网神防火墙配置HA双机热备
SecPath-防火墙双机热备典型配置
SecPath-防火墙双机热备典型配置SecPath防火墙双机热备典型配置举例关键词：双机热备、主备模式、负载分担模式、数据同步、流量切换摘要：防火墙设备是所有信息流都必须通过的单一点，一旦故障所有信息流都会中断。
保障信息流不中断至关重要，这就需要解决防火墙设备单点故障问题。
双机热备技术可以保障即使在防火墙设备故障的情况下，信息流仍然不中断。
本文将介绍双机热备的概念、工作模式及典型应用等。
缩略语：目录1 特性简介 (3)1.1 双机热备的工作机制 (3)2 特性使用指南 (4)2.1 使用场合 (4)2.2 配置指南 (4)2.2.1 双机热备组网应用配置指南 (4)2.2.2 双机热备应用涉及的配置 (4)2.3 注意事项 (4)3 支持的设备和版本 (5)3.1 设备版本 (5)3.2 支持的设备 (5)3.3 配置保存 (5)4 配置举例 (6)4.1 典型组网 (6)4.2 设备基本配置 (9)4.2.1 其他共同配置： (9)4.3 双机热备业务典型配置举例 (9)4.3.1 透明模式＋主备模式 (9)4.3.2 透明模式＋负载分担模式 (14)4.3.3 路由模式＋主备模式 (17)4.3.4 路由模式＋负载分担模式 (19)4.3.5 路由模式＋主备模式＋支持非对称路径 (21)4.3.6 路由模式＋负载分担模式＋支持非对称路径 (28)4.3.7 动态路由模式组网 (33)5 相关资料 (33)1 特性简介双机热备在链路切换前，对会话信息进行主备同步；在设备故障后能将流量切换到其他备份设备，由备份设备继续处理业务，从而保证了当前的会话不被中断。
secpath防火墙具有多样化的组网方式，双机的组网应用也会很多种，本文试举几种双机热备的典型应用。
1.1 双机热备的工作机制互为备份的两台防火墙只负责会话信息备份，保证流量切换后会话连接不中断。
而流量的切换则依靠传统备份技术（如VRRP、动态路由）来实现，应用灵活，能适应各种组网环境。
联想网御Power V系列配置案例集22(双机热备配置案例)
22.1 网络需求网御防火墙高可用性有多种配置环境，此处仅以常用的环境做案例展示。
用户环境透明或者路由，防火墙主备模式，只有一台工作，另一台热备。
用户环境透明，且需要两台防火墙同时工作，即主主模式，防火墙可以用会话保护22.2 网络拓扑双机热备防火墙工作透明，用户环境透明全交叉。
初次配置主墙的心跳IP（1.1.1.1）备墙的心跳IP（1.1.1.2）22.3 配置步骤（1）配置防火墙透明桥模式（2）将定义好的桥接口绑定在桥中（3）防火墙安全选项设置（4）配置防火墙安全策略（5）主墙配置HA（配置HA接口，设置双机热备）（6）备墙配置HA（配置HA接口，设置双机热备）（7）HA状态查看22.4 配置流程（1）配置防火墙透明桥模式进入【网络管理】-【网络接口】-【物理设备】，设置相应接口为透明模式（2）将定义好的桥接口绑定在桥中进入【网络管理】-【网络接口】-【桥设备】（3）防火墙安全选项设置进入【防火墙】-【安全选项】勾选“包过滤802.1Q（VLAN）承载的IP、IPV6、ARP报文”（4）配置防火墙安全策略进入【防火墙】-【策略】-【安全策略】，添加符合条件的安全规则。
（5）主墙配置HA（配置HA接口，设置双机热备）进入【网络管理】-【高可用性】-【HA网口】启用会话同步目的是同步会话。
（6）备墙配置HA（配置HA接口，设置双机热备）（7）HA状态查看进入【网络管理】-【高可用性】-【HA状态】节点优先级为，1，2 状态正常，1为主，2为备，如果为0，说明故障。
注意事项：1.配置主墙除了HA之外的其余配置。
2.配置主墙HA。
3.配置备墙HA，且备墙仅配置HA，完成配置后，保存配置关机。
4.连接主墙与备墙之间的心跳线。
5.连接主墙及备墙上的业务线。
6.启动备墙。
防火墙双机热备配置案例
双机热备网络卫士防火墙可以实现多种方式下的冗余备份，包括：双机热备模式、负载均衡模式和连接保护模式。
在双机热备模式下（最多支持九台设备），任何时刻都只有一台防火墙（主墙）处于工作状态，承担报文转发任务，一组防火墙处于备份状态并随时接替任务。
当主墙的任何一个接口（不包括心跳口）出现故障时，处于备份状态的防火墙经过协商后，由优先级高的防火墙接替主墙的工作，进行数据转发。
在负载均衡模式下（最多支持九台设备），两台/多台防火墙并行工作，都处于正常的数据转发状态。
