【华为】防火墙双击热备-之-主备模式-单外网线路-分享

FW1和FW2的业务接口都工作在三层,上行连接二层交换机。上行交换机连接运营商的接入点,运营商为企业分配的IP地址为100.100.100.2。现在希望FW1和FW2以主备备份方式工作。正常情况下,流量通过FW1转发;当FW1出现故障时,流量通过FW2转发,保证业务不中断。

思考:

1、客户项目只有一根互联网线路、这种情况怎么接防火墙?

使用一台扩展交换机计入互联线路、也可以使用核心交换机复用

2、客户互联网只有一个公网ip、这种情况防火墙上公网ip地址怎么配置

这种情况防火墙接口ip只能配置一个私网ip、VRRP虚拟出公网对接ip

3、防火墙模式选择、主备模式还是负载分担模式

因为只有一条公网这种模式只能选择主备模式

|---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| 1. 完成网络基本配置。 | |
| FW1 | FW2 |
| # 配置FW1和FW2的接口地址 | |
| interface GigabitEthernet1/0/2 undo shutdown ip address 1.1.1.1 255.255.255.252 service-manage ping permit # interface GigabitEthernet1/0/3 undo shutdown ip address 172.16.1.3 255.255.255.0 service-manage ping permit # interface Eth-Trunk1 ip address 10.1.1.1 255.255.255.252 | interface GigabitEthernet1/0/2 undo shutdown ip address 1.1.1.2 255.255.255.252 service-manage ping permit # interface GigabitEthernet1/0/3 undo shutdown ip address 172.16.1.4 255.255.255.0 service-manage ping permit # interface Eth-Trunk1 ip address 10.1.1.2 255.255.255.252 |
| 各接口加入相应的安全区域。 | |
| firewall zone trust set priority 85 add interface GigabitEthernet0/0/0 add interface GigabitEthernet1/0/3 # firewall zone name HA set priority 60 add interface Eth-Trunk1 | firewall zone trust set priority 85 add interface GigabitEthernet0/0/0 add interface GigabitEthernet1/0/3 # firewall zone name HA set priority 60 add interface Eth-Trunk1 |
| 在fw1和FW2上配置缺省路由,下一跳为100.100.100.1,使内网用户的流量可以正常转发至Router。 | |
| ip route-static 0.0.0.0 0.0.0.0 100.100.100.1 | ip route-static 0.0.0.0 0.0.0.0 100.100.100.1 |
| 配置VRRP备份组 | |
| interface GigabitEthernet1/0/2 vrrp vrid 1 virtual-ip 100.100.100.2 255.255.255.0 active # interface GigabitEthernet1/0/3 vrrp vrid 2 virtual-ip 172.16.1.1 active | interface GigabitEthernet1/0/2 vrrp vrid 1 virtual-ip 100.100.100.2 255.255.255.0 standby # interface GigabitEthernet1/0/3 vrrp vrid 2 virtual-ip 172.16.1.1 standby |
| | |
| 指定心跳接口,配置认证密钥,并启用双机热备功能 | |
| hrp enable hrp interface Eth-Trunk1 remote 10.1.1.2 | hrp enable hrp interface Eth-Trunk1 remote 10.1.1.1 |
| 在fw1主上配置安全策略。双机热备状态成功建立后,FW1的安全策略配置会自动备份到FW2备上。 | |
| # 配置安全策略,允许内网用户访问Internet。 | |
| security-policy rule name local_to_YD source-zone local action permit rule name TRUST_TO_YD source-zone trust destination-zone YD action permit nat-policy rule name TO_INTERNET source-zone trust destination-zone YD action source-nat address-group GW nat address-group GW 0 mode pat section 0 100.100.100.2 100.100.100.2 | |
| OSPF 配置 | |
| ospf 1 default-route-advertise cost 500 type 1 area 0.0.0.0 network 172.16.1.3 0.0.0.0 # | ospf 1 default-route-advertise cost 500 type 1 area 0.0.0.0 network 172.16.1.4 0.0.0.0 # |
| 核心交换机ospf配置 | |
| ospf 1 area 0.0.0.0 network 172.16.20.1 0.0.0.0 network 172.16.1.2 0.0.0.0 | |

验证:

客户端PC可以访问互联网

故障演练:

在核心上关闭连接FW1的接口g0/0/1、流量自动切换到备FW2防火墙上

防火FW1由mastet变为stadby

相关推荐
仙云Q12几秒前
IP协议解析:从寻址到路由
网络
万象.10 分钟前
Linux网络
linux·网络
期待未来的男孩1 小时前
第五天上课 SSLPolicy策略和Network Discovery技术
网络·防火墙
是阿建吖!1 小时前
【Linux | 网络】传输层(UDP和TCP) - 两万字详细讲解!!
linux·网络·udp·tcp
刺猬-----2 小时前
OSPF多区域
网络
chirrupy_hamal3 小时前
如何提升 TCP 传输数据的性能?详解
linux·网络·tcp
源远流长jerry3 小时前
网络编程概述与UDP编程
linux·服务器·网络·网络协议·udp
程序员良辰3 小时前
网络协议:计算机世界的“交通规则“与“社交礼仪“
网络·网络协议
大锦终5 小时前
【Linux】进程状态
linux·运维·服务器·网络
清 晨12 小时前
剖析 Web3 与传统网络模型的安全框架
网络·安全·web3·facebook·tiktok·instagram·clonbrowser