防火墙 f1060 vrrp注意事项请问有哪些

您好，请知：

可以参考如下配置举例：

1.22.7  HA联动VRRP主备模式中接口NAT功能典型配置举例

1. 组网需求

如图1-25所示，某公司以Device作为网络边界安全防护设备，连接公司内部网络和Internet。为提高业务稳定性，使用两台Device进行HA组网，Device A作为主设备，Device B作为备设备。当Device A或其链路发生故障时，由Device B接替Device A继续工作，保证业务不中断。同时需要在Device上配置动态NAT功能保证内网用户可以访问Internet，该公司拥有2.1.1.1到2.1.1.10十个外网IPv4地址。

2. 组网图

图1-25 HA联动VRRP主备模式中接口NAT功能组网图

‌

3. 配置步骤

(1)     配置主备模式的HA组网环境

# 将Device A和Device B组建成主备模式的HA环境，其具体配置步骤请参见“1.22.1  HA联动VRRP三层主备组网典型配置举例”中的相关内容，本举例不再赘述。

(2)     配置动态NAT

在此配置举例中，仅需要在主管理设备Device A上配置NAT的相关配置，Device A上的NAT配置会自动同步到从管理设备Device B。

# 配置NAT地址组1，其地址成员范围为2.1.1.5到2.1.1.10，并与VRRP备份组1绑定。

RBM_P<DeviceA> system-view

RBM_P[DeviceA] nat address-group 1

RBM_P[DeviceA-address-group-1] address 2.1.1.5 2.1.1.10

RBM_P[DeviceA-address-group-1] vrrp vrid 1

RBM_P[DeviceA-address-group-1] quit

# 在接口上配置出方向动态地址转换，允许使用地址组1中的地址进行源地址转换，并在转换过程中使用端口信息。

RBM_P[DeviceA] interface gigabitethernet 1/0/1

RBM_P[DeviceA-GigabitEthernet1/0/1] nat outbound address-group 1

RBM_P[DeviceA-GigabitEthernet1/0/1] quit

4. 验证配置

# 以上配置完成后，内网主机能够访问Internet。在Device A设备上查看如下显示信息，可以看到内网主机访问外网时生成的NAT会话信息。

RBM_P[DeviceA] display nat session verbose

Slot 1:

Initiator:

  Source      IP/port: 10.1.1.10/52082

  Destination IP/port: 202.38.1.10/80

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/2

  Source security zone: Trust

Responder:

  Source      IP/port: 202.38.1.10/80

  Destination IP/port: 2.1.1.5/1036

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/1

  Source security zone: Untrust

State: TCP_ESTABLISHED

Application: HTTP

Rule ID: 2

Rule name: 3

Start time: 2019-1-29 16:16:59  TTL: 9995s

Initiator->Responder:          551 packets      32547 bytes

Responder->Initiator:          956 packets    1385514 bytes

Total sessions found: 1

1.22.8  HA联动VRRP双主模式中接口NAT功能典型配置举例

1. 组网需求

如图1-26所示，某公司以Device作为网络边界安全防护设备，连接公司内部网络和Internet。为提高业务稳定性，使用两台Device进行HA组网，需要两台Device同时处理业务，提高业务处理能力。但是当Device A或其链路发生故障时，Device B可以接替Device A继续工作，保证业务不会中断。