每台防火墙中设置多个VRRP备份组，两台/多台防火墙中VRID相同的组之间可以相互备份，以便确保某台设备故障时，其他的设备能够接替其工作。
在连接保护模式下（最多支持九台设备），防火墙之间只同步连接信息，并不同步状态信息。
当两台/多台防火墙均正常工作时，由上下游的设备通过运行VRRP或HSRP进行冗余备份，以便决定流量由哪台防火墙转发，所有防火墙处于负载分担状态，当其中一台发生故障时，上下游设备经过协商后会将其上的数据流通过其他防火墙转发。
双机热备模式基本需求图 1双机热备模式的网络拓扑图上图是一个简单的双机热备的主备模式拓扑图，主墙和一台从墙并联工作，两个防火墙的Eth2接口为心跳口，由心跳线连接用来协商状态，同步对象及配置信息。
配置要点➢设置HA心跳口属性➢设置除心跳口以外的其余通信接口属于VRID2➢指定HA的工作模式及心跳口的本地地址和对端地址➢主从防火墙的配置同步WEBUI配置步骤1）配置HA心跳口和其他通讯接口地址HA心跳口必须工作在路由模式下，而且要配置同一网段的IP以保证相互通信。
接口属性必须要勾选“ha-static”选项，否则HA心跳口的IP地址信息会在主从墙运行配置同步时被对方覆盖。
➢主墙a）配置HA心跳口地址。
①点击网络管理>接口，然后选择“物理接口”页签，点击eth2接口后的“设置”图标，配置基本信息，如下图所示。
点击“确定”按钮保存配置。
JuniperSRX防火墙HA双机配置步骤
JuniperSRX防火墙HA双机配置步骤JSRP要求两台设备在软件版本、硬件型号、板卡数量、插槽位置及端口使用方面严格一一对应。
由于SR某是转发与控制层面完全分裂架构，JSRP需要控制层面(配置同步)和数据层面(Seion同步)两个平面的互联，建议控制和数据层面互联链路使用光纤链路直连（部分平台强制要求光纤链路直连）。
整个JSRP配置过程包括如下7个步骤配置Cluterid和Nodeid(对应ScreenOSNSRP的cluterid并需手工指定设备使用节点id）指定ControlPort（指定控制层面使用接口，用于配置同步及心跳）指定FabricLinkPort（指定数据层面使用接口，主要eion等RTO同步）配置RedundancyGroup（类似NSRP的VSDgroup，优先级与抢占等配置）每个机箱的个性化配置（单机无需同步的个性化配置，如主机名、带外管理口IP地址等）配置RedundantEthernetInterface（类似NSRP的Redundant冗余接口）配置InterfaceMonitoring（类似NSRPinterfacemonitor，是RG数据层面切换依据）1.1.配置Cluterid和NodeidSR某在启用JSRP之后，组成Cluter的两台机箱会被抽象成一台逻辑的机箱，cluterid和nodeid将会被存放在EEPROM内，每个机箱内部的各个业务引擎通讯用的TNP地址都需要重新分配，因此设备需要重启生效。
注意，这一步两个node都需要配置。
配置命令：SR某5800Ar某5800a>etchaiclutercluter-id1node0reboot//注1：注意该命令需在operational模式下输入//注2：CluterID取值范围为1–15，当CluterID=0时会unetcluter配置，成为单机SR某5800Br某5800b>etchaiclutercluter-id1node1reboot1.2.指定ControlPort这一步只对SR某5K有效(两个node都需要配置)，因为SR某3K的ControlPort是固化的，无需指定。
防火墙技术案例5_双机热备(负载分担)组网下的IPSec配置
【防火墙技术案例5】双机热备（负载分担）组网下的IPSec配置论坛的小伙伴们，大家好。
强叔最近已经开始在“侃墙”系列中为各位小伙伴们介绍各种VPN了。
说到VPN，小伙伴们肯定首先想到的是最经典的IPSec VPN，而且我想大家对IPSec的配置也是最熟悉的。
但是如果在两台处于负载分担状态下的防火墙上部署IPSec VPN又该如何操作呢？有什么需要注意的地方呢？本期强叔就为大家介绍如何在双机热备的负载分担组网下配置IPSec。
【组网需求】如下图所示，总部防火墙NGFW_C和NGFW_D以负载分担方式工作，其上下行接口都工作在三层，并与上下行路由器之间运行OSPF协议。
（本例中，NGFW是下一代防火墙USG6600的简称，软件版本为USG6600V100R001C10）现要求分支用户访问总部的流量受IPSec隧道保护，且NGFW_C处理分支A发送到总部的流量，NGFW_D 处理分支B发送到总部的流量。
