• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 全部
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索

防火墙冗余组

2020-08-06提问
  • 6关注
  • 3收藏,1824浏览
粉丝:1人 关注:0人

问题描述:

  现网核心交换机级连服务器区交换机,需要在中间加2台防火墙,防火墙做堆叠,核心交换机跟服务器区交换机是二层,所有服务器交换机网关都在核心上,防火墙的冗余组该如何配置有没有类似案例。

组网及组网描述:

  现网核心交换机级连服务器区交换机,需要在中间加2台防火墙,防火墙做堆叠,核心交换机跟服务器区交换机是二层,所有服务器交换机网关都在核心上,防火墙的冗余组该如何配置有没有类似案例。

最佳答案

粉丝:96人 关注:1人

堆叠以后做冗余组

配置需求及说明

1.1  适用的产品系列

  本案例适用于如F5080F5060F5030F5000-MF5000F5000-X系列的防火墙。

1.2  配置需求及实现的效果

防火墙A与防火墙B堆叠后使用透明模式部署在核心交换机与汇聚交换机之间,需要使用目前情况下所有流量通过防火墙A进行转发,如果防火墙A出现宕机再由防火墙B接管所有业务、当防火墙A故障恢复后再次接管所有业务。

1.3  组网图

配置步骤

配置步骤

2.1  核心交换机配置

#创建三层聚合接口并设置IP地址。

<H3C>system

[H3C]interface Route-Aggregation 1

[H3C-Route-Aggregation1]ip address 192.168.1.1 255.255.255.0

[H3C-Route-Aggregation1]link-aggregation selected-port maximum 1

[H3C-Route-Aggregation1]quit

#1/0/1接口加入聚合组并设置聚合优先级。

[H3C]interface GigabitEthernet 1/0/1

[H3C-GigabitEthernet1/0/1]link-aggregation port-priority 10

[H3C-GigabitEthernet1/0/1]port link-aggregation group 1

[H3C-GigabitEthernet1/0/1]quit

#1/0/2接口加入聚合组并设置聚合优先级。

[H3C]interface GigabitEthernet 1/0/2

[H3C-GigabitEthernet1/0/2]link-aggregation port-priority 100

[H3C-GigabitEthernet1/0/2]port link-aggregation group 1

[H3C-GigabitEthernet1/0/2]quit

2.2  防火墙配置

2.2.1  FWAFWB建立堆叠并配置BFD MAD检测

具体配置可参考防火墙虚拟化配置举例,本章不做介绍。

2.2.2  防火墙开启会话同步并关闭本框优先命令

#开启本地IP优先转发功能

[Sysname] ip load-sharing local-first enable

#开启会话同步功能

[Sysname] session synchronization enable

#开启会话数据统计功能

[Sysname] session statistics enable

2.2.3  防火墙聚合配置

1. 防火墙上行接口聚合配置

#创建二层聚合接口并设置聚合最大选中个数。

<H3C>system

[H3C]interface Bridge-Aggregation 1

[H3C-Bridge-Aggregation1]link-aggregation selected-port maximum 1

[H3C-Bridge-Aggregation1]quit

#1/0/1接口加入聚合组并设置聚合优先级。

[H3C]interface GigabitEthernet 1/0/1

[H3C-GigabitEthernet1/0/1]link-aggregation port-priority 10

[H3C-GigabitEthernet1/0/1]port link-aggregation group 1

[H3C-GigabitEthernet1/0/1]quit

#2/0/2接口加入聚合组并设置聚合优先级。

[H3C]interface GigabitEthernet 2/0/2

[H3C-GigabitEthernet2/0/2]link-aggregation port-priority 100

[H3C-GigabitEthernet2/0/2]port link-aggregation group 1

[H3C-GigabitEthernet2/0/2]quit

2. 防火墙下行接口聚合配置

#创建二层聚合接口并设置聚合最大选中个数。

<H3C>system

[H3C]interface Bridge-Aggregation 2

[H3C-Bridge-Aggregation2]link-aggregation selected-port maximum 1

[H3C-Bridge-Aggregation2]quit

#1/0/1接口加入聚合组并设置聚合优先级。

[H3C]interface GigabitEthernet 1/0/3