同时需要在Device上配置动态NAT功能保证内网用户可以访问Internet，该公司拥有2.1.1.1到2.1.1.10十个外网IPv4地址。

2. 组网图

图1-26 HA联动VRRP双主模式中接口NAT功能组网图

‌

3. 配置步骤

(1)     配置双主模式的HA组网环境

# 将Device A和Device B组建成双主模式的HA环境，其具体配置步骤请参见“1.22.2  HA联动VRRP三层双主组网典型配置举例”中的相关内容，本举例不再赘述。

(2)     配置动态NAT

在此配置举例中，仅需要在主管理设备Device A上配置NAT的相关配置，Device A上的NAT配置会自动同步到从管理设备Device B。

# 配置NAT地址组1，其地址成员范围为2.1.1.5到2.1.1.7，并与VRRP备份组1绑定。

RBM_P<DeviceA> system-view

RBM_P[DeviceA] nat address-group 1

RBM_P[DeviceA-address-group-1] address 2.1.1.5 2.1.1.7

RBM_P[DeviceA-address-group-1] vrrp vrid 1

RBM_P[DeviceA-address-group-1] quit

# 配置NAT地址组2，其地址成员范围为2.1.1.8到2.1.1.10，并与VRRP备份组2绑定。

RBM_P[DeviceA] nat address-group 2

RBM_P[DeviceA-address-group-2] address 2.1.1.8 2.1.1.10

RBM_P[DeviceA-address-group-2] vrrp vrid 2

RBM_P[DeviceA-address-group-2] quit

# 配置ACL 3000，仅允许10.1.1.1/25网段的报文通过；配置ACL 3001，仅允许10.1.1.129/25网段的报文通过。

RBM_P[DeviceA] acl advanced 3000

RBM_P[DeviceA-ipv4-adv-3000] rule permit ip source 10.1.1.1 0.0.0.127

RBM_P[DeviceA-ipv4-adv-3000] quit

RBM_P[DeviceA] acl advanced 3001

RBM_P[DeviceA-ipv4-adv-3001] rule permit ip source 10.1.1.129 0.0.0.127

RBM_P[DeviceA-ipv4-adv-3001] quit

# 在接口上配置出方向动态地址转换，允许使用地址组1中的IPv4地址对匹配ACL 3000的报文进行源地址转换，并在转换过程中使用端口信息；允许使用地址组2中的IPv4地址对匹配ACL 3001的报文进行源地址转换，并在转换过程中使用端口信息。

RBM_P[DeviceA] interface gigabitethernet 1/0/1

RBM_P[DeviceA-GigabitEthernet1/0/1] nat outbound 3000 address-group 1

RBM_P[DeviceA-GigabitEthernet1/0/1] nat outbound 3001 address-group 2

RBM_P[DeviceA-GigabitEthernet1/0/1] quit

4. 验证配置

# 以上配置完成后，内网主机Host 1能够通过Device A访问Internet。在Device A设备上查看如下显示信息，可以看到内网主机访问外网时生成的NAT会话信息。

RBM_P[DeviceA] display nat session verbose

Slot 1:

Initiator:

  Source      IP/port: 10.1.1.100/52082

  Destination IP/port: 202.38.1.10/80

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/2

  Source security zone: Trust

Responder:

  Source      IP/port: 202.38.1.10/80

  Destination IP/port: 2.1.1.5/1036

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/1

  Source security zone: Untrust

State: TCP_ESTABLISHED

Application: HTTP

Rule ID: 2

Rule name: 3

Start time: 2019-1-29 16:16:59  TTL: 9995s

Initiator->Responder:          551 packets      32547 bytes

Responder->Initiator:          956 packets    1385514 bytes

Total sessions found: 1

# 以上配置完成后，内网主机Host 3能够通过Device B访问Internet。在Device B设备上查看如下显示信息，可以看到内网主机访问外网时生成的NAT会话信息。

RBM_S[DeviceB] display nat session verbose

Slot 1:

Initiator:

  Source      IP/port: 10.1.1.200/52082

  Destination IP/port: 202.38.1.10/80

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface:

  Source security zone: Trust

Responder:

  Source      IP/port: 202.38.1.10/80

  Destination IP/port: 2.1.1.8/1036

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface:

  Source security zone: Untrust

State: TCP_ESTABLISHED

Application: HTTP

Rule ID: 2

Rule name: 3

Start time: 2019-1-29 16:17:59  TTL: 9995s

Initiator->Responder:          551 packets      32547 bytes

Responder->Initiator:          956 packets    1385514 bytes

Total sessions found: 1

1.22.9  HA联动VRRP主备模式中全局NAT功能典型配置举例

1. 组网需求

如图1-27所示，某公司以Device作为网络边界安全防护设备，连接公司内部网络和Internet。为提高业务稳定性，使用两台Device进行HA组网，Device A作为主设备，Device B作为备设备。当Device A或其链路发生故障时，由Device B接替Device A继续工作，保证业务不中断。同时需要在Device上配置动态NAT功能保证内网用户可以访问Internet，该公司拥有2.1.1.1到2.1.1.10十个外网IPv4地址。

