版權(quán)說明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權(quán),請(qǐng)進(jìn)行舉報(bào)或認(rèn)領(lǐng)
文檔簡介
USG防火墻
雙機(jī)熱備業(yè)務(wù)特性與配置前言在當(dāng)前的組網(wǎng)應(yīng)用中,用戶對(duì)網(wǎng)絡(luò)可靠性的要求越來越高,特別是在一些重要的業(yè)務(wù)入口或接入點(diǎn)上需要保證網(wǎng)絡(luò)不間斷運(yùn)行。對(duì)于這些重要的業(yè)務(wù)點(diǎn)如何保證網(wǎng)絡(luò)的不間斷傳輸,成為必須解決的一個(gè)問題。本膠片主要介紹防火墻的雙機(jī)熱備份技術(shù)原理和具體配置,以及在USG防火墻上實(shí)施雙機(jī)熱備份技術(shù)所使用的三種協(xié)議:VRRP、VGMP和HRP。培訓(xùn)目標(biāo)學(xué)完本課程后,您應(yīng)該能:掌握雙機(jī)熱備份技術(shù)原理掌握VRRP,VGMP和HRP之間的關(guān)系掌握典型雙機(jī)組網(wǎng)的配置目錄雙機(jī)熱備份技術(shù)原理USG防火墻雙機(jī)熱備份技術(shù)雙機(jī)熱備份技術(shù)在防火墻上的實(shí)施雙機(jī)熱備份技術(shù)產(chǎn)生的原因傳統(tǒng)的組網(wǎng)方式如圖所示,內(nèi)部用戶和外部用戶的交互報(bào)文全部通過FirewallA。如果FirewallA出現(xiàn)故障,內(nèi)部網(wǎng)絡(luò)中所有以FirewallA作為默認(rèn)網(wǎng)關(guān)的主機(jī)與外部網(wǎng)絡(luò)之間的通訊將中斷,通訊可靠性無法保證。FirewallA10.100.10.1/24InternetPC服務(wù)器內(nèi)部網(wǎng)絡(luò)10.100.10.0/24傳統(tǒng)雙機(jī)熱備份技術(shù)在路由器上的部署RouterA10.100.10.2MasterRouterBBackup10.100.10.3RouterC10.100.10.4Backup備份組VirtualIPAddress10.100.10.1InternetPC服務(wù)器內(nèi)部網(wǎng)絡(luò)10.100.10.0/24路由器組網(wǎng)中通過VRRP協(xié)議實(shí)現(xiàn)雙機(jī)熱備份VRRP在多區(qū)域防火墻組網(wǎng)中的應(yīng)用DMZTrustUntrustUSGA10.100.20.0/24MasterUSGBBackup10.100.10.0/24備份組1VirtualIPAddress10.100.10.1備份組2VirtualIPAddress10.100.20.1備份組3VirtualIPAddress202.38.10.1為防火墻上多個(gè)區(qū)域提供雙機(jī)備份功能時(shí),需要在每一臺(tái)防火墻上配置多個(gè)VRRP備份組。VRRP在防火墻應(yīng)用中存在的缺陷USGAMasterUSGBBackupTrustDMZUntrustPC1PC2(1)(2)(3)(4)(7)會(huì)話表項(xiàng)Server(5)(6)(8)實(shí)際連線報(bào)文流徑(9)傳統(tǒng)VRRP方式無法實(shí)現(xiàn)主、備用USG防火墻狀態(tài)的一致性。目錄雙機(jī)熱備份技術(shù)原理USG防火墻雙機(jī)熱備份技術(shù)雙機(jī)熱備份技術(shù)在防火墻上的實(shí)施防火墻雙機(jī)熱備份技術(shù)分析防火墻雙擊熱備份技術(shù)的特征控制主、備用防火墻的切換狀態(tài)信息的備份USG防火墻的雙機(jī)熱備份技術(shù)依靠三種協(xié)議實(shí)現(xiàn):VRRP(虛擬路由冗余協(xié)議)VGMP(VRRP組管理協(xié)議)HRP(華為冗余協(xié)議)防火墻主備狀態(tài)切換的實(shí)現(xiàn)VGMP(VRRPGroupManagementProtocol)提出VRRP管理組的概念,將同一臺(tái)防火墻上的多個(gè)VRRP備份組都加入到一個(gè)VRRP管理組,由管理組統(tǒng)一管理所有VRRP備份組。通過統(tǒng)一控制各VRRP備份組狀態(tài)的切換,來保證管理組內(nèi)的所有VRRP備份組狀態(tài)都是一致的。VGMP的作用:防火墻主備狀態(tài)控制切換VRRP管理組的功能:狀態(tài)一致性管理(管理組內(nèi)VRRP備份組同步狀態(tài)切換)搶占管理(屏蔽VRRP備份組搶占)通道管理(trans-only)VGMP實(shí)現(xiàn)原理USGAMasterUSGBBackupTrustDMZUntrust備份組1備份組2備份組3A1A2A3B2B1B3管理組管理組備份組4VGMP數(shù)據(jù)通道USGAMasterUSGBBackupTrustDMZUntrustA1A2A3B2B1B3A4B4A4-B4A3-B3A1-B1A2-B2防火墻狀態(tài)信息的備份VGMP可以保證報(bào)文來回路徑通過同一臺(tái)防火墻。當(dāng)主防火墻出現(xiàn)故障時(shí),所有流量都將切換到備防火墻。