规定只能用他们的电脑调试,更不可能截图或者带备份配置文件出来,所以写这篇文章完全没有素材,只能用模拟器搭一下,实物照片,也是没有的,手机都不得带入机房。

进机房的时候还被告知,如果发生火情,务必在30秒内离开机房,因为30秒后,机房门窗会自动锁死,空气将被抽空,人在里面的话可相而知……

言归正传,先看今天的拓扑图。



AR1代表运营商双出口网络,事实上并不存在这台设备;并且,银行也并没有采用PPPOE链路,此处只是为了顺便展示一下PPPOE的配置而已,这个必须事先声明,不然评论区肯定是一片质疑声;就算我现在声明了,还有很多人根本没看到,然后就会吐槽,哪个银行会用PPPOE链路?编故事也要像一点啊!

算了随他去吧,简单说说配置过程吧,当然其实上的链路远不止两条,毕竟银行都有内外网。

两台华为的防火墙,fw1为主,fw2为备;两台华为核心交换机,没有采用堆叠技术,而是采用VRRP技术进行配置。

准备工作:先让外网链路就位吧,在模拟器里面配置一下AR1,实际环境中是没有这一步的;

aaa

local-user test password cipher huawei //创建一个宽带账户密码

local-user test service-type ppp

ip pool pppoe //创建PPPOE地址池,并且保留1-10不分配;

network 202.1.1.0 mask 255.255.255.0

excluded-ip-address 202.1.1.1 202.1.1.10

interface Virtual-Template1 //创建模板,设定用户鉴权模式、指明IP地址池

ppp authentication-mode chap

remote address pool pppoe

ip address 202.1.1.1 255.255.255.0

interface GigabitEthernet0/0/0 //pppoe-server应用到接口

pppoe-server bind Virtual-Template 1

#

interface GigabitEthernet0/0/1 //与FW2连接的接口,配置IP地址即可

ip address 202.2.2.1 255.255.255.0

以下才是真正的配置工作:


一、两台防火墙配置VRRP,主备模式

[FW1]vlan 100

[FW1]int g1/0/3

[FW1-GigabitEthernet1/0/3]portswitch //默认是L3接口,开启L2功能

[FW1-GigabitEthernet1/0/3]p l t //端口配置为trunk模式

[FW1-GigabitEthernet1/0/3]p t a v a //放行所有VLAN

[FW1-GigabitEthernet1/0/3]q

[FW1]int vlan 100

[FW1-Vlanif100]ip ad 192.168.100.11 24

[FW1-Vlanif100]vrrp vrid 1 virtual-ip 192.168.100.254 active //加入VGMP组,FW1为主

[FW1]firewall zone dmz //vlan100是放服务器的,所以划到dmz区域

[FW1-zone-dmz]add int vlan 100

[FW1-zone-dmz]q

FW2的配置就两处不同:

[FW2-Vlanif100]ip add 192.168.100.12 24

[FW2-Vlanif100]vrrp vrid 1 virtual-ip 192.168.100.254 standby //加入VGMP组,FW2为备

Display vrrp,查看vrrp配置是否正确:



二、防火墙配置上行链路

1、FW1配置PPPOE拨号:

interface Dialer0

link-protocol ppp

ppp chap user test

ppp chap password cipher huawei

mtu 1400

ip address ppp-negotiate

dialer user test

dialer bundle 1

dialer-group 1

firewall zone untrust

add interface Dialer 0

dialer-rule 1 ip permit

ip route-static 0.0.0.0 0 Dialer 0 //配置默认路由,PPPOE拨号的,没有固定的下一跳地址

2、FW2配置固定IP:

[FW2]int g1/0/2

[FW2-GigabitEthernet1/0/0]ip add 202.2.2.2 24

[FW2-GigabitEthernet1/0/0]q

[FW2]firewall zone untrust

[FW2-zone-untrust]add int g1/0/2

[FW2-zone-untrust]q

[FW2]ip route-static 0.0.0.0 0 202.2.2.1 //配置默认路由,下一跳是路由器接口IP

外部链路虽然配置好了,但是没有安全策略放行,是不能上网的。


三、防火墙配置下行链路

1、FW1的配置:

[FW1]vlan 111

[FW1]int vlan 111

[FW1-Vlanif111]ip add 172.16.111.11 24

[FW1-Vlanif111]ser ping permit

[FW1-Vlanif111]q

[FW1]firewall zone trust

[FW1-zone-trust]add int vlan 111

[FW1-zone-trust]q

[FW1]ospf router-id 172.1.1.11

[FW1-ospf-1]area 0

[FW1-ospf-1-area-0.0.0.0]net 192.168.100.11 0.0.0.0

[FW1-ospf-1-area-0.0.0.0]net 172.16.111.11 0.0.0.0

[FW1-ospf-1-area-0.0.0.0]q


2、FW2的配置:

[FW2]vlan 112

[FW2]int vlan 112

[FW2-Vlanif112]ip add 172.16.112.12 24

[FW2-Vlanif112]ser ping permit

[FW2-Vlanif112]q

[FW2]firewall zone trust

[FW2-zone-trust]add int vlan 112

[FW2-zone-trust]q

[FW2]ospf router-id 172.1.1.12

[FW2-ospf-1]area 0

[FW2-ospf-1-area-0.0.0.0]net 192.168.100.12 0.0.0.0

[FW2-ospf-1-area-0.0.0.0]net 172.16.112.12 0.0.0.0

[FW2-ospf-1-area-0.0.0.0]q


下面的核心交换机还没配置,这个时候,OSFP是起不来的,不急于查看。现在可以配置两台防火墙的心跳线了:

[FW1]int g1/0/0

[FW1-GigabitEthernet1/0/0]ip add 10.1.12.1 24

[FW1-GigabitEthernet1/0/0]q

[FW1]firewall zone trust

[FW1-zone-trust]undo add int g1/0/0

[FW1-zone-trust]q

[FW1]firewall zone dmz

[FW1-zone-dmz]add int g1/0/0

[FW1-zone-dmz]q

其实心跳线接口可以放在trunst区域,当然要放在DMZ区域也无可厚非。

[FW2]int g1/0/0

[FW2-GigabitEthernet1/0/0]ip add 10.1.12.2 24

[FW2-GigabitEthernet1/0/0]q

[FW2]firewall zone trust

[FW2-zone-trust]undo add interface g1/0/0

[FW2-zone-trust]q

[FW2]firewall zone dmz

[FW2-zone-dmz]add int g1/0/0

[FW2-zone-dmz]q

指定hrp链路,设置参数heartbeat-only,指定该备份通道只用于传输HRP控制协商报文,不备份连接状态,保证双机状态的稳定。

[FW1]hrp interface g1/0/0 remote 10.1.12.2 heartbeat-only

[FW2]hrp interface g1/0/0 remote 10.1.12.1 heartbeat-only

[FW2]hrp standby-device //设置FW2为备份设备

在hrp主设备上定义相关参数:

[FW1]hrp standby config enable //备用设备也可以参与配置。 默认standy设备不可以自行管理,必须从master设备同步配置

[FW1]hrp auto-sync config //开启配置命令和会话的自动同步,这个同步是相互的

[FW1]hrp mirror session enable //设置session的快速备份

[FW1]hrp timer hello 1000 //心跳线keepalive周期1sec,单位msec,默认就是1s一次

[FW1]hrp preempt delay 60 //如果Master设备故障恢复,需要保持60sec才可以恢复成Master身份,防止频繁震荡

[FW1]hrp preempt //开启恢复抢占

参数定义完成后,两端开启HRP

[FW1]hrp enable

[FW2]hrp enable



到这里,防火墙的主备冗余是基本上配置完成后,与核心交换机的互联,以及NAT、安全策略的配置,留到下一篇文章继续说明。



……

相关阅读