麻烦有那位大神能够指点一下?
1.防火墙需要创建2个不同的冗余组和冗余接口吗?
2.核心交换机 SW1-SW2对应的接口应该要怎么配置是(acc口还是trunk口?需要聚合吗?)
基本组网信息,现有核心交换机2台,防火墙2台都做IRF堆叠;正常流量经过主防火墙转发 ,当主防火墙出现问题是,再由备防火墙转发。
(0)
最佳答案
上行口reth口,下行口也可以用reth ,也可以参考下面用聚合方式。
参考透明主备案例:https://zhiliao.h3c.com/Theme/details/22270
某局点部署安全生产专网,业务网关在下联汇聚交换机上,在网关和上联核心交换机中间部署防火墙作安全审计,要求做纯二层透传,并且结合IRF和冗余组提高网络可靠性。
1、FW1060设备做纯二层透传,做IRF;
2、在正常情况下,FW1060主接口被聚合口选中,同时为冗余组的主设备,流量走FW1060主;
3、当主FW1060的链路出现故障时,聚合口内成员口发生切换,冗余组的主备发生联动切换,流量切至备FW1060
4、当主FW1060的链路故障恢复后,由主FW1060继续承担流量转发功能;
配置思路
1、两台F1060做堆叠,与下游设备单臂互联,配置为纯二层;
2、互联链路可以是物理链路、子接口、vlan-interface,两台设备各出一个接口组成聚合口,设置聚合组中的最大选中端口数为1,同时设置主设备接口的聚合成员优先级高,此时备机的聚合成员接口down;
3、上下游设备通过活动成员链路上送主设备;
4、配置冗余组,主备设备track本设备聚合成员接口;
5、上下行设备配置OSPF的情况下,单纯聚合口切换不会导致OSPF路由重新收敛。
一、配置核心交换机
(1) 创建聚合口,配置物理口并加入到聚合口中
# 创建三层路由聚合口,配置IP地址。
<H3C> system-view
[H3C] interface Route-Aggregation 1
[H3C-Route-Aggregation1] ip address 172.19.47.1 255.255.255.252
# 配置聚合链路成员口最大选中数为1。
[H3C-Route-Aggregation1] link-aggregation selected-port maximum 1
[H3C-Route-Aggregation1] quit
# 配置物理接口。
[H3C] interface GigabitEthernet 1/0/12
[H3C-GigabitEthernet1/0/12] port link-mode route
# 配置高优先级10。
[H3C-GigabitEthernet1/0/12] link-aggregation port-priority 10
# 加入三层聚合口中
[H3C-GigabitEthernet1/0/12] port link-aggregation group 1
# 配置另一个物理接口。
[H3C]interface GigabitEthernet1/0/13
[H3C-GigabitEthernet1/0/13] port link-mode route
# 配置低优先级100。
[H3C-GigabitEthernet1/0/13] link-aggregation port-priority 100
# 加入三层聚合口1中。
[H3C-GigabitEthernet1/0/12] port link-aggregation group 1
[H3C-GigabitEthernet1/0/12] quit
(2) 配置本地LoopBack口。
[H3C] interface LoopBack1
[H3C-LoopBack1] ip address 192.168.0.1 255.255.255.255
[H3C-LoopBack1] quit
(3) 配置OSPF进程并把对应网段路由加入OSPF进程中。
[H3C] ospf 47
[H3C-ospf-47] area 0.0.0.0
[H3C-ospf-47-area-0.0.0.0] network 172.19.47.1 0.0.0.3
[H3C-ospf-47-area-0.0.0.0] network 192.168.0.1 0.0.0.0
[H3C-ospf-47-area-0.0.0.0] quit
[H3C-ospf-47] quit
二、配置防火墙
(1)FW做堆叠和BFD MAD(略)
(2)开启会话同步功能
[H3C] session synchronization enable
(3)创建聚合口,配置物理口并加入到对应聚合口中
# 创建VLAN 100,FW与上下行设备连接的端口做二层透传。
[H3C] vlan 100
# 创建二层聚合口1,把FW与上行SW相连的端口加入该聚合口。
[H3C] interface Bridge-Aggregation1
[H3C-Bridge-Aggregation1] port access vlan 100
# 配置聚合链路成员口最大选中数为1。
[H3C-Bridge-Aggregation1] link-aggregation selected-port maximum 1
# 把对应物理口加入二层聚合口1中,并配置链路聚合端口的优先级。
[H3C] interface GigabitEthernet1/0/13
