华为USG6350双机热备与NAT功能结合配置

1、Trustu GE0/0/31 10.3.01/24GE0/0/1“1020 1 公 f VRRPGE0/0/UntrustGE 0/0/VRRP10.2.024双机热备与NAT功能结合组网需求USG作为安全设备被部署在业务节点上。USG的业务接口工作在三层，上下行连接交换机。USG_A、USG_B以主备备份方式工作。内网用户可以通过公网地址访问In ternet 。正常情况下，USG_A作为主用设备，处理业务流量；USG_B作为备用设备，不处理业务流量。当USG_A的接口或整机发生故障时，USG_B切换为主用设备接替 USG_A处理业务流量，从而保证业

2、务不中断。图1-44 业务接口工作在三层，上下行连接交换机的组网图项目SM说明USG_A接口号：GEO/O/lIP地址：I0.2Q1/24 安全区域：Untrust在接口匕配'ffVRRPr份组 2i加入Active管理组° VRRP备份组2的虚拟IP地 址为 /24 o接 口号：GEO/O/2IP 地址：/24安全区域吐DMZUSGA的HRP备份通道。GE0A1//24、7 10.3 0.2/24HTTP server0/24PC110,3,0,0/24接 口号：GE0/0/3【P地址 103.0/2

3、4 安全区域；Trust在接口上配置¥RRP备份组 b加入Active管理组。VRRP备份组1的虚拟IP地址为 10.3.03/24 NAT地址池屮的IP地址：10,2,0.5. NAT地址池Acbve管理组 绑定USG_B接 口号：GE0/0/1P 地址：1020.2/24 安全区域壬Untrust在接口上KVRRP备份组2,加入Standby管理纽。VRRP备份组2的虚拟IP地 址为 10.2.0324.接口号，GE0/0/2【P地址：安全区域：DMZ接口号，GE0/0/51P 地址：1030.2Z24 安全区域：TrustUSGB的HRP备份通iih在接口上配V

4、RRP份组1*加入Standby管理組* VRRP备份组1的虚拟IP地 址为 /24 地址池中的IP地址，, NAT地址池AiSta riilby管理 组绑定。配置思路1. 由于USG的业务接口工作在三层，能够配置 IP地址。而且USG上下行连接交换机， 交换机能够透传VRRP报文。因此本举例选择在业务接口上配置 IP地址和VRRP备份 组，由VRRP备份组监控接口状态。2. 为了实现主备备份方式，需要将USG_A的VRRP备份组加入Active管理组，USG_B的VRRP备份组加入Standby管理组，由管理组统一监控接口状态。3. 为了使内网

5、用户能够使用公网 IP地址访问In ternet ，需要配置Trust与Un trust域间 的源NAT由于NAT地址池中的地址与 VRRP备份组的虚拟IP地址在同一网段，为了避 免业务冲突，需要配置 NAT地址池与管理组绑定。4. 为了使USG_E能够备份USG_A的关键配置命令和会话表状态信息，需要在两台USG上指定HRP备份通道，然后启用HRP功能。5. 为了保证正常情况下路由可达，且主备设备状态切换后流量能够被正确地引导到备用设备上，需要在内网的 PC或设备上配置静态路由，下一跳为 VRRP备份组的虚拟 IP地址。操作步骤步骤1在USG_Ah配置各个接口的IP地址，并将接口加入安全区域

6、。1. 选择“网络 > 接口接口”。2. 在“接口列表”中，单击GE0/0/1对应的，显示“修改 GigabitEthernet ”界面。GE0/0/1的相关参数如下，其他参数使用默认值：l安全区域：untrustl模式：路由l连接类型：静态IPI IP 地址：1020.1I 子网掩码：3. 单击“应用”。4. 重复上述步骤，配置接口GE0/0/2和GE0/0/3。GE0/0/2的相关参数如下，其他参数使用默认值：I安全区域：dmzI模式：路由I连接类型：静态IPI IP 地址：I 子网掩码：GE0/0/3的相关参数如

7、下，其他参数使用默认值：I安全区域：trustI模式：路由I连接类型：静态IPI IP 地址：I 子网掩码：步骤2配置USG_A的VRRP备份组，并将 VRRP备份组加入状态为 Active的管理组。1. 选择“系统 > 高可靠性 > 双机热备”。2. 在“ VRID列表”中，单击“新建”。3. 在“新建VRID”界面中，配置 VRRP备份组1。4. 单击“应用”。5. 重复上述步骤，配置 VRRP备份组2。Secoway USG2100/2200/5100 BSR/HSR & USG2000/5000典型配置案例-Web方式1网络

8、安全接入综合场景文档版本02 (2013-10-15) 华为专有和保密信息版权所有?华为技术有限公司60步骤3在USG_A上指定HRP备份通道后，启用 HRP功能。1. 选择“系统 > 高可靠性 > 双机热备”。2. 在“配置双机热备”界面中选择HRP备份通道，启用 HRP功能。3. 单击“应用”。步骤4配置USG_BUSG_餉上述USG_A勺配置基本相同，不同之处在于：I USG_B各接口的IP地址与USG_A各接口的IP地址不相同。I USG_B的业务接口 GE0/0/1和GE0/0/3加入Standby管理组。步骤5在USG_Ah配置NAT地址池，将 NAT地址池与Activ

9、e管理组绑定。1. 选择“防火墙> NAT >源NAT。2. 选择“ NAT地址池”页签。3. 在“ NAT地址池列表”中，单击“新建”。4. 在“新建NAT地址池”界面中，配置 NAT地址池1。5. 单击“应用”。步骤6在USG_A上配置源NAT,使/24网段用户使用 NAT地址池1中的IP访问Internet 。1. 选择“防火墙> NAT >源NAT”。2. 选择“源NAT”页签。3. 在“源NAT策略列表”中，单击“新建”。4. 在“新建源 NAT”界面中，配置 Trust与Un trust域间的源NAT引用NAT地址池1。Secoway USG2100/2200/5100 BSR/HSR & USG2000/5000典型配置案例-Web方式1网络安全接入综合场景文档版本02 (2013-10-15)华为专有和保密信息版权所有?华为技术有限公司615. 单击“应用”。步骤7在USG_A上配置安全策略，允许Trust区域的/24网段的用户可以访问Un trust 区域。1. 选择“防火墙 > 安全策略