但USG防火墻是狀態(tài)防火墻,如果備防火墻上沒有原來主防火墻上的連接狀態(tài)數(shù)據(jù),則切換到備防火墻的很多流量將無法通過,造成現(xiàn)有的連接中斷,此時(shí)用戶必須重新發(fā)起連接。為了實(shí)現(xiàn)主用設(shè)備出現(xiàn)故障時(shí)能由備用設(shè)備平滑地接替工作,需要在主、備用設(shè)備之間備份關(guān)鍵配置命令和會(huì)話表狀態(tài)等關(guān)鍵信息。HRPHRP(HuaweiRedundancyProtocol)華為冗余協(xié)議華為公司冗余協(xié)議HRP(HuaweiRedundancyProtocol)是承載在VGMP報(bào)文上進(jìn)行傳輸?shù)?。HRP用于在主用設(shè)備和備用設(shè)備之間備份關(guān)鍵配置命令和會(huì)話表狀態(tài)等關(guān)鍵信息。HRP/VGMP/VRRP之間的關(guān)系VRRP備份組VGMP管理組VGMP報(bào)文HRP模塊HRP報(bào)文接口VRRP報(bào)文目錄雙機(jī)熱備份技術(shù)原理USG防火墻雙機(jī)熱備份技術(shù)雙機(jī)熱備份技術(shù)在防火墻上的實(shí)施防火墻雙機(jī)熱備份組網(wǎng)方式USG的雙機(jī)熱備份,可以工作在路由模式和混合模式兩種模式下:路由模式是指USG的業(yè)務(wù)端口和HRP備份通道接口均工作在路由模式下?;旌夏J绞侵窾SG的業(yè)務(wù)端口工作在透明模式下,而HRP備份通道接口工作在路由模式下。路由模式和混合模式都包含兩種組網(wǎng)方式:主備組網(wǎng)方式負(fù)載分擔(dān)組網(wǎng)方式路由模式-主備組網(wǎng)方式防火墻設(shè)備管理組成員優(yōu)先級(jí)狀態(tài)會(huì)話量AMaster備份組1,2,3高主用100%BSlave備份組1,2,3低備用0USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0PC1PC2路由模式-主備組網(wǎng)方式配置參考1USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0[USG2100]interfaceGigabitEthernet1/0/0[USG2100-GigabitEthernet1/0/0]ipaddress10.100.10.224
[USG2100-GigabitEthernet1/0/0]vrrpvrid1virtual-ip10.100.10.1master[USG2100]interfaceGigabitEthernet3/0/0[USG2100-GigabitEthernet3/0/0]ipaddress202.38.10.224
[USG2100-GigabitEthernet3/0/0]vrrpvrid2virtual-ip202.38.10.1master#將GE1/0/0和GE3/0/0加入到對(duì)應(yīng)的VRRP備份組中。路由模式-主備組網(wǎng)方式配置參考2USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0[USG2100]
interfaceGigabitEthernet2/0/0[USG2100-GigabitEthernet2/0/0]ipaddress10.100.20.224[USG2100-GigabitEthernet2/0/0]vrrpvrid3virtual-ip10.100.20.1master#將GE2/0/0加入到對(duì)應(yīng)的VRRP備份組中。
[USG2100]
hrpinterfaceGigabitEthernet2/0/0[USG2100]
hrpenable#指定HRP的備份通道并使能HRP功能。路由模式-主備組網(wǎng)方式配置參考3USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0HRP_M[USG2100]hrpauto-syncconfigHRP_M[USG2100]policyinterzonetrustuntrustoutboundHRP_M[USG2100-policy-interzone-trust-untrust-outbound]
policy1HRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]actionpermitHRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]policysource10.100.10.0mask24#使能配置命令自動(dòng)備份功能并添加區(qū)域間包過濾規(guī)則。
路由模式-主備組網(wǎng)方式配置驗(yàn)證USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0HRP_M[USG2100]displayhrpstate
Thefirewall'sconfigstateis:MASTERCurrentstateofvirtualroutersconfiguredasmaster:GigabitEthernet1/0/0vrid1:masterGigabitEthernet3/0/0vrid2:masterGigabitEthernet2/0/0vrid3:master#在USGA上執(zhí)行displayhrpstate命令,檢查當(dāng)前HRP的狀態(tài),顯示以上信息表示HRP建立成功。
