DS002005Eudemon防火墙双机热备业务特性与配置ISSUE1

1、修订记录课程编码适用产品产品版本课程版本ISSUEDS002005EudemonAll1.00开发/优化者时间审核人开发类型（新开发/优化）卢希2009-05-15刘志根新开发Eudemon防火墙双机热备业务特性与配置前 言在当前的组网运用中，用户对网络可靠性的要求越来越高，特别是在一些重要的业务入口或接入点上需求保证网络不延续运转。对于这些重要的业务点如何保证网络的不延续传输，成为必需处理的一个问题。本胶片主要引见防火墙的双机热备份技术原理和详细配置，以及在Eudemon防火墙上实施双机热备份技术所运用的三种协议：VRRP、VGMP和HRP。培训目的学完本课程后，您应该能：掌握双机热备份技术

2、原理掌握VRRP，VGMP和HRP之间的关系掌握典型双机组网的配置目 录双机热备份技术原理Eudemon防火墙双机热备份技术双机热备份技术在防火墙上的实施目 录双机热备份技术原理Eudemon防火墙双机热备份技术双机热备份技术在防火墙上的实施双机热备份技术产生的缘由传统的组网方式如下图，内部用户和外部用户的交互报文全部经过Firewall A。假设Firewall A出现缺点，内部网络中一切以Firewall A作为默许网关的主机与外部网络之间的通讯将中断，通讯可靠性无法保证。Firewall A10.100.10.1/24InternetPC效力器内部网络10.100.10.0/24传统双机

3、热备份技术在路由器上的部署RouterA10.100.10.2MasterRouterBBackup10.100.10.3RouterC10.100.10.4Backup备份组Virtual IP Address10.100.10.1InternetPC效力器内部网络10.100.10.0/24路由器组网中经过VRRP协议实现双机热备份VRRP在多区域防火墙组网中的运用DMZTrustUntrustEudemon A10.100.20.0/24MasterEudemon BBackup10.100.10.0/24备份组1Virtual IP Address10.100.10.1备份组2Virt

4、ual IP Address10.100.20.1备份组3Virtual IP Address202.38.10.1为防火墙上多个区域提供双机备份功能时，需求在每一台防火墙上配置多个VRRP备份组。VRRP在防火墙运用中存在的缺陷Eudemon AMasterEudemon BBackupTrustDMZUntrustPC1PC2(1)(2)(3)(4)(7)会话表项Server(5)(6)(8)实践连线报文流径(9)传统VRRP方式无法实现主、备用Eudemon防火墙形状的一致性。目 录双机热备份技术原理Eudemon防火墙双机热备份技术双机热备份技术在防火墙上的实施防火墙双击热备份技术的特

5、征控制主、备用防火墙的切换形状信息的备份Eudemon防火墙的双机热备份技术依托三种协议实现：VRRP虚拟路由冗余协议VGMPVRRP组管理协议HRP华为冗余协议防火墙双机热备份技术分析防火墙主备形状切换的实现VGMPVRRP Group Management Protocol) 提出VRRP管理组的概念，将同一台防火墙上的多个VRRP备份组都参与到一个VRRP管理组，由管理组一致管理一切VRRP备份组。经过一致控制各VRRP备份组形状的切换，来保证管理组内的一切VRRP备份组形状都是一致的。VGMP的作用：防火墙主备形状控制切换VRRP管理组的功能：形状一致性管理管理组内VRRP备份组同步形

6、状切换抢占管理屏蔽VRRP备份组抢占通道管理data，trans-onlyVGMP实现原理Eudemon AMasterEudemon BBackupTrustDMZUntrust备份组1备份组2备份组3A1A2A3B2B1B3管理组管理组备份组4VGMP数据通道Eudemon AMasterEudemon BBackupTrustDMZUntrustA1A2A3B2B1B3A4B4A4-B4A3-B3A1-B1A2-B2防火墙形状信息的备份 VGMP可以保证报文来回途径经过同一台防火墙。当主防火墙出现缺点时，一切流量都将切换到备防火墙。但Eudemon防火墙是形状防火墙，假设备防火墙上没有原

7、来主防火墙上的衔接形状数据，那么切换到备防火墙的很多流量将无法经过防火墙，呵斥现有的衔接中断，此时用户必需重新发起衔接。为了实现主用设备出现缺点时能由备用设备平滑地接替任务，需求在主、备用设备之间备份关键配置命令和会话表形状等关键信息。HRPHRPHuawei Redundancy Protocol 华为冗余协议华为公司冗余协议HRPHuawei Redundancy Protocol是承载在VGMP报文上进展传输的。HRP用于在主用设备和备用设备之间备份关键配置命令和会话表形状等关键信息。 HRP/VGMP/VRRP之间的关系VRRP备份组VGMP管理组VGMP报文HRP模块HRP报文接口V

