问

求防火墙RBM配置

3小时前提问

0关注
0收藏，47浏览

hhxx

hhxx 二段

粉丝：0人关注：3人

问题描述：

求防火墙RBM配置

最佳答案

已采纳

刘浩存

刘浩存九段

粉丝：26人关注：1人

H3C防火墙的RBM（Remote Backup Management，远端备份管理）双机热备，通常与VRRP（虚拟路由冗余协议） 配合使用。

一份典型的“主备模式”配置可以分为以下几个关键步骤。

📝 配置前的准备

组网规划：规划好管理接口、HA心跳接口、业务接口的IP地址，并确定VRRP的虚拟IP（VIP）。
设备互通：确保两台防火墙的管理接口、HA心跳接口（用于同步数据）和业务接口（用于VRRP协商）的二层网络是互通的。
版本一致：确保两台设备的软件版本完全一致。

⚙️ 基础配置步骤（以主备模式为例）

下面的步骤和命令以H3C Comware V7平台为例。

1. 配置接口IP及安全域

分别在两台防火墙上，为管理口、HA心跳口和业务口配置IP地址，并将它们加入相应的安全域。

主防火墙 (FW1) 示例:
text
# 配置HA心跳接口 (假设为G1/0/0) [FW1] interface GigabitEthernet 1/0/0 [FW1-GigabitEthernet1/0/0] ip address 10.0.0.1 255.255.255.0 [FW1-GigabitEthernet1/0/0] quit # 配置下联业务接口 (假设为G1/0/5) [FW1] interface GigabitEthernet 1/0/5 [FW1-GigabitEthernet1/0/5] ip address 10.0.1.2 255.255.255.0 [FW1-GigabitEthernet1/0/5] quit # 将接口加入安全域 [FW1] security-zone name Trust [FW1-security-zone-Trust] import interface GigabitEthernet 1/0/5 [FW1-security-zone-Trust] quit
备防火墙 (FW2) 示例：配置类似，IP地址规划不同，例如HA口为 10.0.0.2，下联业务口为 10.0.1.3。

2. 开启RBM功能并指定角色

在主防火墙上开启RBM并指定其为主设备，同时指定HA心跳接口。

text

[FW1] remote-backup group [FW1-remote-backup-group] remote-backup-group role primary # 指定角色为主 [FW1-remote-backup-group] width="12" height="12" viewBox="0 0 12 12" fill="none">

在备防火墙上执行类似操作，但角色为secondary。

text

[FW2] remote-backup group [FW2-remote-backup-group] remote-backup-group role secondary [FW2-remote-backup-group] width="12" height="12" viewBox="0 0 12 12" fill="none">

3. 在业务接口上配置VRRP

在主防火墙的业务接口上，创建VRRP组并设置虚拟IP（VIP）。该VIP将作为下游设备的网关。

主防火墙 (FW1):
text
[FW1] interface GigabitEthernet 1/0/5 [FW1-GigabitEthernet1/0/5] vrrp vrid 10 virtual-ip 10.0.1.1 255.255.255.0 active
此处 active 参数表示该防火墙在该VRRP组中为活动（Master）角色。
备防火墙 (FW2):
text
[FW2] interface GigabitEthernet 1/0/5 [FW2-GigabitEthernet1/0/5] vrrp vrid 10 virtual-ip 10.0.1.1 255.255.255.0 standby
此处 standby 参数表示该防火墙在该VRRP组中为备份（Backup）角色。

4. 配置安全策略并放行业务流量

根据实际需求，配置从Trust到Untrust等方向的安全策略，放行内网到外网的访问流量。

text

[FW1] security-policy ip [FW1-security-policy-ip] rule 1 name permit-trust-to-untrust [FW1-security-policy-ip-1] source-zone trust [FW1-security-policy-ip-1] destination-zone untrust [FW1-security-policy-ip-1] action pass

5. （可选）允许单独管理备设备

默认情况下，备设备的业务接口可能不允许管理访问。如需从业务网络直接管理备设备，需在主设备上开启配置同步。

text

[FW1] system-view [FW1] hrp enable [FW1] hrp management-interface include all

🔍 验证与维护

配置完成后，可以使用以下命令检查状态：

查看RBM状态：display remote-backup-group status
查看VRRP状态：display vrrp
查看资源使用情况：display rbm resource usage