[H3C-gigabitethernet-1/0/13] port link-mode bridge
[H3C-gigabitethernet-1/0/13] port access vlan 100
# 配置端口高优先级10。
[H3C-gigabitethernet-1/0/13] link-aggregation port-priority 10
# 加入链路聚合口1。
[H3C-gigabitethernet-1/0/13] port link-aggregation group 1
# 配置备设备上与上行SW连接的端口,加入VLAN 100。
[H3C] interface GigabitEthernet2/0/13
[H3C-gigabitethernet-2/0/13] port link-mode bridge
[H3C-gigabitethernet-2/0/13] port access vlan 100
# 配置低优先级100。
[H3C-gigabitethernet-2/0/13] link-aggregation port-priority 100
# 加入链路聚合口1。
[H3C-gigabitethernet-2/0/13] port link-aggregation group 1
[H3C-gigabitethernet-2/0/13] quit
# 同理,创建二层聚合口2。
[H3C] interface Bridge-Aggregation2
[H3C-Bridge-Aggregation2] port access vlan 100
# 配置聚合链路成员口最大选中数为1。
[H3C-Bridge-Aggregation1] link-aggregation selected-port maximum 1
# 把主FW与下行SW相连的端口加入该聚合口2,并配置成员端口为高优先级。
[H3C] interface GigabitEthernet1/0/16
[H3C-gigabitethernet-1/0/16] port link-mode bridge
[H3C-gigabitethernet-1/0/16] port access vlan 100
[H3C-gigabitethernet-1/0/16] link-aggregation port-priority 10
[H3C-gigabitethernet-1/0/16] port link-aggregation group 2
[H3C-gigabitethernet-1/0/16] quit
# 把备FW与下行SW相连的端口加入该聚合口2,并配置成员端口为低优先级。
[H3C]interface GigabitEthernet2/0/16
[H3C-gigabitethernet-2/0/16] port link-mode bridge
[H3C-gigabitethernet-2/0/16] port access vlan 100
[H3C-gigabitethernet-2/0/16] link-aggregation port-priority 100
[H3C-gigabitethernet-2/0/16] port link-aggregation group 2
[H3C-gigabitethernet-2/0/16] quit
(4)配置安全域
具体安全域配置不做详细赘述,主体思路是将上联口加入trust域,将下联口加入untrust域,但是要注意把MAD BFD检测的vlan-interface1000加入trust域,否则MAD BFD检测报文无法通过,导致检测失败。
(5)配置track项,track物理接口
[H3C] track 7 interface GigabitEthernet2/0/13 physical
[H3C] track 8 interface GigabitEthernet2/0/16 physical
[H3C] track 9 interface GigabitEthernet1/0/13 physical
[H3C] track 10 interface GigabitEthernet1/0/16 physical
(6)配置冗余组
[H3C] redundancy group 2
# 添加node1。
[H3C-redundancy-group-2] node 1
[H3C-redundancy-group-2-node-1] bind slot 1
# 配置为高优先级。
[H3C-redundancy-group-2-node-1] priority 100
# node1节点里track对应接口。
[H3C-redundancy-group-2-node-1] track 9 interface GigabitEthernet1/0/13
[H3C-redundancy-group-2-node-1] track 10 interface GigabitEthernet1/0/16
[H3C-redundancy-group-2-node-1] node-member interface GigabitEthernet1/0/13