8、RRP报文目 录双机热备份技术原理Eudemon防火墙双机热备份技术双机热备份技术在防火墙上的实施防火墙双机热备份组网方式Eudemon的双机热备份，可以任务在路由方式和混合方式两种方式下：路由方式是指Eudemon的业务端口和HRP备份通道接口均任务在路由方式下。 混合方式是指Eudemon的业务端口任务在透明方式下，而HRP备份通道接口任务在路由方式下。路由方式和混合方式都包含两种组网方式：主备组网方式负载分担组网方式路由方式-主备组网方式防火墙设备管理组成员优先级状态会话量AMaster备份组1，2，3高主用100%BSlave备份组1，2，3低备用0Eudemon ATrustUntr

9、ust备份组1备份组2GE1/0/0GE2/0/0GE3/0/0Slave管理组Master管理组备份组3Eudemon BGE1/0/0GE3/0/0GE2/0/0PC1PC2路由方式-主备组网方式配置参考1Eudemon ATrustUntrust备份组1备份组2GE1/0/0GE2/0/0GE3/0/0Slave管理组Master管理组备份组3Eudemon BGE1/0/0GE3/0/0GE2/0/0Eudemon interface GigabitEthernet 1/0/0 Eudemon-GigabitEthernet1/0/0 ip address 10.100.10.2 24

10、 Eudemon-GigabitEthernet1/0/0 vrrp vrid 1 virtual-ip 10.100.10.1 master Eudemon interface GigabitEthernet 3/0/0 Eudemon-GigabitEthernet3/0/0 ip address 202.38.10.2 24 Eudemon-GigabitEthernet3/0/0 vrrp vrid 2 virtual-ip 202.38.10.1 master #将GE1/0/0和GE3/0/0参与到对应的VRRP备份组中。路由方式-主备组网方式配置参考2Eudemon ATrust

11、Untrust备份组1备份组2GE1/0/0GE2/0/0GE3/0/0Slave管理组Master管理组备份组3Eudemon BGE1/0/0GE3/0/0GE2/0/0Eudemon interface GigabitEthernet 2/0/0Eudemon-GigabitEthernet2/0/0 ip address 10.100.20.2 24 Eudemon-GigabitEthernet2/0/0 vrrp vrid 3 virtual-ip 10.100.20.1 master#将GE2/0/0参与到对应的VRRP备份组中。 Eudemon hrp interface Gi

12、gabitEthernet 2/0/0 Eudemon hrp enable #指定HRP的备份通道并使能HRP功能。路由方式-主备组网方式配置参考3Eudemon ATrustUntrust备份组1备份组2GE1/0/0GE2/0/0GE3/0/0Slave管理组Master管理组备份组3Eudemon BGE1/0/0GE3/0/0GE2/0/0HRP_MEudemon hrp auto-sync config HRP_MEudemon acl 2000 HRP_MEudemon-acl-basic-2000 rule permit source 10.100.10.0 0.0.0.255

13、 HRP_MEudemon-acl-basic-2000 quit HRP_MEudemon firewall interzone trust untrust HRP_MEudemon-interzone-trust-untrust packet-filter 2000 outbound HRP_MEudemon-interzone-trust-untrust quit#使能配置命令自动备份功能并添加区域间包过滤规那么。路由方式-主备组网方式配置验证Eudemon ATrustUntrust备份组1备份组2GE1/0/0GE2/0/0GE3/0/0Slave管理组Master管理组备份组3Eu

14、demon BGE1/0/0GE3/0/0GE2/0/0HRP_MEudemon display hrp state The firewalls config state is: MASTER Current state of virtual routers configured as master: GigabitEthernet1/0/0 vrid 1 : master GigabitEthernet3/0/0 vrid 2 : master GigabitEthernet2/0/0 vrid 3 : master #在Eudemon A上执行display hrp state命令，检查当

15、前HRP的形状，显示以上信息表示HRP建立胜利。 路由方式-负载分担组网方式防火墙设备管理组备份组优先级状态会话量AMaster备份组1，2，3高主用部分BSlave备份组1，2，3低备用0ASlave备份组4，5，6低备用0BMaster备份组4，5，6高主用部分Master/Slave管理组Eudemon ATrustUntrust备份组1备份组2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理组备份组3Eudemon BGE1/0/0GE3/0/0GE2/0/0备份组4备份组6备份组5PC1PC2Eudemon ATrustUntrust备份组1备份组2GE1/0/

16、0GE2/0/0GE3/0/0Slave/Master管理组Master/Slave管理组备份组3Eudemon BGE1/0/0GE3/0/0GE2/0/0备份组4备份组6备份组5路由方式-负载分担组网方式配置参考1Eudemon interface GigabitEthernet 1/0/0 Eudemon-GigabitEthernet1/0/0 ip address 10.100.10.3 24 Eudemon-GigabitEthernet1/0/0 vrrp vrid 1 virtual-ip 10.100.10.1 master Eudemon-GigabitEthernet1/

