防火墙irf配置
- 0关注
- 1收藏，3732浏览
问题描述：
咨询下防火墙堆叠配置，以及堆叠的安全域如何放通
组网及组网描述：
- 2021-04-03提问
- 举报
-
(0)
最佳答案
组网图
组网说明：将主防火墙的14与15接口和备用防火墙14与15接口互联组成IRF链路。
3 配置步骤
3.1 主防火墙配置
3.1.1 配置主防火墙的优先级为10
<H3C>system-view
[H3C]irf member 1 priority 10
3.1.2 将需要进行堆叠配置的端口1/0/14与1/0/15接口加入IRF端口
物理端口加入IRF端口时需要先关闭端口，添加到IRF端口后再开启端口。
[H3C]interface range GigabitEthernet 1/0/14 to GigabitEthernet 1/0/15
[H3C-if-range]shutdown
[H3C-if-range]quit
[H3C]irf-port 1/2
[H3C-irf-port1/2]port group interface GigabitEthernet 1/0/14
[H3C-irf-port1/2]port group interface GigabitEthernet 1/0/15
[H3C-irf-port1/2]quit
[H3C]interface range GigabitEthernet 1/0/14 to GigabitEthernet 1/0/15
[H3C-if-range]undo shutdown
[H3C-if-range]quit
3.1.3 保存配置
激活前需要保存IRF全部配置，以免重启后配置丢失。
[H3C]save f
3.1.4 配置完成后激活IRF配置
[H3C]irf-port-configuration active
3.2 备防火墙配置
3.2.1 进入备设备命令行将备设备成员ID修改为2
将备设备成员ID配置为2，出现是否切换的提示后输入“Y”。
<H3C>system-view
[H3C]irf member 1 renumber 2
Renumbering the member ID may result in configuration change or loss. Continue?[Y/N]:Y
[H3C]quit
3.2.2 成员ID修改为2后需要重启设备才能生效
输入reboot命令后设备会提示是否保存配置，输入“Y”，后面会出现是否重启设备提示，输入“Y”。
<H3C>reboot
Start to check configuration with next startup configuration file, please wait.........DONE!
Current configuration may be lost after the reboot, save current configuration? [Y/N]:Y
This command will reboot the device. Continue? [Y/N]:Y
3.2.3 将需要进行堆叠配置的端口,2/0/14与2/0/15接口加入IRF端口
重启后设备成员ID变为2，物理端口加入IRF端口时需要先关闭端口，添加到IRF端口后再开启端口。
[H3C]interface range GigabitEthernet 2/0/14 to GigabitEthernet 2/0/15
[H3C-if-range]shutdown
[H3C-if-range]quit
[H3C]irf-port 2/1
[H3C-irf-port2/1]port group interface GigabitEthernet 2/0/14
[H3C-irf-port2/1]port group interface GigabitEthernet 2/0/15
[H3C-irf-port2/1]quit
[H3C]interface range GigabitEthernet 2/0/14 to GigabitEthernet 2/0/15
[H3C-if-range]undo shutdown
[H3C-if-range]quit
3.2.4 保存配置
激活前需要保存IRF全部配置，以免重启后配置丢失。
[H3C]save f
3.2.5 配置完成后激活IRF配置
使用“irf-port-configuration active”命令激活IRF配置，激活后备防火墙将重启，重启后加入堆叠组成为主防火墙的一部分。
[H3C]irf-port-configuration active
4 检验配置结果
4.1.1 查看IRF堆叠状态
在命令行输入“display irf”，可以看到主设备成员ID为1，优先级为10。
[H3C]display irf
MemberID Role Priority CPU-Mac Description
*+1 Master 10 3c8c-40b4-b9f0 ---
2 Standby 1 84d9-318b-eb81 ---
--------------------------------------------------
* indicates the device is the master.
+ indicates the device through which the user logs in.
