HC120119004 USG防火墻雙機熱備業(yè)務特性與配置

USG防火墻

雙機熱備業(yè)務特性與配置前言在當前的組網(wǎng)應用中，用戶對網(wǎng)絡可靠性的要求越來越高，特別是在一些重要的業(yè)務入口或接入點上需要保證網(wǎng)絡不間斷運行。對于這些重要的業(yè)務點如何保證網(wǎng)絡的不間斷傳輸，成為必須解決的一個問題。本膠片主要介紹防火墻的雙機熱備份技術原理和具體配置，以及在USG防火墻上實施雙機熱備份技術所使用的三種協(xié)議：VRRP、VGMP和HRP。培訓目標學完本課程后，您應該能：掌握雙機熱備份技術原理掌握VRRP，VGMP和HRP之間的關系掌握典型雙機組網(wǎng)的配置目錄雙機熱備份技術原理USG防火墻雙機熱備份技術雙機熱備份技術在防火墻上的實施雙機熱備份技術產生的原因傳統(tǒng)的組網(wǎng)方式如圖所示，內部用戶和外部用戶的交互報文全部通過FirewallA。如果FirewallA出現(xiàn)故障，內部網(wǎng)絡中所有以FirewallA作為默認網(wǎng)關的主機與外部網(wǎng)絡之間的通訊將中斷，通訊可靠性無法保證。FirewallA10.100.10.1/24InternetPC服務器內部網(wǎng)絡10.100.10.0/24傳統(tǒng)雙機熱備份技術在路由器上的部署RouterA10.100.10.2MasterRouterBBackup10.100.10.3RouterC10.100.10.4Backup備份組VirtualIPAddress10.100.10.1InternetPC服務器內部網(wǎng)絡10.100.10.0/24路由器組網(wǎng)中通過VRRP協(xié)議實現(xiàn)雙機熱備份VRRP在多區(qū)域防火墻組網(wǎng)中的應用DMZTrustUntrustUSGA10.100.20.0/24MasterUSGBBackup10.100.10.0/24備份組1VirtualIPAddress10.100.10.1備份組2VirtualIPAddress10.100.20.1備份組3VirtualIPAddress202.38.10.1為防火墻上多個區(qū)域提供雙機備份功能時，需要在每一臺防火墻上配置多個VRRP備份組。VRRP在防火墻應用中存在的缺陷USGAMasterUSGBBackupTrustDMZUntrustPC1PC2(1)(2)(3)(4)(7)會話表項Server(5)(6)(8)實際連線報文流徑(9)傳統(tǒng)VRRP方式無法實現(xiàn)主、備用USG防火墻狀態(tài)的一致性。目錄雙機熱備份技術原理USG防火墻雙機熱備份技術雙機熱備份技術在防火墻上的實施防火墻雙機熱備份技術分析防火墻雙擊熱備份技術的特征控制主、備用防火墻的切換狀態(tài)信息的備份USG防火墻的雙機熱備份技術依靠三種協(xié)議實現(xiàn)：VRRP（虛擬路由冗余協(xié)議）VGMP（VRRP組管理協(xié)議）HRP（華為冗余協(xié)議）防火墻主備狀態(tài)切換的實現(xiàn)VGMP（VRRPGroupManagementProtocol)提出VRRP管理組的概念，將同一臺防火墻上的多個VRRP備份組都加入到一個VRRP管理組，由管理組統(tǒng)一管理所有VRRP備份組。通過統(tǒng)一控制各VRRP備份組狀態(tài)的切換，來保證管理組內的所有VRRP備份組狀態(tài)都是一致的。VGMP的作用：防火墻主備狀態(tài)控制切換VRRP管理組的功能：狀態(tài)一致性管理（管理組內VRRP備份組同步狀態(tài)切換）搶占管理（屏蔽VRRP備份組搶占）通道管理（trans-only）VGMP實現(xiàn)原理USGAMasterUSGBBackupTrustDMZUntrust備份組1備份組2備份組3A1A2A3B2B1B3管理組管理組備份組4VGMP數(shù)據(jù)通道USGAMasterUSGBBackupTrustDMZUntrustA1A2A3B2B1B3A4B4A4-B4A3-B3A1-B1A2-B2防火墻狀態(tài)信息的備份VGMP可以保證報文來回路徑通過同一臺防火墻。當主防火墻出現(xiàn)故障時，所有流量都將切換到備防火墻。但USG防火墻是狀態(tài)防火墻，如果備防火墻上沒有原來主防火墻上的連接狀態(tài)數(shù)據(jù)，則切換到備防火墻的很多流量將無法通過，造成現(xiàn)有的連接中斷，此時用戶必須重新發(fā)起連接。為了實現(xiàn)主用設備出現(xiàn)故障時能由備用設備平滑地接替工作，需要在主、備用設備之間備份關鍵配置命令和會話表狀態(tài)等關鍵信息。HRPHRP（HuaweiRedundancyProtocol）華為冗余協(xié)議華為公司冗余協(xié)議HRP（HuaweiRedundancyProtocol）是承載在VGMP報文上進行傳輸?shù)?。HRP用于在主用設備和備用設備之間備份關鍵配置命令和會話表狀態(tài)等關鍵信息。HRP/VGMP/VRRP之間的關系VRRP備份組VGMP管理組VGMP報文HRP模塊HRP報文接口VRRP報文目錄雙機熱備份技術原理USG防火墻雙機熱備份技術雙機熱備份技術在防火墻上的實施防火墻雙機熱備份組網(wǎng)方式USG的雙機熱備份，可以工作在路由模式和混合模式兩種模式下：路由模式是指USG的業(yè)務端口和HRP備份通道接口均工作在路由模式下?；旌夏Ｊ绞侵窾SG的業(yè)務端口工作在透明模式下，而HRP備份通道接口工作在路由模式下。路由模式和混合模式都包含兩種組網(wǎng)方式：主備組網(wǎng)方式負載分擔組網(wǎng)方式路由模式-主備組網(wǎng)方式防火墻設備管理組成員優(yōu)先級狀態(tài)會話量AMaster備份組1，2，3高主用100%BSlave備份組1，2，3低備用0USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0PC1PC2路由模式-主備組網(wǎng)方式配置參考1USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0[USG2100]interfaceGigabitEthernet1/0/0[USG2100-GigabitEthernet1/0/0]ipaddress10.100.10.224