[H3C-redundancy-group-2-node-1] node-member interface GigabitEthernet1/0/16
[H3C-redundancy-group-2-node-1] quit
# 添加node2。
[H3C-redundancy-group-2] node 2
[H3C-redundancy-group-2-node-2] bind slot 2
# 配置为低优先级。
[H3C-redundancy-group-2-node-2] priority 50
# node2节点里track对应接口。
[H3C-redundancy-group-2-node-2] track 7 interface GigabitEthernet2/0/13
[H3C-redundancy-group-2-node-2] track 8 interface GigabitEthernet2/0/16
[H3C-redundancy-group-2-node-2] node-member interface GigabitEthernet2/0/13
[H3C-redundancy-group-2-node-2] node-member interface GigabitEthernet2/0/16
[H3C-redundancy-group-2-node-2] quit
[H3C-redundancy-group-2] quit
三、配置汇聚交换机
(1)配置IRF和BFD MAD(略)
(2)接口配置,包括二层聚合口和成员端口配置
# 创建vlan200。
<H3C> system-view
[H3C] vlan 200
# 创建vlan-ingterface200。
[H3C]interface Vlan-interface200
[H3C-Vlan-interface200] ip address 172.19.47.2 255.255.255.252
[H3C-Vlan-interface200] quit
# 创建二层聚合口2,并加入vlan200,配置链路聚合最大选中端口数为1。
[H3C] interface Bridge-Aggregation2
[H3C-Bridge-Aggregation2] port access vlan 200
[H3C-Bridge-Aggregation2] link-aggregation selected-port maximum 1
# 配置LoopBack1地址。
[H3C] interface LoopBack1
[H3C-LoopBack1] ip address 192.168.0.2 255.255.255.255
# 添加聚合成员口,配置成员口高低优先级。
[H3C] interface GigabitEthernet1/1/3
[H3C-GigabitEthernet1/1/3] port link-mode bridge
[H3C-GigabitEthernet1/1/3] port access vlan 200
# 主SW与主FW连接的接口配置为高优先级。
[H3C-GigabitEthernet1/1/3] link-aggregation port-priority 10
[H3C-GigabitEthernet1/1/3] port link-aggregation group 2
[H3C-GigabitEthernet1/1/3] quit
[H3C] interface GigabitEthernet2/1/3
[H3C-GigabitEthernet2/1/3] port link-mode bridge
[H3C-GigabitEthernet2/1/3] port access vlan 200
# 备SW与备FW连接的接口配置为低优先级。
[H3C-GigabitEthernet2/1/3] link-aggregation port-priority 100
[H3C-GigabitEthernet2/1/3] port link-aggregation group 2
[H3C-GigabitEthernet2/1/3] quit
(1) 配置ospf进程并把对应网段路由加入OSPF进程中
[H3C] ospf 47
[H3C-ospf-47] area 0.0.0.0
[H3C-ospf-47-area-0.0.0.0] network 172.19.47.2 0.0.0.3
[H3C-ospf-47-area-0.0.0.0] network 192.168.0.2 0.0.0.0
[H3C-ospf-47-area-0.0.0.0] quit
1、IRF的配置中,做BFD MAD检测的vlan-interface1000要加入安全域trust中,否则MAD BFD检测报文不能通过防火墙,MAD BFD检测失败,无法正常工作;
2、防火墙设备上的二层聚合口及其成员口要带具体的vlan加入到对应的安全域中,否则报文无法通过防火墙;
3、防火墙做IRF,要开启会话同步功能。
(0)
1.防火墙需要创建2个不同的冗余组和冗余接口吗?
一个冗余组,下面芳两个冗余口,物理接口做三层聚合加入到冗余口里面
2.核心交换机 SW1-SW2对应的接口应该要怎么配置是(acc口还是trunk口?需要聚合吗?)