2. 组网图

图1-27 HA联动VRRP主备模式中全局NAT功能组网图

‌

3. 配置步骤

(1)     配置主备模式的HA组网环境

# 将Device A和Device B组建成主备模式的HA环境，其具体配置步骤请参见“1.22.1  HA联动VRRP三层主备组网典型配置举例”中的相关内容，本举例不再赘述。

(2)     配置全局NAT

在此配置举例中，仅需要在主管理设备Device A上进行NAT的相关配置，Device A上的NAT配置会自动同步到从管理设备Device B。

# 配置NAT地址组1，其地址成员范围为2.1.1.5到2.1.1.10，并与VRRP备份组1绑定。

RBM_P<DeviceA> system-view

RBM_P[DeviceA] nat address-group 1

RBM_P[DeviceA-address-group-1] address 2.1.1.5 2.1.1.10

RBM_P[DeviceA-address-group-1] vrrp vrid 1

RBM_P[DeviceA-address-group-1] quit

# 创建全局NAT规则，使用地址组1中的地址对内网用户访问Internet的流量进行源地址转换，并在转换过程中使用端口信息。

RBM_P[DeviceA] nat global-policy

RBM_P[DeviceA-nat-global-policy] rule name rule1

RBM_P[DeviceA-nat-global-policy-rule1] source-zone Trust

RBM_P[DeviceA-nat-global-policy-rule1] destination-zone Untrust

RBM_P[DeviceA-nat-global-policy-rule1] source-ip subnet 10.1.1.0 24

RBM_P[DeviceA-nat-global-policy-rule1] action snat address-group 1 vrrp 1

RBM_P[DeviceA-nat-global-policy-rule1] quit

RBM_P[DeviceA-nat-global-policy] quit

4. 验证配置

# 以上配置完成后，内网主机能够访问Internet。在Device A设备上查看如下显示信息，可以看到内网主机访问外网时生成的NAT会话信息。

RBM_P[DeviceA] display nat session verbose

Slot 1:

Initiator:

  Source      IP/port: 10.1.1.10/52082

  Destination IP/port: 202.38.1.10/80

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/2

  Source security zone: Trust

Responder:

  Source      IP/port: 202.38.1.10/80

  Destination IP/port: 2.1.1.5/1036

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/1

  Source security zone: Untrust

State: TCP_ESTABLISHED

Application: HTTP

Rule ID: 2

Rule name: 3

Start time: 2019-1-29 16:16:59  TTL: 9995s

Initiator->Responder:          551 packets      32547 bytes

Responder->Initiator:          956 packets    1385514 bytes

Total sessions found: 1

1.22.10  HA联动VRRP双主模式中全局NAT功能典型配置举例

1. 组网需求

如图1-28所示，某公司以Device作为网络边界安全防护设备，连接公司内部网络和Internet。为提高业务稳定性，使用两台Device进行HA组网，需要两台Device同时处理业务，提高业务处理能力。但是当Device A或其链路发生故障时，Device B可以接替Device A继续工作，保证业务不会中断。