路由模式-負(fù)載分擔(dān)組網(wǎng)方式防火墻設(shè)備管理組備份組優(yōu)先級(jí)狀態(tài)會(huì)話量AMaster備份組1,2,3高主用部分BSlave備份組1,2,3低備用0ASlave備份組4,5,6低備用0BMaster備份組4,5,6高主用部分Master/Slave管理組USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5PC1PC2USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組Master/Slave管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5路由模式-負(fù)載分擔(dān)組網(wǎng)方式配置參考1[USG2100]interfaceGigabitEthernet1/0/0
[USG2100-GigabitEthernet1/0/0]ipaddress10.100.10.324[USG2100-GigabitEthernet1/0/0]vrrpvrid1virtual-ip10.100.10.1master[USG2100-GigabitEthernet1/0/0]vrrpvrid4virtual-ip10.100.10.2slave[USG2100]interfaceGigabitEthernet3/0/0[USG2100-GigabitEthernet3/0/0]ipaddress202.38.10.324
[USG2100-GigabitEthernet3/0/0]vrrpvrid2virtual-ip202.38.10.1master
[USG2100-GigabitEthernet3/0/0]vrrpvrid5virtual-ip202.38.10.2slave
將接口GE1/0/0和GE3/0/0加入到對(duì)應(yīng)的VRRP備份組中路由模式-負(fù)載分擔(dān)組網(wǎng)方式配置參考2USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組Master/Slave管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5[USG2100]interfaceGigabitEthernet2/0/0[USG2100-GigabitEthernet2/0/0]ipaddress10.100.20.324[USG2100-GigabitEthernet2/0/0]vrrpvrid3virtual-ip10.100.20.1master[USG2100-GigabitEthernet2/0/0]vrrpvrid6virtual-ip10.100.20.2slave[USG2100]
hrpinterfaceGigabitEthernet2/0/0[USG2100]
hrpenable
#將GE1/0/0和GE3/0/0加入對(duì)應(yīng)的備份組;指定HRP備份通道并使能HRP功能。
路由模式-負(fù)載分擔(dān)組網(wǎng)方式配置參考3USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組Master/Slave管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5HRP_M[USG2100]hrpauto-syncconfigHRP_M[USG2100]policyinterzonetrustuntrustoutboundHRP_M[USG2100-policy-interzone-trust-untrust-outbound]
policy1HRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]actionpermitHRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]policysource10.100.10.0mask24#使能配置命令自動(dòng)備份功能并添加區(qū)域間包過濾規(guī)則。路由模式-負(fù)載分擔(dān)組網(wǎng)方式配置驗(yàn)證HRP_M[USG2100]dishrpstate
Thefirewall'sconfigstateis:MASTERCurrentstateofvirtualroutersconfiguredasmaster:GigabitEthernet3/0/0vrid2:masterGigabitEthernet2/0/0vrid3:masterGigabitEthernet1/0/0vrid1:masterCurrentstateofvirtualroutersconfiguredasslave:GigabitEthernet3/0/0vrid5:slaveGigabitEthernet2/0/0vrid6:slaveGigabitEthernet1/0/0vrid4:slave#在USGA上執(zhí)行displayhrpstate命令,檢查當(dāng)前HRP的狀態(tài)。從以上顯示信息可以看出,在USGA上,VRRP備份組1、2、3屬于Master管理組;VRRP備份組4、5、6屬于Slave管理組?;旌夏J?