V7 防火墙虚拟化（IRF2）配置举例（命令行）

目录

1 配置需求及说明... 1

1.1 适用的产品系列... 1

1.2 IRF2配置限制... 2

1.2.1 配置IRF2前请阅读下表查询所购买的设备是否支持IRF？... 2

1.2.2 型号及版本限制... 2

1.3 配置需求及实现的效果... 2

2 组网图... 3

3 配置步骤... 3

3.1 主防火墙配置... 3

3.1.1 配置主防火墙的优先级为10. 3

3.1.2 将需要进行堆叠配置的端口1/0/14与1/0/15接口加入IRF端口... 3

3.1.3 配置完成后激活IRF配置... 3

3.2 备防火墙配置... 4

3.2.1 进入备设备命令行将备设备成员ID修改为2. 4

3.2.2 成员ID修改为2后需要重启设备才能生效... 4

3.2.3 将需要进行堆叠配置的端口,2/0/14与2/0/15接口加入IRF端口... 4

3.2.4 配置完成后激活IRF配置... 4

4 检验配置结果... 4

4.1.1 查看IRF堆叠状态... 4

4.1.2 注意事项... 5

1 配置需求及说明

1.1  适用的产品系列

本案例适用于软件平台为Comware V7系列防火墙：F100-X-G2、F1000-X-G2、F100-X-WiNet、F1000-AK、F10X0等。

1.2  IRF2配置限制

1.2.1  配置IRF2前请阅读下表查询所购买的设备是否支持IRF？

1.2.2  型号及版本限制

1、 组成IRF所有成员设备的硬件型号及软件版本必须相同。

2、 一个IRF中允许加入的成员设备的最大数量为2。

3、 防火墙可以使用10/100/1000Mbps千兆以太网口、 SFP口、SFP+口进行堆叠，连接线缆则可以使用5类或6类以上网线、光纤进行连接。

注：其他注意事项请参考官网手册。

1.3  配置需求及实现的效果

某单位购买两台防火墙用于防护内网服务器使用，为了简化网络架构和增强组网可靠性需要将两台防火墙虚拟化为一台防火墙使用。

2 组网图

组网说明：将主防火墙的14与15接口和备用防火墙14与15接口互联组成IRF链路。

3 配置步骤

3.1  主防火墙配置

3.1.1  配置主防火墙的优先级为10

<H3C>system-view

[H3C]irf member 1 priority 10

3.1.2  将需要进行堆叠配置的端口1/0/14与1/0/15接口加入IRF端口

物理端口加入IRF端口时需要先关闭端口，添加到IRF端口后再开启端口。

[H3C]interface range GigabitEthernet 1/0/14 to GigabitEthernet 1/0/15

[H3C-if-range]shutdown

[H3C-if-range]quit

[H3C]irf-port 1/2

[H3C-irf-port1/2]port group interface GigabitEthernet 1/0/14

[H3C-irf-port1/2]port group interface GigabitEthernet 1/0/15

[H3C-irf-port1/2]quit

[H3C]interface range GigabitEthernet 1/0/14 to GigabitEthernet 1/0/15

[H3C-if-range]undo shutdown

[H3C-if-range]quit

3.1.3  配置完成后激活IRF配置

[H3C]irf-port-configuration active

3.2  备防火墙配置

3.2.1  进入备设备命令行将备设备成员ID修改为2

将备设备成员ID配置为2，出现是否切换的提示后输入“Y”。

<H3C>system-view

[H3C]irf member 1 renumber 2

Renumbering the member ID may result in configuration change or loss. Continue?[Y/N]:Y

[H3C]quit

3.2.2  成员ID修改为2后需要重启设备才能生效

输入reboot命令后设备会提示是否保存配置，输入“Y”，后面会出现是否重启设备提示，输入“Y”。

<H3C>reboot

Start to check configuration with next startup configuration file, please wait.........DONE!

Current configuration may be lost after the reboot, save current configuration? [Y/N]:Y

This command will reboot the device. Continue? [Y/N]:Y

3.2.3  将需要进行堆叠配置的端口,2/0/14与2/0/15接口加入IRF端口

重启后设备成员ID变为2，物理端口加入IRF端口时需要先关闭端口，添加到IRF端口后再开启端口。

[H3C]interface range GigabitEthernet 2/0/14 to GigabitEthernet 2/0/15

[H3C-if-range]shutdown

[H3C-if-range]quit

[H3C]irf-port 2/1

[H3C-irf-port2/1]port group interface GigabitEthernet 2/0/14

[H3C-irf-port2/1]port group interface GigabitEthernet 2/0/15

[H3C-irf-port2/1]quit

[H3C]interface range GigabitEthernet 2/0/14 to GigabitEthernet 2/0/15

[H3C-if-range]undo shutdown

[H3C-if-range]quit

3.2.4  配置完成后激活IRF配置

使用“irf-port-configuration active”命令激活IRF配置，激活后备防火墙将重启，重启后加入堆叠组成为主防火墙的一部分。

[H3C]irf-port-configuration active

4 检验配置结果

4.1.1  查看IRF堆叠状态

在命令行输入“display  irf”，可以看到主设备成员ID为1，优先级为10。

[H3C]display  irf

MemberID    Role    Priority  CPU-Mac         Description

 *+1        Master  10        3c8c-40b4-b9f0  ---

   2        Standby 1         84d9-318b-eb81  ---

--------------------------------------------------

 * indicates the device is the master.

 + indicates the device through which the user logs in.

 The bridge MAC of the IRF is: 3c8c-40b4-b9ee

 Auto upgrade                : yes

 Mac persistent              : 6 min

 Domain ID                   : 0

4.1.2  注意事项

1、在堆叠配置中IRF端口必须交叉互联，如果使用错误的连接方法堆叠将无法建立。

正确的端口连接关系：

IRF 1/1 连接  IRF 2/2、IRF 1/2 连接  IRF 2/1

错误的端口连接关系：

IRF 1/1 连接  IRF 2/1、IRF 1/2 连接  IRF 2/2