同时需要在Device上配置动态NAT功能保证内网用户可以访问Internet，该公司拥有2.1.1.1到2.1.1.10十个外网IPv4地址。

2. 组网图

图1-28 HA联动VRRP双主模式中全局NAT功能组网图

‌

3. 配置步骤

(1)     配置双主模式的HA组网环境

# 将Device A和Device B组建成双主模式的HA环境，其具体配置步骤请参见“1.22.2  HA联动VRRP三层双主组网典型配置举例”中的相关内容，本举例不再赘述。

(2)     配置全局NAT

在此配置举例中，仅需要在主管理设备Device A上进行NAT的相关配置，Device A上的NAT配置会自动同步到从管理设备Device B。

# 配置NAT地址组1，其地址成员范围为2.1.1.5到2.1.1.7，并与VRRP备份组1绑定。

RBM_P<DeviceA> system-view

RBM_P[DeviceA] nat address-group 1

RBM_P[DeviceA-address-group-1] address 2.1.1.5 2.1.1.7

RBM_P[DeviceA-address-group-1] vrrp vrid 1

RBM_P[DeviceA-address-group-1] quit

# 配置NAT地址组2，其地址成员范围为2.1.1.8到2.1.1.10，并与VRRP备份组2绑定。

RBM_P[DeviceA] nat address-group 2

RBM_P[DeviceA-address-group-2] address 2.1.1.8 2.1.1.10

RBM_P[DeviceA-address-group-2] vrrp vrid 2

RBM_P[DeviceA-address-group-2] quit

# 创建全局NAT规则rule1，使用地址组1中的地址对10.1.1.1/25网段用户访问Internet的流量进行源地址转换，并在转换过程中使用端口信息。

RBM_P[DeviceA] nat global-policy

RBM_P[DeviceA-nat-global-policy] rule name rule1

RBM_P[DeviceA-nat-global-policy-rule1] source-zone Trust

RBM_P[DeviceA-nat-global-policy-rule1] destination-zone Untrust

RBM_P[DeviceA-nat-global-policy-rule1] source-ip subnet 10.1.1.1 25

RBM_P[DeviceA-nat-global-policy-rule1] action snat address-group 1 vrrp 1

RBM_P[DeviceA-nat-global-policy-rule1] quit

# 创建全局NAT规则rule2，使用地址组2中的地址对10.1.1.129/25网段用户访问Internet的流量进行源地址转换，并在转换过程中使用端口信息。

RBM_P[DeviceA-nat-global-policy] rule name rule2

RBM_P[DeviceA-nat-global-policy-rule2] source-zone Trust

RBM_P[DeviceA-nat-global-policy-rule2] destination-zone Untrust

RBM_P[DeviceA-nat-global-policy-rule2] source-ip subnet 10.1.1.129 25

RBM_P[DeviceA-nat-global-policy-rule2] action snat address-group 2 vrrp 2

RBM_P[DeviceA-nat-global-policy-rule2] quit

RBM_P[DeviceA-nat-global-policy] quit

4. 验证配置

# 以上配置完成后，内网主机Host 1能够通过Device A访问Internet。在Device A设备上查看如下显示信息，可以看到内网主机访问外网时生成的NAT会话信息。

RBM_P[DeviceA] display nat session verbose

Slot 1:

Initiator:

  Source      IP/port: 10.1.1.100/52082

  Destination IP/port: 202.38.1.10/80

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/2

  Source security zone: Trust

Responder:

  Source      IP/port: 202.38.1.10/80

  Destination IP/port: 2.1.1.5/1036

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/1

  Source security zone: Untrust

State: TCP_ESTABLISHED

Application: HTTP

Rule ID: 2

Rule name: 3

Start time: 2019-1-29 16:16:59  TTL: 9995s

Initiator->Responder:          551 packets      32547 bytes

Responder->Initiator:          956 packets    1385514 bytes

Total sessions found: 1

# 以上配置完成后，内网主机Host 3能够通过Device B访问Internet。在Device B设备上查看如下显示信息，可以看到内网主机访问外网时生成的NAT会话信息。

RBM_S[DeviceB] display nat session verbose

Slot 1:

Initiator:

  Source      IP/port: 10.1.1.200/52082

  Destination IP/port: 202.38.1.10/80

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface:

  Source security zone: Trust

Responder:

  Source      IP/port: 202.38.1.10/80

  Destination IP/port: 2.1.1.8/1036

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface:

  Source security zone: Untrust

State: TCP_ESTABLISHED

Application: HTTP

Rule ID: 2

Rule name: 3

Start time: 2019-1-29 16:17:59  TTL: 9995s

Initiator->Responder:          551 packets      32547 bytes

Responder->Initiator:          956 packets    1385514 bytes

Total sessions found: 1