[H3C-GigabitEthernet1/0/3]link-aggregation port-priority 10

[H3C-GigabitEthernet1/0/3]port link-aggregation group 2

[H3C-GigabitEthernet1/0/3]quit

#2/0/3接口加入聚合组并设置聚合优先级。

[H3C]interface GigabitEthernet 2/0/3

[H3C-GigabitEthernet2/0/3]link-aggregation port-priority 100

[H3C-GigabitEthernet2/0/3]port link-aggregation group 2

[H3C-GigabitEthernet2/0/3]quit

2.2.4  防火墙安全域配置

#将防火墙上行接口接入Untrust区域

[H3C]security-zone name Untrust

[H3C-security-zone-Untrust]import interface Bridge-Aggregation1 vlan 1

[H3C-security-zone-Untrust]import interface GigabitEthernet1/0/1 vlan 1

[H3C-security-zone-Untrust]import interface GigabitEthernet2/0/2 vlan 1

[H3C-security-zone-Untrust]quit

#将防火墙下行接口接入trust区域

[H3C]security-zone name Untrust

[H3C-security-zone-Trust]import interface Bridge-Aggregation2 vlan 1

[H3C-security-zone-Trust]import interface GigabitEthernet1/0/3 vlan 1

[H3C-security-zone-Trust]import interface GigabitEthernet2/0/3 vlan 1

[H3C-security-zone-Trust]quit

2.2.5  配置端口冗余组配置

#配置track监控物理端口

[H3C]track 1 interface GigabitEthernet1/0/1 physical

[H3C]track 2 interface GigabitEthernet2/0/2 physical

[H3C]track 3 interface GigabitEthernet1/0/3 physical

[H3C]track 4 interface GigabitEthernet2/0/3 physical

#创建节点1与防火墙A所有接口绑定

[H3C]redundancy group aaa

[H3C-redundancy-group-aaa] node 1

[H3C-redundancy-group-aaa-node1] bind slot 1

[H3C-redundancy-group-aaa-node1] priority 100

[H3C-redundancy-group-aaa-node1] node-member interface gigabitethernet 1/0/1

[H3C-redundancy-group-aaa-node1] node-member interface gigabitethernet 1/0/3

[H3C-redundancy-group-aaa-node1] track 1 interface gigabitethernet 1/0/1

[H3C-redundancy-group-aaa-node1] track 3 interface gigabitethernet 1/0/3

[H3C-redundancy-group-aaa-node1] quit

1. 创建节点2与防火墙B所有接口绑定

[H3C-redundancy-group-aaa] node 2

[H3C-redundancy-group-aaa-node2] bind slot 2

[H3C-redundancy-group-aaa-node2] priority 50

[H3C-redundancy-group-aaa-node2] node-member interface gigabitethernet 2/0/2

[H3C-redundancy-group-aaa-node2] node-member interface gigabitethernet 2/0/3

[H3C-redundancy-group-aaa-node2] track 2 interface gigabitethernet 2/0/2

[H3C-redundancy-group-aaa-node2] track 4 interface gigabitethernet 2/0/3

[H3C-redundancy-group-aaa-node2] quit

2.2.6  安全策略配置

防火墙目前版本存在两套安全策略,请在放通安全策略前确认设备运行那种类型的安全策略?以下配置任选其一。

1. 通过命令“display cu | in security-policy”如果查到命令行存在“security-policy disable”或者没有查到任何信息,则使用下面策略配置。

