Netscreen冗余協(xié)議NSRP（頁）

1、nsrp協(xié)議提供了靈活的設(shè)備和路徑冗余保護功能，在設(shè)備和鏈路發(fā) 生故障的情況下進行快速切換，切換時現(xiàn)有會話連接不會受到影響。 設(shè)計nsrp架構(gòu)時通常采用基于靜態(tài)路由的active/passive主備模 式、口型或全交叉型連接方式。nsrp部署建議： 基于端口和設(shè)備的冗余環(huán)境中，無需啟用端口和設(shè)備級的搶占模 式（preempt ），避免因交換機端口不穩(wěn)定而引發(fā)nsrp反復(fù)切換。 當(dāng)配置兩組或兩組以上的防火墻到同一組交換機上時，每組nsrp 集群應(yīng)設(shè)置不同的cluster id號，避免因相同的cluster id號引發(fā) 接口 mac地址沖突現(xiàn)象。 防火墻nsrp集群建議采用接口監(jiān)控方式，僅在網(wǎng)絡(luò)不

2、對稱的情 況下有選擇使用track-ip監(jiān)控方式。在對稱網(wǎng)絡(luò)中接口監(jiān)控方式能 夠更快更準(zhǔn)確的反映網(wǎng)絡(luò)狀態(tài)變化。 在單臺防火墻設(shè)備提供的session和帶寬完全可以滿足網(wǎng)絡(luò)需求 時，建議采用基于路由的active-passive主備模式，該模式組網(wǎng)結(jié) 構(gòu)清晰，便于維護和管理。 設(shè)備運行時應(yīng)保證ha線纜連接可靠，為確保ha心跳連接不會出 現(xiàn)中斷，建議配置ha備份鏈路'"secondary - path,5。 nsrp許多配置參數(shù)是經(jīng)過檢驗的推薦配置，通常情況下建議采用 這些缺省參數(shù)。nsrp常用維護命令 get license-key查看防火墻支持的feature,其中nsrpa

3、/a模 式包含了 a/p模式，a/p模式不支持a/a模式。lite版本是簡化版， 支持設(shè)備和鏈路冗余切換，不支持配置和會話同步。 exec nsrp sync global-config check-sum 檢查雙機配置命令 是否同步 exec nsrp sync global-config save如雙機配置信息沒有自動 同步，請手動執(zhí)行此同步命令，需要重啟系統(tǒng)。 get nsrp查看nsrp集群中設(shè)備狀態(tài)、主備關(guān)系、會話同步以及 參數(shù)開關(guān)信息。 exec nsrp sync rto all from peer 手動執(zhí)行 rto 信息同步， 使雙機保持會話信息一致 exec nsrp vsd

4、-group 0 mode backup手動進行主備狀態(tài)切換時， 在主用設(shè)備上執(zhí)行該切換命令，此時該主用設(shè)備沒有啟用搶占模式。 exec nsrp vsd-group 0 mode inel igible 手動進行主備狀態(tài)切 換時，在主用設(shè)備上執(zhí)行該切換命令，此時該主用設(shè)備已啟用搶占模 式。 set failover on/set failover auto 啟用并容許冗余接口自動 切換 exec failover force 手動執(zhí)行將主用端口切換為備用端口。 exec failover revert手動執(zhí)行將備用端口切換為主用端口。 get alarm event檢查設(shè)備告警信息，其中將包

5、含nsrp狀態(tài)切 換信息四、策略酉己置與優(yōu)化(policy)防火墻策略優(yōu)化與調(diào)整是網(wǎng)絡(luò)維護工作的重要內(nèi)容，策略是否優(yōu)化將 對設(shè)備運行性能產(chǎn)生顯著影響。考慮到企業(yè)中業(yè)務(wù)流向復(fù)雜、業(yè)務(wù)種 類往往比較多，因此建議在設(shè)置策略時盡量保證統(tǒng)一規(guī)劃以提高設(shè)置 效率，提高可讀性，降低維護難度。策略配置與維護需要注意地方有： 試運行階段最后一條策略定義為所有訪問允許并作log,以便在 不影響業(yè)務(wù)的情況下找漏補遺；當(dāng)確定把所有的業(yè)務(wù)流量都調(diào)查清楚 并放行后，可將最后一條定義為所有訪問禁止并作log,以便在試運 行階段觀察非法流量行蹤。試運行階段結(jié)束后，再將最后一條“禁止 所有訪問”策略刪除。 防火墻按從上至下順序

6、搜索策略表進行策略匹配，策略順序?qū)B 接建立速度會有影響，建議將流量大的應(yīng)用和延時敏感應(yīng)用放于策略 表的頂部，將較為特殊的策略定位在不太特殊的策略上面。 策略配置中的log (記錄日志)選項可以有效進行記錄、排錯等工 作，但啟用此功能會耗用部分資源。建議在業(yè)務(wù)量大的網(wǎng)絡(luò)上有選擇 采用，或僅在必要時采用。另外，對于策略配置中的count （流量統(tǒng) 計）選項，如非必要建議在業(yè)務(wù)時段不使用。 簡化的策略表不僅便于維護，而且有助于快速匹配。盡量保持策 略表簡潔和簡短，規(guī)則越多越容易犯錯誤。通過定義地址組和服務(wù)組 可以將多個單一策略合并到一條組合策略中。 策略用于區(qū)段間單方向網(wǎng)絡(luò)訪問控制。如果源區(qū)段和目的區(qū)段不 同，則防火墻在區(qū)段間策略表中執(zhí)行策略查找。如果源區(qū)段和目的區(qū) 段相同并啟用區(qū)段內(nèi)阻斷，則防火墻在區(qū)段內(nèi)部策略表中執(zhí)行策略查 找。如果在區(qū)段間或區(qū)段內(nèi)策略表中沒有找到匹配策略，則安全設(shè)備 會檢查全局策略表以查找匹配策略。 mip/vip地址屬于全局區(qū)段地址，配置策略時建議通過全局區(qū)段 來配置mip/vip地址相關(guān)策略,mip/vip地址雖然可為其余區(qū)段調(diào)用， 但由于其余區(qū)段的“any”地址并不包括全局區(qū)段地址，在定義策略 時應(yīng)加以注意，避免配置不生效的策略。 策略變更控制。組織好策略規(guī)則