安全接入網(wǎng)關冗余功能使用手冊

1、安全接入網(wǎng)關冗余功能用戶手冊南瑞集團公司2014年7月1.產(chǎn)品介紹31.1 產(chǎn)品概述31.2 冗余功能介紹32.環(huán)境需求33.環(huán)境拓撲44.功能點分析45. 系統(tǒng)配置說明45.1 主AG設備配置45.2 備AG設備配置71. 產(chǎn)品介紹1.1 產(chǎn)品概述國家電網(wǎng)公司USAP3000信息安全接入系統(tǒng)是構建堅強智能電網(wǎng)信息安全接入體系的核心基礎安全防護設施，承擔智能電網(wǎng)各種復雜網(wǎng)絡環(huán)境下智能終端安全接入、實時監(jiān)控、數(shù)據(jù)安全傳輸與交換、主動防御預警等重要功能。在本次的產(chǎn)品更新中，將會添加新增的主備的冗余切換功能；提高網(wǎng)絡的性能，增強網(wǎng)絡的及時恢復功能！1.2 冗余功能介紹當網(wǎng)絡拓撲中存在兩臺SDS設備時

2、，并且SDS設備之間有多條冗余鏈路。因此，只要在網(wǎng)絡中找一臺SDS充當核心，指明該活動鏈路到集中監(jiān)管(MC)即。其他的備用SDS設備，將處于down狀態(tài)，鏈路全部被block（阻塞）。當活動鏈路失效之后，再啟用備用SDS設備，同時block（阻塞）鏈路作為活動鏈路，從而保證網(wǎng)絡的連通性（提高網(wǎng)絡性能）。2. 環(huán)境需求硬件信息數(shù)量功能信息PC2臺擁有VPN客戶端軟件SSLVPN（安全接入網(wǎng)關）2臺擁有冗余功能的SSLVPN交換機2臺千兆網(wǎng)卡交換機SDS（數(shù)據(jù)交換設備）2臺擁有冗余功能的SDSMC(集中監(jiān)管設備)1臺正常配置MC3. 環(huán)境拓撲 冗余功能的測試拓撲（此圖中的sslvpn都為小寫）4.

3、 功能點分析工作設備運行狀態(tài)PCVPN客戶端工作正常，可以正常連接SSLVPN服務器SSLVPN（安全接入網(wǎng)關）vpn_server進程工作正常，能夠讓VPN客戶端正常連接SSLVPN，實現(xiàn)冗余功能。交換機工作正常，如果高端交換機，需注意VLAN的配置SDS（數(shù)據(jù)交換）需要配置正常，代理規(guī)則配置OK，并且能夠?qū)崿F(xiàn)冗余功能。MC（集中監(jiān)管）配置正常，需要可以正常下發(fā)策略5. 系統(tǒng)配置說明5.1 主AG設備配置1、配置IP地址，eth1:192.168.1.1；eth2:2.0.0.12、注意：此次集中監(jiān)管服務IP為虛擬口的IP地址(此處為2.0.0.5)。3、配置vi /etc/sysconfi

4、g/network文件，修改內(nèi)容：HOSTNAME=sslvpn_1，為當臺設備的名稱(配置后注意需要重新啟動)。rootUSAP $cat /etc/sysconfig/networkNETWORKING=yesHOSTNAME=sslvpn_1 #配置該設備的名稱配置主機名稱4、配置vi /etc/hosts文件，配置192.168.1.1的主機名為sslvpn_1，配置192.168.1.2的主機名為sslvpn_2。rootUSAP $cat /etc/hosts192.168.1.1 sslvpn_1 #配置主SSLVPN設備的，eth1的IP地址以及該設備的hostname192.

5、168.1.2 sslvpn_2 #配置備SSLVPN設備的，eth1的IP地址以及該設備的hostname5、配置vi /etc/ha.d/ha.cf文件rootUSAP $cat /etc/ha.d/ha.cfdebugfile /var/log/ha-debuglogfile /var/log/ha-loglogfacility local0keepalive 2deadtime 30warntime 10initdead 60udpport 694ucast eth1 192.168.1.2 #用于心跳檢測對端設備的健康狀況/設置當前配置心跳的接口以及對端設備的IP地址ping_gro

6、up group1 192.168.1.2 192.168.1.10 #用于進行檢測對端設備的健康狀況，PING這兩個IP地址，看是否都能夠PING通 （注意：建議此處如果有網(wǎng)關地址，可以配置網(wǎng)關地址）。ping_group group2 2.0.0.3 2.0.0.4 #同上respawn hacluster /usr/lib/heartbeat/ipfail #加入該命令：用于加ipfail插件，該插件主要用于PING包檢測，如果以上GROUP組中所有的IP地址都PING不通，則會DOWN掉虛擬接口，另外一臺的AG的虛擬口將會UP。auto_failback on #用于開啟是否進行主備搶

7、占機制node sslvpn_1 #加入主的hostnamenode sslvpn_2 #加入備的hostname6、配置vi /etc/ha.d/haresources文件rootUSAP $cat /etc/ha.d/haresources sslvpn_1 IPaddr:192.168.1.3/24/eth1 ldirectord usap_sslvpn #該命令是用于配置主SSLVPN的名稱（注意：此處的名稱決定了哪臺sslvpn為主，兩端需一致），虛擬口的IP地址，與虛擬口綁定的端口eth1，以及需要拉起的進程5.2 備AG設備配置1、配置IP地址，eth1:192.168.1.2；

8、eth2:2.0.0.22、注意：此次集中監(jiān)管服務IP為虛擬口的IP地址(此處為2.0.0.5)。3、配置vi /etc/sysconfig/network文件，修改內(nèi)容：HOSTNAME=sslvpn_2，為當臺設備的名稱。（配置名稱后，設備需要重啟）rootUSAP $cat /etc/sysconfig/networkNETWORKING=yesHOSTNAME=sslvpn_2 #配置該設備的名稱配置主機名稱4、配置vi /etc/hosts文件，配置192.168.1.1的主機名為sslvpn_1，配置192.168.1.2的主機名為sslvpn_2。rootUSAP $cat /e

9、tc/hosts192.168.1.1 sslvpn_1 #配置主SSLVPN設備的，eth1的IP地址以及該設備的hostname192.168.1.2 sslvpn_2 #配置備SSLVPN設備的，eth1的IP地址以及該設備的hostname5、配置vi /etc/ha.d/ha.cf文件rootUSAP $cat /etc/ha.d/ha.cfdebugfile /var/log/ha-debuglogfile /var/log/ha-loglogfacility local0keepalive 2deadtime 30warntime 10initdead 60udpport 694

10、ucast eth1 192.168.1.1 #用于心跳檢測對端設備的健康狀況/設置當前配置心跳的接口以及對端設備的IP地址ping_group group1 192.168.1.1 192.168.1.10 #用于進行檢測對端設備的健康狀況，PING這兩個IP地址，看是否都能夠PING通（注意：建議此處如果有網(wǎng)關地址，可以配置網(wǎng)關地址）。ping_group group2 2.0.0.3 2.0.0.4 #同上respawn hacluster /usr/lib/heartbeat/ipfail #加入該命令：用于加ipfail插件，該插件主要用于PING包檢測，如果以上GROUP組中所有的IP地址都PING不通，則會DOWN掉虛擬接口，另外一臺的AG的虛擬口將會UP。auto_failback on #用于開啟是否進行主備搶占機制node sslvpn_1 #加入主的hostnamenode sslvpn_2 #加入備的hostname6、配置vi /etc/ha.d/haresources文件rootUSAP $