当NGFW_C或NGFW_D中一台防火墙出现故障时，分支发往总部的流量能全部切换到另一台运行正常的防火墙。
【需求分析】针对以上需求，强叔先带小伙们做一个简要分析，分析一下我们面临的问题以及解决这个问题的方法。
1、如何使两台防火墙形成双机热备负载分担状态？两台防火墙的上下行业务接口工作在三层，并且连接三层路由器，在这种情况下，就需要在防火墙上配置VGMP组（即hrp track命令）来监控上下行业务接口。
如果是负载分担状态，则需要在每台防火墙上调动两个VGMP组（active组和standby组）来监控业务接口。
2、分支与总部之间如何建立IPSec隧道？正常状态下，根据组网需求，需要在NGFW_A与NGFW_C之间建立一条隧道，在NGFW_B与NGFW_D之间建立一条隧道。
当NGFW_C与NGFW_D其中一台防火墙故障时，NGFW_A和NGFW_B都会与另外一台防火墙建立隧道。
3、总部的两台防火墙如何对流量进行引导？总部的两台防火墙（NGFW_C与NGFW_D）通过路由策略来调整自身的Cost值，从而实现正常状态下来自NGFW_A的流量通过NGFW_C转发，来自NGFW_B的流量通过NGFW_D转发，故障状态下来自NGFW_A和NGFW_B的流量都通过正常运行的防火墙转发。
防火墙双机热备技术
G1/0/1 10.2.0.2/24
Backup USG_B
G1/0/3 10.3.0.2/24
备份组2 Virtual IP Address
10.3.0.3/24
VRRP备份组配置命令 - CLI
接口视图下配置VRRP：
vrrp vrid virtual-router-ID virtual-ip virtual-address [ ipmask | ip-mask-length ] { active | standby }
10.100.10.0/24 DMZ
10.100.20.0/24
hello ack
Untrust
备份组 2
USG B
备份组 3 VGMP Standby
VGMP组管理
状态一致性管理
VGMP管理组控制所有的VRRP备份组统一切换。
抢占管理
当原来出现故障的主设备故障恢复时，其优先级也会恢复，此 时可以重新将自己的状态抢占为主。
PC1 (1) Trust
Server (8) DMZ
(2) (7)
USG A Master
会话表项 (3)
(6)
(9) Backup USG B
(4) PC2 (5) Untrust
实际连线 报文流径
VRRP用于防火墙多区域备份
为了保证所有VRRP备份组切换的一致性，在VRRP的基础上进行了扩
防火墙双机热备技术
学完本课程后，您将能够:
掌握双机热备技术原理 掌握双机热备基础配置
1. 双机热备技术原理 2. 双机热备基本组网与配置
双机热备技术产生的原因
传统的组网方式如图所示，内部用户和外部用户的交互报文 全部通过Firewall A。如果Firewall A出现故障，内部网络中所 有以Firewall A作为默认网关的主机与外部网络之间的通讯将 中断，通讯可靠性无法保证。
网神防火墙配置HA双机热备
VRRP的演示试验fw1fw2pc1pc2 172.16.30.2172.16.30.3172.16.30.4fe2fe2fe3fe3fe4fe4192.168.1.3192.168.1.4192.168.1.21.1.1.11.1.1.2172.16.30.1192.168.1.1链路1链路2拓扑说明：PC1通过HUB连接到fw1和fw2（172.16.30.1这个地址是虚拟IP，下面将会在配置防火墙的过程中讲到），PC2也是通过HUB连接到fw1和fw2。
实验要求：PC1和PC2能够互相ping通，当链路1或者链路2断开时，照样可以互相PING，并且可以在两个防火墙上抓包分析，ICMP包是通过哪个防火墙。
实验步骤：我们设fw1为主墙，下面我们首先为主墙进行配置。
1、配置IP2、配置安全规则P1这条规则允许双向同步secgate_ha_conf服务，必须加的。
其中P2这条规则是允许VRRP组播报告，可加可不加，不会影响实验过程。
P3、P4两个包过滤想必不说也应该清楚吧。
3、HA基本配置同步网口为fe4，同步IP为1.1.1.1，主墙一定要设置为控制节点。
注意实例名称和VRID和备墙一一对应起来。
把两个接口关联起来点启启动。