[H3C]display cu | in security-policy

 security-policy disable

#创建对象策略pass

[H3C]object-policy ip pass

[H3C-object-policy-ip-pass] rule 0 pass

[H3C-object-policy-ip-pass]quit

#创建TrustUntrust域的域间策略调用pass策略。

[H3C]zone-pair security source Trust destination local

[H3C-zone-pair-security-Trust- local]object-policy apply ip pass

[H3C-zone-pair-security-Trust- local]quit

[H3C]zone-pair security source local destination Trust

[H3C-zone-pair-security-local -trust]object-policy apply ip pass

[H3C-zone-pair-security-local -trust]quit

[H3C]zone-pair security source Untrust destination local

[H3C-zone-pair-security-Untrust- local]object-policy apply ip pass

[H3C-zone-pair-security-Untrust- local]quit

[H3C]zone-pair security source local destination Untrust

[H3C-zone-pair-security-local -Untrust]object-policy apply ip pass

[H3C-zone-pair-security-local -Untrust]quit

[H3C]zone-pair security source Trust destination Untrust

[H3C-zone-pair-security-Trust -Untrust]object-policy apply ip pass

[H3C-zone-pair-security-Trust -Untrust]quit

2. 通过命令“display cu | in security-policy”如果查到命令行存在“security-policy ip”并且没有查到“security-policy disable”,则使用下面策略配置。

[H3C]display cu | in security-policy

security-policy ip

创建安全策略并放通localtrusttrustlocal的安全策略。

[H3C]security-policy ip

[H3C-security-policy-ip]rule 10 name test

[H3C-security-policy-ip-10-test]action pass

[H3C-security-policy-ip-10-test]source-zone local

[H3C-security-policy-ip-10-test]source-zone Trust

[H3C-security-policy-ip-10-test]source-zone Untrust

[H3C-security-policy-ip-10-test]destination-zone local

[H3C-security-policy-ip-10-test]destination-zone Trust

[H3C-security-policy-ip-10-test]destination-zone Untrust

[H3C-security-policy-ip-10-test]quit

2.3  汇聚交换机配置

#创建三层聚合接口并设置IP地址。

<H3C>system

[H3C]interface Route-Aggregation 1

[H3C-Route-Aggregation1]ip address 192.168.1.2 255.255.255.0

[H3C-Route-Aggregation1]link-aggregation selected-port maximum 1

[H3C-Route-Aggregation1]quit

#1/0/4接口加入聚合组并设置聚合优先级。

[H3C]interface GigabitEthernet 1/0/4

[H3C-GigabitEthernet1/0/4]link-aggregation port-priority 10

[H3C-GigabitEthernet1/0/4]port link-aggregation group 1

[H3C-GigabitEthernet1/0/4]quit

#1/0/5接口加入聚合组并设置聚合优先级。

[H3C]interface GigabitEthernet 1/0/5

[H3C-GigabitEthernet1/0/5]link-aggregation port-priority 100

[H3C-GigabitEthernet1/0/5]port link-aggregation group 1

[H3C-GigabitEthernet1/0/5]quit

检验配置结果

3.1.1  正常时查看冗余组状态

节点1为主用状态,节点二为备用状态。

[H3C-redundancy-group-aaa] display redundancy group aaa

Redundancy group aaa (ID 1):

  Node ID      Slot       Priority   Status        Track weight

  1               Slot1      100        Primary          255

  2               Slot2      50         Secondary      255

 

Preempt delay time remained     : 0    min

Preempt delay timer setting     : 1    min

Remaining hold-down time        : 0    sec

Hold-down timer setting         : 1    sec

Manual switchover request       : No

 

Member interfaces:

 

Node 1:

  Node member     Physical status

      GE1/0/1   UP

      GE1/0/3   UP

  Track info:

    Track    Status       Reduced weight     Interface

    1        Positive     255                GE1/0/1

    2        Positive     255                GE1/0/3

Node 2:

  Node member     Physical status

      GE2/0/2   UP

      GE2/0/3   UP

  Track info:

    Track    Status       Reduced weight     Interface

    3        Positive       255              GE2/0/2

    4        Positive       255              GE2/0/3

3.1.2  手动关闭1/0/1接口后时查看冗余组状态

查看到主备状态已经发生了变化,并且1/0/11/0/3的物理状态全部置为down

[H3C] display redundancy group aaa

Redundancy group aaa (ID 1):

  Node ID      Slot       Priority   Status        Track weight

  1              Slot1      100        Secondary     -255

  2              Slot2       50          Primary         255

 

Preempt delay time remained     : 0    min

Preempt delay timer setting     : 1    min

Remaining hold-down time        : 0    sec

Hold-down timer setting         : 1    sec

Manual switchover request       : No

 

Member interfaces:

 

Node 1:

  Node member     Physical status

      GE1/0/1       DOWN(redundancy down)

      GE1/0/3       DOWN

  Track info:

    Track    Status       Reduced weight     Interface

    1         Negative     255                GE1/0/1

    2         Negative     255                GE1/0/2 (Fault)

Node 2:

  Node member     Physical status

      GE2/0/2   UP

      GE2/0/3   UP

  Track info:

    Track    Status       Reduced weight     Interface

    3         Positive       255              GE2/0/2

    4         Positive       255              GE2/0/3

配置关键点

3.1.3  注意事项

1、配置冗余组后,所有加入冗余组的物理接口状态必须处于UP状态,否则会造成冗余组主备切换异常。

回复zhiliao_32768:

答案就是案例,你看下

李云龙的意大利炮 发表时间:2020-08-06 更多>>

有没有类似于这种二层环境下的配置案例

zhiliao_32768 发表时间:2020-08-06
回复zhiliao_32768:

答案就是案例,你看下

李云龙的意大利炮 发表时间:2020-08-06
1 个回答
粉丝:6人 关注:1人

您好:

防火墙工作在二层,建议采用物理口冗余组方案在二层网络部署。

(1)     配置Track,监测上、下行接口的状态。

[Sysname] track 1 interface gigabitethernet 1/0/1 physical

[Sysname-track-1] quit

[Sysname] track 2 interface gigabitethernet 1/0/2 physical

[Sysname-track-2] quit

[Sysname] track 3 interface gigabitethernet 2/0/1 physical

[Sysname-track-3] quit

[Sysname] track 4 interface gigabitethernet 2/0/2 physical

[Sysname-track-4] quit

(2)     配置冗余组

# 创建Node 1,Node 1和Device A绑定,为主节点。关联的Track项为1和2。

[Sysname] redundancy group aaa

[Sysname-redundancy-group-aaa] node 1

[Sysname-redundancy-group-aaa-node1] bind slot 1

[Sysname-redundancy-group-aaa-node1] priority 100

[Sysname-redundancy-group-aaa-node1] track 1 interface gigabitethernet 1/0/1

[Sysname-redundancy-group-aaa-node1] track 2 interface gigabitethernet 1/0/2

[Sysname-redundancy-group-aaa-node1] quit

# 创建Node 2,Node 2和Device B绑定,为备节点。关联的Track项为3和4。

[Sysname-redundancy-group-aaa] node 2

[Sysname-redundancy-group-aaa-node2] bind slot 2

[Sysname-redundancy-group-aaa-node2] priority 50

[Sysname-redundancy-group-aaa-node2] track 3 interface gigabitethernet 2/0/1

[Sysname-redundancy-group-aaa-node2] track 4 interface gigabitethernet 2/0/2

[Sysname-redundancy-group-aaa-node2] quit

(3)     两端交换机做物理接口,不要进行聚合。


编辑答案

你正在编辑答案

如果你要对问题或其他回答进行点评或询问,请使用评论功能。

分享扩散:

提出建议

    +

亲~登录后才可以操作哦!

确定

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作

举报

×

侵犯我的权益 >
对根叔社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明