The bridge MAC of the IRF is: 3c8c-40b4-b9ee
Auto upgrade : yes
Mac persistent : 6 min
Domain ID : 0
4.1.2 注意事项
1、在堆叠配置中IRF端口必须交叉互联，如果使用错误的连接方法堆叠将无法建立。
正确的端口连接关系：
IRF 1/1 连接 IRF 2/2、IRF 1/2 连接 IRF 2/1
错误的端口连接关系：
IRF 1/1 连接 IRF 2/1、IRF 1/2 连接 IRF 2/2
- 2021-04-03回答
- 评论(0)
- 举报
-
(0)
您好，请知：
以下是防火墙IRF的配置举例：
HCL模拟器F1060防火墙IRF配置案例
网络拓扑图
本案例是采用HCL模拟器中的F1060防火墙来实现IRF功能，其中设备1代表IRF成员1,设备2代表IRF成员2，都分别使用GI 1/0/2口和GI 1/0/3口作为IRF的端口。
配置步骤
1、将设备1作为IRF成员1，设备2作为IRF成员2
2、将物理端口分别绑定到IRF端口
3、启动IRF功能
4、测试IRF
配置关键点
1、1号设备关键配置点如下：
[H3C]irf member 1 renumber 1 //将1号设备配置为IRF成员1
[H3C]int range GigabitEthernet 1/0/2 to GigabitEthernet 1/0/3
[H3C-if-range]shutdown
[H3C-if-range]quit
[H3C]irf-port 1/1 //将物理端口绑定到IRF端口
[H3C-irf-port1/1]port group interface GigabitEthernet 1/0/2
[H3C-irf-port1/1]port group interface GigabitEthernet 1/0/3
[H3C-irf-port1/1]quit
[H3C]int range GigabitEthernet 1/0/2 to GigabitEthernet 1/0/3
[H3C-if-range]undo shutdown
[H3C-if-range]quit
[H3C]irf-port-configuration active //激活IRF
[H3C]save //保存配置
2、2号设备关键配置点如下：
[H3C]irf member 1 renumber 2 //将2号设备配置为IRF成员2
[H3C]int range GigabitEthernet 1/0/2 to GigabitEthernet 1/0/3
[H3C-if-range]shutdown
[H3C-if-range]quit
[H3C]irf-port 1/2 //将物理端口绑定到IRF口
[H3C-irf-port1/2]port group interface GigabitEthernet 1/0/2
[H3C-irf-port1/2]port group interface GigabitEthernet 1/0/3
[H3C-irf-port1/2]quit
[H3C]int range GigabitEthernet 1/0/2 to GigabitEthernet 1/0/3
[H3C-if-range]undo shutdown
[H3C-if-range]quit
[H3C]irf-port-configuration active //激活IRF
[H3C]save //保存配置
3、分别重启设备1和设备2
4、测试
<H3C>dis irf //查看IRF成员信息，发现设备1和设备2的信息都在一起
MemberID Role Priority CPU-Mac Description
*+1 Master 1 30d3-7ef9-0104 ---
2 Standby 1 30d4-7d89-0204 ---
--------------------------------------------------
* indicates the device is the master.
+ indicates the device through which the user logs in.
The bridge MAC of the IRF is: 30d3-7ef9-0100
Auto upgrade : yes
Mac persistent : 6 min
Domain ID : 0
<H3C>
<H3C>dis irf link //查看IRF链路均为UP
Member 1
IRF Port Interface Status
1 GigabitEthernet1/0/2 UP
GigabitEthernet1/0/3 UP
2 disable --
Member 2
IRF Port Interface Status
1 disable --
2 GigabitEthernet2/0/2 UP
GigabitEthernet2/0/3 UP
<H3C>
<H3C>dis irf configuration //查看IRF配置信息
MemberID NewID IRF-Port1 IRF-Port2
1 1 GigabitEthernet1/0/2 disable
GigabitEthernet1/0/3
2 2 disable GigabitEthernet2/0/2
GigabitEthernet2/0/3
<H3C>
<H3C>dis irf topology //查看IRF拓扑信息
Topology Info
-------------------------------------------------------------------------
IRF-Port1 IRF-Port2
MemberID Link neighbor Link neighbor Belong To
2 DIS --- UP 1 30d3-7ef9-0104
1 UP 2 DIS --- 30d3-7ef9-0104
<H3C>
- 2021-04-03回答
- 评论(0)
- 举报
-
(1)
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论