[USG2100-GigabitEthernet1/0/0]vrrpvrid1virtual-ip10.100.10.1master[USG2100]interfaceGigabitEthernet3/0/0[USG2100-GigabitEthernet3/0/0]ipaddress202.38.10.224

[USG2100-GigabitEthernet3/0/0]vrrpvrid2virtual-ip202.38.10.1master#將GE1/0/0和GE3/0/0加入到對應的VRRP備份組中。路由模式-主備組網(wǎng)方式配置參考2USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0[USG2100]

interfaceGigabitEthernet2/0/0[USG2100-GigabitEthernet2/0/0]ipaddress10.100.20.224[USG2100-GigabitEthernet2/0/0]vrrpvrid3virtual-ip10.100.20.1master#將GE2/0/0加入到對應的VRRP備份組中。

[USG2100]

hrpinterfaceGigabitEthernet2/0/0[USG2100]

hrpenable#指定HRP的備份通道并使能HRP功能。路由模式-主備組網(wǎng)方式配置參考3USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0HRP_M[USG2100]hrpauto-syncconfigHRP_M[USG2100]policyinterzonetrustuntrustoutboundHRP_M[USG2100-policy-interzone-trust-untrust-outbound]

policy1HRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]actionpermitHRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]policysource10.100.10.0mask24#使能配置命令自動備份功能并添加區(qū)域間包過濾規(guī)則。

路由模式-主備組網(wǎng)方式配置驗證USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0HRP_M[USG2100]displayhrpstate

Thefirewall'sconfigstateis:MASTERCurrentstateofvirtualroutersconfiguredasmaster:GigabitEthernet1/0/0vrid1:masterGigabitEthernet3/0/0vrid2:masterGigabitEthernet2/0/0vrid3:master#在USGA上執(zhí)行displayhrpstate命令，檢查當前HRP的狀態(tài)，顯示以上信息表示HRP建立成功。

路由模式-負載分擔組網(wǎng)方式防火墻設備管理組備份組優(yōu)先級狀態(tài)會話量AMaster備份組1，2，3高主用部分BSlave備份組1，2，3低備用0ASlave備份組4，5，6低備用0BMaster備份組4，5，6高主用部分Master/Slave管理組USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5PC1PC2USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組Master/Slave管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5路由模式-負載分擔組網(wǎng)方式配置參考1[USG2100]interfaceGigabitEthernet1/0/0