SW1和SW2的接口加入对应的VLAN,不需要做聚合。
按照下面这个配置。只不过案例里面的接口配置聚合就行,看懂了就可以操作,不需要改接口优先级,改接口优先级只是透明部署使用。
(1) 配置各接口的IP地址、路由、安全域及域间策略保证网络可达,具体配置过程略。
(2) 配置IRF
IRF的配置请参见“2.13.2 工作在三层,上下行分别连接一台设备”。
(3) 配置以太网冗余接口
# 创建Reth1,IP地址为1.1.1.2/24,成员接口为GigabitEthernet1/0/1和GigabitEthernet2/0/1,其中GigabitEthernet1/0/1的优先级为255,GigabitEthernet2/0/1的优先级为50。
<Sysname> system-view
[Sysname] interface reth 1
[Sysname-Reth1] ip address 1.1.1.2 24
[Sysname-Reth1] member interface gigabitethernet 1/0/1 priority 255
[Sysname-Reth1] member interface gigabitethernet 2/0/1 priority 50
[Sysname-Reth1] quit
# 创建Reth2,IP地址为2.2.2.2/24,成员接口为GigabitEthernet1/0/2和GigabitEthernet2/0/2,其中GigabitEthernet1/0/2的优先级为255,GigabitEthernet2/0/2的优先级为50。
[Sysname] interface reth 2
[Sysname-Reth2] ip address 2.2.2.2 24
[Sysname-Reth2] member interface gigabitethernet 1/0/2 priority 255
[Sysname-Reth2] member interface gigabitethernet 2/0/2 priority 50
[Sysname-Reth2] quit
(4) 配置Track,监测上、下行接口的状态。
[Sysname] track 1 interface gigabitethernet 1/0/1 physical
[Sysname-track-1] quit
[Sysname] track 2 interface gigabitethernet 1/0/2 physical
[Sysname-track-2] quit
[Sysname] track 3 interface gigabitethernet 2/0/1 physical
[Sysname-track-3] quit
[Sysname] track 4 interface gigabitethernet 2/0/2 physical
[Sysname-track-4] quit
(5) 配置冗余组
# 创建Node 1,Node 1和Device A绑定,为主节点。关联的Track项为1和2。
[Sysname] redundancy group aaa
[Sysname-redundancy-group-aaa] node 1
[Sysname-redundancy-group-aaa-node1] bind slot 1
[Sysname-redundancy-group-aaa-node1] priority 100
[Sysname-redundancy-group-aaa-node1] track 1 interface gigabitethernet 1/0/1
[Sysname-redundancy-group-aaa-node1] track 2 interface gigabitethernet 1/0/2
[Sysname-redundancy-group-aaa-node1] quit
# 创建Node 2,Node 2和Device B绑定,为备节点。关联的Track项为3和4。
[Sysname-redundancy-group-aaa] node 2
[Sysname-redundancy-group-aaa-node2] bind slot 2
[Sysname-redundancy-group-aaa-node2] priority 50
[Sysname-redundancy-group-aaa-node2] track 3 interface gigabitethernet 2/0/1
[Sysname-redundancy-group-aaa-node2] track 4 interface gigabitethernet 2/0/2
[Sysname-redundancy-group-aaa-node2] quit
# 将Reth1和Reth2添加到冗余组中。
[Sysname-redundancy-group-aaa] member interface reth 1
[Sysname-redundancy-group-aaa] member interface reth 2
[Sysname-redundancy-group-aaa] quit
(1) 缺省情况下的显示信息
# 显示冗余组信息。可以看到优先级高的Node 1为主节点,Reth1和Reth2中优先级高的成员接口处于激活状态。
[Sysname] display redundancy group aaa
Redundancy group aaa (ID 1):
Node ID Slot Priority Status Track weight
Node1 Slot1 100 Primary 255
Node2 Slot2 50 Secondary 255
Preempt delay time remained : 0 min
Preempt delay timer setting : 1 min
Remaining hold-down time : 0 sec
Hold-down timer setting : 300 sec
Manual switchover request : No
Member interfaces:
Reth1 Reth2
Member failover groups:
Node 1:
Track info:
Track Status Reduced weight Interface
1 Positive 255 GE1/0/1
2 Positive 255 GE1/0/2
Node 2:
Track info:
Track Status Reduced weight Interface
3 Positive 255 GE2/0/1
4 Positive 255 GE2/0/2
# 显示Reth信息。可以看到Reth1和Reth2中优先级高的成员接口处于激活状态。
[Sysname] display reth interface reth 1
Reth1 :
Redundancy group : aaa
Member Physical status Forwarding status Presence status
GE1/0/1 UP Active Normal
GE2/0/1 UP Inactive Normal
[Sysname] display reth interface reth 2
Reth2 :
Redundancy group : aaa
Member Physical status Forwarding status Presence status
GE1/0/2 UP Active Normal
GE2/0/2 UP Inactive Normal
(2) 冗余组内主备倒换后的显示信息
# 手工关闭接口GigabitEthernet1/0/2,显示冗余组信息。可以看到优先级低的Node 2为主节点。
[Sysname] interface gigabitethernet 1/0/2
[Sysname-GigabitEthernet1/0/2] shutdown
[Sysname-GigabitEthernet1/0/2] display redundancy group aaa
Redundancy group aaa (ID 1):
Node ID Slot Priority Status Track weight
Node1 Slot1 100 Secondary -255
Node2 Slot2 50 Primary 255
Preempt delay time remained : 0 min
Preempt delay timer setting : 1 min
Remaining hold-down time : 0 sec
Hold-down timer setting : 300 sec
Manual switchover request : No
Member interfaces:
Reth1 Reth2
Member failover groups:
Node 1:
Track info:
Track Status Reduced weight Interface
1 Negative 255 GE1/0/1
2 Negative 255 GE1/0/2(Fault)
Node 2:
Track info:
Track Status Reduced weight Interface
3 Positive 255 GE2/0/1
4 Positive 255 GE2/0/2
# 显示Reth的信息。Reth2下的接口GigabitEthernet1/0/2故障(DOWN),Reth1下的接口GigabitEthernet1/0/1被协议关闭(DOWN(redundancy down))。GigabitEthernet2/0/1和GigabitEthernet2/0/2激活。
[Sysname-GigabitEthernet1/0/2] display reth interface reth 1
Reth1 :
Redundancy group : aaa
Member Physical status Forwarding status Presence status
GE1/0/1 DOWN(redundancy down) Inactive Normal
GE2/0/1 UP Active Normal
[Sysname-GigabitEthernet1/0/2] display reth interface reth 2
Reth2 :
Redundancy group : aaa
Member Physical status Forwarding status Presence status
GE1/0/2 DOWN Inactive Normal
GE2/0/2 UP Active Normal
(0)
您好,用HCL做了一下实验,目前情况是这样的,防火墙上联是用冗余口,下联核心交换机是用链路聚合,上联交换机就配置了vlan和子接口IP。 1.终端ping防火墙的内网口能通,ping防火墙的外网口也能通 2.但是ping不通防火墙的上联的交换机,在防火墙直连去ping也是不通
那个冗余组的状态都是正常的
您好,我想确认一下配置 1.防火墙 1.防火墙是不是下连核心交换机接口的话,4条线都做聚合就可以了(不论是三层还是二层),不需要做冗余主吧? 2.防火墙的上联口的话是不是做冗余接口-加入冗余组,然后冗余组配置监控防火墙所有上下联接口? 核心交换机 核心交换机上联防火墙就需要做聚合就可以了吗? 需要指定IP地址吗? 我遇到过一次就是,防火墙下联口不变,还是做聚合,但是上联口不做冗余口,只是做三层聚合,然后效果是可以通信,但是把主防火墙的上联线关闭后,就不通了,在防火墙上看会话,是有建立的但是只有发送者,没有响应者的包。。。
我遇到过一次就是,防火墙下联口不变,还是做聚合,但是上联口不做冗余口,只是做三层聚合,然后效果是可以通信,但是把主防火墙的上联线关闭后,就不通了,在防火墙上看会话,是有建立的但是只有发送者,没有响应者的包。。。怀疑是来回路径不一致,开了那个宽松命令也不行。。
你仔细看过我的答复和我发的案例了?还问这种问题,我强调很多遍了,防火墙不需要做聚合,做的是冗余口冗余组,冗余是主备,不是双主。上下联配置方法是一样的。核心交换机上联我说了加入vlan就行了呀。
我看了就是按照案例做了发现不通,然后我才尝试其他方式的,其他方式是能通信的,但是出现我第二种问题,把防火墙的主线拔掉后,就通不了了(在防火墙pping外网是能通的,但是在终端ping外网不通)
上联的交换机是没有做聚合的, 只是下联核心交换机做了聚合而已
上联交换机只是建立vlan 接口加入vlan 配IP地址
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
抄袭了我的内容
×
原文链接或出处
诽谤我
×
对根叔社区有害的内容
×
不规范转载
×
举报说明
这个提示没有访问权限。。。
防火墙不是做透明模式的
上行口用reth口,下行口可以使用四条链路聚合对接,最大选择数为2 ,将主设备的两条链路优先级调大,实现效果和reth一样。
好的,谢谢,我先尝试一下