下面我们再来配置下备墙。
1、配置IP2、HA基本配置需要手动同步的话可以在从安全网关那输入网关地址1.1.1.1,然后点击同步所有配置，这样就能实现手动同步。
注：同步完后需重启备墙才能生效，备墙不能选择为控制节点。
3、添加VRRP实例4、添加VRRP关联添加完后点击启动注意：1、两台防火墙最好是同一个版本。
2、备墙没有配置安全规则是因为它可以跟主墙同步，而且一旦两个墙的关联都启动后，备墙就不能自己添加安全规则以及其它信息。
juniper双击热备
JUNIPER HA双机热备（NSRP）一、NSRP工作原理NSRP（NetScreen Redundant Protocol）是Juniper公司基于VRRP 协议规范自行开发的设备冗余协议。
防火墙作为企业核心网络中的关键设备，需要为所有进出网络的信息流提供安全保护，为满足客户不间断业务访问需求，要求防火墙设备必须具备高可靠性，能够在设备、链路及互连设备出现故障的情况下，提供网络访问路径无缝切换。
NSRP 冗余协议提供复杂网络环境下的冗余路径保护机制。
NSRP主要功能有：1、在高可用群组成员之间同步配置信息；2、提供活动会话同步功能，以保证发生路径切换情况下不会中断网络连接；3、采用高效的故障切换算法，能够在短短几秒内迅速完成故障检测和状态切换。
NSRP集群两种工作模式：一、Active/Passive模式：通过对一个冗余集群中的两台安全设备进行电缆连接和配置，使其中一台设备作为主用设备，另一台作为备用设备。
主用设备负责处理所有网络信息流，备用设备处于在线备份状态。
主设备将其网络和配置命令及当前会话信息传播到备用设备，备用设备始终保持与主用设备配置信息和会话连接信息的同步，并跟踪主用设备状态，一旦主设备出现故障，备份设备将在极短时间内晋升为主设备并接管信息流处理。
二、Active/Active模式：在NSRP中创建两个虚拟安全设备 (VSD) 组，每个组都具有自己的虚拟安全接口(VSI)，通过VSI接口与网络进行通信。
设备A充当VSD组1的主设备和VSD 组2的备份设备。
设备B充当VSD 组2的主设备和VSD组1的备份设备。
Active/Active模式中两台防火墙同时进行信息流的处理并彼此互为备份。
在双主动模式中不存在任何单一故障点。
如下图所示，通过调整防火墙上下行路由/交换设备到网络的路由指向，HostA通过左侧路径访问ServerA，HostB通过右侧路径访问ServerB，网络中任一设备或链路出现故障时，NSRP集群均能够做出正确的路径切换。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
VRRP的演示试验
fw1
fw2
pc1pc2 172.16.30.2
172.16.30.3
172.16.30.4
fe2
fe2
fe3
fe3
fe4
fe4
192.168.1.3
192.168.1.4
192.168.1.2
1.1.1.1
1.1.1.2
172.16.30.1192.168.1.1
链路1
链路2
拓扑说明：PC1通过HUB连接到fw1和fw2（172.16.30.1这个地址是虚拟IP，下面将会在配置防火墙的过程中讲到），PC2也是通过HUB连接到fw1和fw2。
实验要求：PC1和PC2能够互相ping通，当链路1或者链路2断开时，照样可以互相PING，并且可以在两个防火墙上抓包分析，ICMP包是通过哪个防火墙。
实验步骤：
我们设fw1为主墙，下面我们首先为主墙进行配置。
1、配置IP
2、配置安全规则
P1这条规则允许双向同步secgate_ha_conf服务，必须加的。
其中P2这条规则是允许VRRP组播报告，可加可不加，不会影响实验过程。
P3、P4两个包过滤想必不说也应该清楚吧。
3、HA基本配置
同步网口为fe4，同步IP为1.1.1.1，主墙一定要设置为控制节点。
注意实例名称和VRID和备墙一一对应起来。
把两个接口关联起来点启启动。
下面我们再来配置下备墙。
1、配置IP
2、HA基本配置
需要手动同步的话可以在从安全网关那输入网关地址1.1.1.1,然后点击同步所有配置，这样就能实现手动同步。
注：同步完后需重启备墙才能生效，备墙不能选择为控制节点。
3、添加VRRP实例
4、添加VRRP关联
添加完后点击启动
注意：1、两台防火墙最好是同一个版本。
2、备墙没有配置安全规则是因为它可以跟主墙同步，而且一旦两个墙的关联都启动后，备墙就不能自己添加安全规则以及其它信息。