主備組網(wǎng)方式上圖組網(wǎng)方式可以實(shí)現(xiàn)負(fù)載分擔(dān)嗎?G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1PC1PC2混合模式-主備組網(wǎng)方式配置參考1G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1[USG2100]interfaceGigabitEthernet0/0/1[USG2100-GigabitEthernet0/0/1]ipaddress10.100.20.224[USG2100-GigabitEthernet0/0/1]vrrpvrid1virtual-ip10.100.20.1master[USG2100]firewallzonedmz
[USG2100-zone-dmz]addinterfacegigabitethernet0/0/1
#配置GE0/0/1所屬的VRRP備份組和虛擬IP地址,并將其加入DMZ區(qū)域
混合模式-主備組網(wǎng)方式配置參考2G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1[USG2100]interfacegigabitethernet0/0/0
[USG2100-GigabitEthernet0/0/0]portswitch
[USG2100]interfacegigabitethernet0/0/2
[USG2100-GigabitEthernet0/0/2]portswitch#配置GE0/0/0和GE0/0/2工作在透明模式。
混合模式-主備組網(wǎng)方式配置參考3G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1[USG2100]
vlan2[USG2100-vlan-2]portGigabitEthernet0/0/0
[USG2100-vlan-2]portGigabitEthernet0/0/2
[USG2100-vlan-2]hrptrackmaster
溫馨提示
- 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請(qǐng)下載最新的WinRAR軟件解壓。
- 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請(qǐng)聯(lián)系上傳者。文件的所有權(quán)益歸上傳用戶所有。
- 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁內(nèi)容里面會(huì)有圖紙預(yù)覽,若沒有圖紙預(yù)覽就沒有圖紙。
- 4. 未經(jīng)權(quán)益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
- 5. 人人文庫網(wǎng)僅提供信息存儲(chǔ)空間,僅對(duì)用戶上傳內(nèi)容的表現(xiàn)方式做保護(hù)處理,對(duì)用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對(duì)任何下載內(nèi)容負(fù)責(zé)。
- 6. 下載文件中如有侵權(quán)或不適當(dāng)內(nèi)容,請(qǐng)與我們聯(lián)系,我們立即糾正。
- 7. 本站不保證下載資源的準(zhǔn)確性、安全性和完整性, 同時(shí)也不承擔(dān)用戶因使用這些下載資源對(duì)自己和他人造成任何形式的傷害或損失。
最新文檔
- 幼兒園腌鴨蛋課程設(shè)計(jì)
- 山東交通學(xué)院《云數(shù)據(jù)庫實(shí)踐》2023-2024學(xué)年第一學(xué)期期末試卷
- 幼兒園音樂韻律課程設(shè)計(jì)
- 房屋建筑課程設(shè)計(jì)建大
- 山東化工職業(yè)學(xué)院《海洋生態(tài)與海洋生物的保護(hù)》2023-2024學(xué)年第一學(xué)期期末試卷
- 山東華宇工學(xué)院《基礎(chǔ)工程學(xué)》2023-2024學(xué)年第一學(xué)期期末試卷
- 幼兒園走廊墻面課程設(shè)計(jì)
- 壓圈沖模課程設(shè)計(jì)
- 幼兒園王羲之課程設(shè)計(jì)
- 關(guān)于動(dòng)物的探索課程設(shè)計(jì)
- GB/T 27800-2011靜密封橡膠制品使用壽命的快速預(yù)測(cè)方法
- 醫(yī)生、護(hù)士工作服技術(shù)參數(shù)要求
- GB 29518-2013柴油發(fā)動(dòng)機(jī)氮氧化物還原劑尿素水溶液(AUS 32)
- 《經(jīng)濟(jì)學(xué)基礎(chǔ)》試題庫(附答案)
- 中學(xué)生法制教育主題班會(huì)課件《預(yù)防未成年人犯罪》
- 雙氧水工藝培訓(xùn)課件
- 醫(yī)師臨床三基訓(xùn)練綜合試卷
- 激光雷達(dá)測(cè)風(fēng)技術(shù)完整版課件
- 2023年江蘇省環(huán)保集團(tuán)有限公司校園招聘筆試題庫及答案解析
- 繪畫心理測(cè)試與治療課件
- 國家開放大學(xué)《公共政策概論》形考任務(wù)1參考答案
評(píng)論
0/150
提交評(píng)論