暂无评论

2 个回答

按时间按赞数

zhiliao_GeOM0O

zhiliao_GeOM0O 九段

粉丝：23人关注：2人

组网说明（三层出口标准主备）

FW-A（主）：GE1/0/1 Untrust 外网，GE1/0/2 Trust 内网，GE1/0/3 RBM 心跳通道
FW-B（备）：GE1/0/1 Untrust 外网，GE1/0/2 Trust 内网，GE1/0/3 RBM 心跳通道
心跳互联地址：FW-A：192.168.200.1/30；FW-B：192.168.200.2/30
外网 VRRP VRID1，虚拟 IP：203.0.0.254
内网 VRRP VRID2，虚拟 IP：10.0.0.254

重要：RBM 负责配置 / 会话同步、统一控制所有 VRRP 状态；VRRP 负责流量网关切换

一、FW-A（主设备 primary）完整配置

plaintext

system-view
#1、接口基础配置
interface GigabitEthernet 1/0/1
 port link-mode route
 ip address 203.0.0.1 255.255.255.0
#安全域
security-zone Untrust
 add interface GigabitEthernet 1/0/1
quit

interface GigabitEthernet 1/0/2
 port link-mode route
 ip address 10.0.0.1 255.255.255.0
security-zone Trust
 add interface GigabitEthernet 1/0/2
quit

#RBM心跳口（禁止加入业务安全域）
interface GigabitEthernet 1/0/3
 port link-mode route
 ip address 192.168.200.1 255.255.255.252
quit

#2、VRRP配置
interface GigabitEthernet 1/0/1
 vrrp vrid 1 virtual-ip 203.0.0.254 active
 vrrp vrid 1 priority 120
quit
interface GigabitEthernet 1/0/2
 vrrp vrid 2 virtual-ip 10.0.0.254 active
 vrrp vrid 2 priority 120
quit

#3、RBM核心配置
remote-backup group
 local-ip 192.168.200.1
 remote-ip 192.168.200.2
 data-channel interface GigabitEthernet 1/0/3
 device-role primary
 hot-backup enable               #开启会话表同步
 configuration auto-sync enable #开启配置自动同步
 preempt-mode timer delay 60    #抢占延时60s，避免震荡
 delay-time 1                    #切换延迟1秒
quit

#4、Track监控业务接口（接口down自动切换）
track 1 interface GigabitEthernet 1/0/1
track 2 interface GigabitEthernet 1/0/2
remote-backup group
 track 1
 track 2
quit

二、FW-B（备设备 secondary）完整配置

plaintext

system-view
#1、接口基础配置
interface GigabitEthernet 1/0/1
 port link-mode route
 ip address 203.0.0.2 255.255.255.0
security-zone Untrust
 add interface GigabitEthernet 1/0/1
quit

interface GigabitEthernet 1/0/2
 port link-mode route
 ip address 10.0.0.2 255.255.255.0
security-zone Trust
 add interface GigabitEthernet 1/0/2
quit

#心跳口
interface GigabitEthernet 1/0/3
 port link-mode route
 ip address 192.168.200.2 255.255.255.252
quit

#2、VRRP，全部绑定standby
interface GigabitEthernet 1/0/1
 vrrp vrid 1 virtual-ip 203.0.0.254 standby
 vrrp vrid 1 priority 100
quit
interface GigabitEthernet 1/0/2
 vrrp vrid 2 virtual-ip 10.0.0.254 standby
 vrrp vrid 2 priority 100
quit

#3、RBM核心配置
remote-backup group
 local-ip 192.168.200.2
 remote-ip 192.168.200.1
 data-channel interface GigabitEthernet 1/0/3
 device-role secondary
 hot-backup enable
 configuration auto-sync enable
 preempt-mode timer delay 60
 delay-time 1
quit

#4、监控业务接口
track 1 interface GigabitEthernet 1/0/1
track 2 interface GigabitEthernet 1/0/2
remote-backup group
 track 1
 track 2
quit

三、关键必懂知识点

vrrp active / standby
RBM 环境不能只配置 priority，必须指定 active/standby；RBM 统一控制 VRRP 组状态，主备切换时自动同步修改 VRRP 转发角色。
配置同步规则
开启configuration auto-sync enable后，只需要在主设备配置安全策略、NAT、对象、ACL，自动同步到备机；

接口 IP、VRRP 优先级、RBM 本身配置不会同步，两台设备独立配置。

心跳通道要求

心跳口不要和业务共用接口，独立网线；
心跳链路故障会产生双主风险，重要场景建议双线心跳；
心跳口不要加入 Trust/Untrust 安全域。

会话备份 hot-backup enable
保障切换后已有连接不中断；IPSec、SSL VPN 等特殊业务额外配套相关备份命令。

四、常用验证排查命令

plaintext

display remote-backup group          #查看RBM状态、主备角色
display remote-backup session        #查看RBM通道建立情况
display vrrp brief                   #查看VRRP状态
display remote-backup sync-status    #查看配置同步状态