[USG2100-GigabitEthernet1/0/0]ipaddress10.100.10.324[USG2100-GigabitEthernet1/0/0]vrrpvrid1virtual-ip10.100.10.1master[USG2100-GigabitEthernet1/0/0]vrrpvrid4virtual-ip10.100.10.2slave[USG2100]interfaceGigabitEthernet3/0/0[USG2100-GigabitEthernet3/0/0]ipaddress202.38.10.324

[USG2100-GigabitEthernet3/0/0]vrrpvrid2virtual-ip202.38.10.1master

[USG2100-GigabitEthernet3/0/0]vrrpvrid5virtual-ip202.38.10.2slave

將接口GE1/0/0和GE3/0/0加入到對應的VRRP備份組中路由模式-負載分擔組網(wǎng)方式配置參考2USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組Master/Slave管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5[USG2100]interfaceGigabitEthernet2/0/0[USG2100-GigabitEthernet2/0/0]ipaddress10.100.20.324[USG2100-GigabitEthernet2/0/0]vrrpvrid3virtual-ip10.100.20.1master[USG2100-GigabitEthernet2/0/0]vrrpvrid6virtual-ip10.100.20.2slave[USG2100]

hrpinterfaceGigabitEthernet2/0/0[USG2100]

hrpenable

#將GE1/0/0和GE3/0/0加入對應的備份組；指定HRP備份通道并使能HRP功能。

路由模式-負載分擔組網(wǎng)方式配置參考3USGATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組Master/Slave管理組備份組3USGBGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5HRP_M[USG2100]hrpauto-syncconfigHRP_M[USG2100]policyinterzonetrustuntrustoutboundHRP_M[USG2100-policy-interzone-trust-untrust-outbound]

policy1HRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]actionpermitHRP_M[USG2100-policy-interzone-trust-untrust-outbound-1]policysource10.100.10.0mask24#使能配置命令自動備份功能并添加區(qū)域間包過濾規(guī)則。路由模式-負載分擔組網(wǎng)方式配置驗證HRP_M[USG2100]dishrpstate

Thefirewall'sconfigstateis:MASTERCurrentstateofvirtualroutersconfiguredasmaster:GigabitEthernet3/0/0vrid2:masterGigabitEthernet2/0/0vrid3:masterGigabitEthernet1/0/0vrid1:masterCurrentstateofvirtualroutersconfiguredasslave:GigabitEthernet3/0/0vrid5:slaveGigabitEthernet2/0/0vrid6:slaveGigabitEthernet1/0/0vrid4:slave#在USGA上執(zhí)行displayhrpstate命令，檢查當前HRP的狀態(tài)。從以上顯示信息可以看出，在USGA上，VRRP備份組1、2、3屬于Master管理組；VRRP備份組4、5、6屬于Slave管理組。混合模式-主備組網(wǎng)方式上圖組網(wǎng)方式可以實現(xiàn)負載分擔嗎？G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1PC1PC2混合模式-主備組網(wǎng)方式配置參考1G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1[USG2100]interfaceGigabitEthernet0/0/1[USG2100-GigabitEthernet0/0/1]ipaddress10.100.20.224[USG2100-GigabitEthernet0/0/1]vrrpvrid1virtual-ip10.100.20.1master[USG2100]firewallzonedmz

[USG2100-zone-dmz]addinterfacegigabitethernet0/0/1

#配置GE0/0/1所屬的VRRP備份組和虛擬IP地址，并將其加入DMZ區(qū)域

混合模式-主備組網(wǎng)方式配置參考2G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1[USG2100]interfacegigabitethernet0/0/0

[USG2100-GigabitEthernet0/0/0]portswitch

[USG2100]interfacegigabitethernet0/0/2

[USG2100-GigabitEthernet0/0/2]portswitch#配置GE0/0/0和GE0/0/2工作在透明模式。

混合模式-主備組網(wǎng)方式配置參考3G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USGAUSGBSwitch1Switch2Switch3Switch4trustuntrust備份組1[USG2100]

vlan2[USG2100-vlan-2]portGigabitEthernet0/0/0

[USG2100-vlan-2]portGigabitEthernet0/0/2

[USG2100-vlan-2]hrptrackmaster