17、0/0 vrrp vrid 4 virtual-ip 10.100.10.2 slave Eudemon interface GigabitEthernet 3/0/0 Eudemon-GigabitEthernet3/0/0 ip address 202.38.10.3 24 Eudemon-GigabitEthernet3/0/0 vrrp vrid 2 virtual-ip 202.38.10.1 master Eudemon-GigabitEthernet3/0/0 vrrp vrid 5 virtual-ip 202.38.10.2 slave 将接口GE1/0/0和GE3/0/0参

18、与到对应的VRRP备份组中路由方式-负载分担组网方式配置参考2Eudemon ATrustUntrust备份组1备份组2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理组Master/Slave管理组备份组3Eudemon BGE1/0/0GE3/0/0GE2/0/0备份组4备份组6备份组5Eudemon interface GigabitEthernet 2/0/0 Eudemon-GigabitEthernet2/0/0 ip address 10.100.20.3 24 Eudemon-GigabitEthernet2/0/0 vrrp vrid 3 virtual

19、-ip 10.100.20.1 master Eudemon-GigabitEthernet2/0/0 vrrp vrid 6 virtual-ip 10.100.20.2 slave Eudemon hrp interface GigabitEthernet 2/0/0 Eudemon hrp enable #将GE1/0/0和GE3/0/0参与对应的备份组；指定HRP备份通道并使能HRP功能。 路由方式-负载分担组网方式配置参考3Eudemon ATrustUntrust备份组1备份组2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理组Master/Slave管理组备

20、份组3Eudemon BGE1/0/0GE3/0/0GE2/0/0备份组4备份组6备份组5HRP_MEudemon hrp auto-sync config HRP_MEudemon acl 2000 HRP_MEudemon-acl-basic-2000 rule permit source 10.100.10.0 0.0.0.255 HRP_MEudemon-acl-basic-2000 quit HRP_MEudemon firewall interzone trust untrust HRP_MEudemon-interzone-trust-untrust packet-filter

21、2000 outbound HRP_MEudemon-interzone-trust-untrust quit#使能配置命令自动备份功能并添加区域间包过滤规那么。HRP_MEudemon dis hrp state The firewalls config state is: MASTER Current state of virtual routers configured as master: GigabitEthernet3/0/0 vrid 2 : master GigabitEthernet2/0/0 vrid 3 : master GigabitEthernet1/0/0 vrid

22、 1 : master Current state of virtual routers configured as slave: GigabitEthernet3/0/0 vrid 5 : slave GigabitEthernet2/0/0 vrid 6 : slave GigabitEthernet1/0/0 vrid 4 : slave #在Eudemon A上执行display hrp state命令，检查当前HRP的形状。从以上显示信息可以看出，在Eudemon A上，VRRP备份组1、2、3属于Master管理组；VRRP备份组4、5、6属于Slave管理组。路由方式-负载分担组

23、网方式配置验证混合方式-主备组网方式上图组网方式可以实现负载分担吗？G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1Eudemon AEudemon BSwitch 1Switch 2Switch 3Switch 4trustuntrust备份组1PC1PC2混合方式-主备组网方式配置参考1G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1Eudemon AEudemon BSwitch 1Switch 2Switch 3Switch 4trustuntrust备份组1Eudemon interface GigabitEthernet 0/0/1

24、Eudemon-GigabitEthernet0/0/1 ip address 10.100.20.2 24 Eudemon-GigabitEthernet0/0/1 vrrp vrid 1 virtual-ip 10.100.20.1 master Eudemon firewall zone dmz Eudemon-zone-dmz add interface gigabitethernet 0/0/1 #配置GE0/0/1所属的VRRP备份组和虚拟IP地址，并将其参与DMZ区域 混合方式-主备组网方式配置参考2G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1Eude

25、mon AEudemon BSwitch 1Switch 2Switch 3Switch 4trustuntrust备份组1Eudemon interface gigabitethernet 0/0/0 Eudemon-GigabitEthernet 0/0/0 portswitch Eudemon interface gigabitethernet 0/0/2 Eudemon-GigabitEthernet 0/0/2 portswitch #配置GE0/0/0和GE0/0/2任务在透明方式。 混合方式-主备组网方式配置参考3G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1Eudemon AEudemon BSwitch 1Switch 2Switch 3Switch 4trustuntrust备份组1Eudemon vlan 2 Eudemon-vlan-2 port interface GigabitEthernet 0/0/0 Eudemon-vlan-2 port interface GigabitEthernet 0/0/2 Eudemon-vlan-2 hrp track master #建立VLAN 2，将接口GE0/0/0和