华为USG防火墙双机热备（业务口工作在三层上下行连接交换机）华为USG防火墙双机热备（业务

防火墙双机热备与路由/交换机相比较的话，最主要的是会话备份的功能，路由器/交换机主备切换路由能转发就OK，防火墙需要匹配会话。

防火墙双机热备的三个协议

VRRP：虚拟路由冗余协议，在防火墙双机热备种主要作用是检测主备是否正常
VGMP：在防火墙双机热备中主备切换不在使用VRRP，而是将VRRP加入VGMP中由VGMP来管理主备切换。默认情况下主设备VGMP优先级为65001，备用设备优先级为65000。每当VGMP管理组中的一个VRRP出现故障那么VGMP的优先级减2
HRP：指定心跳口，用来备份会话表，server-map，以及一些命令等。

实验拓扑

文章图片

环境描述
FW1和FW2的G0/0/0属于untrust区域，G0/0/1作为心跳口属于DMZ区域，G0/0/2属于untrust区域。
VRRP1的虚拟IP：192.168.10.1/24
VRRP2的虚拟IP：192.168.20.1/24

实验目标
要求C1能够访问C2
完成流量倒换测试
观察VGMP优先级变化

FW1配置
--------------------------将接口加入对应的安全区域----------------------------------
[FW1]firewall zone trust
[FW1-zone-trust]add int g0/0/0
[FW1-zone-trust]quit
[FW1]firewall zone dmz
[FW1-zone-dmz]add intg0/0/1
[FW1-zone-dmz]quit
[FW1]firewall zone untrust
[FW1-zone-untrust]add int g0/0/2
[FW1-zone-untrust]quit

---------------------------------配置接口IP地址--------------------------------------------------
[FW1]int g0/0/0
[FW1-GigabitEthernet0/0/0]ip add 192.168.10.254 24
[FW1-GigabitEthernet0/0/0]int g0/0/1
[FW1-GigabitEthernet0/0/1]ip add 10.10.10.1 24
[FW1-GigabitEthernet0/0/1]int g0/0/2
[FW1-GigabitEthernet0/0/2]ip add 192.168.20.254 24
[FW1-GigabitEthernet0/0/2]quit

------------------VRRP配置--------------------------------------------------------------------
[FW1]int g0/0/0
[FW1-GigabitEthernet0/0/0]vrrp vrid 1 virtual-ip 192.168.10.1 master
//将接口加入VRRP 1中虚拟IP地址为192.168.10.1状态为主
[FW1-GigabitEthernet0/0/0]vrrp virtual-mac enable
//开启虚拟MAC地址功能，必须开启
[FW1]int g0/0/2
[FW1-GigabitEthernet0/0/2]vrrp vrid 2 virtual-ip 192.168.20.1 master
[FW1-GigabitEthernet0/0/2]vrrp virtual-mac enable

[FW1]hrp enable//开启hrp
[FW1]hrp auto-sync//启用命令与状态信息的自动备份
[FW1]hrp mirror session enable//启动会话快速备份
[FW1]hrp int g0/0/1//指定心跳接口

FW2配置

[FW2]firewall zone trust
[FW2-zone-trust]add int g0/0/0
[FW2-zone-trust]quit
[FW2]firewall zone dmz
[FW2-zone-dmz]add int g0/0/1
[FW2-zone-dmz]quit
[FW2]firewall zone untrust
[FW2-zone-untrust]add int g0/0/2
[FW2-zone-untrust]quit

[FW2]int g0/0/0
[FW2-GigabitEthernet0/0/0]ip add 192.168.10.253 24
[FW2-GigabitEthernet0/0/0]int g0/0/1
[FW2-GigabitEthernet0/0/1]ip add 10.10.10.2 24
[FW2-GigabitEthernet0/0/1]int g0/0/2
[FW2-GigabitEthernet0/0/2]ip add 192.168.20.253 24
[FW2]int g0/0/0
[FW2-GigabitEthernet0/0/0]vrrp vrid 1 virtual-ip 192.168.10.1 slave
[FW2-GigabitEthernet0/0/0]vrrp virtual-mac enable
[FW2]int g0/0/2
[FW2-GigabitEthernet0/0/2]vrrp vrid 2 virtual-ip 192.168.20.1 slave
[FW2-GigabitEthernet0/0/2]vrrp virtual-mac enable
[FW2-GigabitEthernet0/0/2]quit
[FW2]hrp enable
[FW2]hrp auto-sync
[FW2]hrp mirror session enable
[FW2]hrp int g0/0/1

这样双机热备就配置完成了，如果想要通信还需配置区域间的安全策略，在主设备上配置安全策略会自动同步到备用设备，在备用设备上是无法配置的

HRP_M[FW1]policyinterzone local untrust inbound
HRP_M[FW1-policy-interzone-local-untrust-inbound]policy 1
HRP_M[FW1-policy-interzone-local-untrust-inbound-1]policy source 192.168.20.0 0.0.0.255
HRP_M[FW1-policy-interzone-local-untrust-inbound-1]action permit
HRP_M[FW1-policy-interzone-local-untrust-inbound-1]quit
HRP_M[FW1-policy-interzone-local-untrust-inbound]quit
HRP_M[FW1]policyinterzone trust untrust outbound
HRP_M[FW1-policy-interzone-trust-untrust-outbound]policy 1
HRP_M[FW1-policy-interzone-trust-untrust-outbound-1]action permit

测试连通性

文章图片

使用display hrp group 命令查看VGMP的优先级

文章图片

如图可以看出主设备的优先级为65001

文章图片

如图可以看出备用设备的VGPM优先级65000

可以使用display hrp state查看当前hrp的状态
FW1

文章图片

FW2

文章图片

使用display vrrp可以查看vrrp组信息

FW1

HRP_M[FW1]dis vrrp
11:07:102016/04/05
GigabitEthernet0/0/2 | Virtual Router 2
VRRP Group : Master
state : Master
Virtual IP : 192.168.20.1
Virtual MAC : 0000-5e00-0102
Primary IP : 192.168.20.254
PriorityRun : 120
PriorityConfig : 100
MasterPriority : 120
Preempt : YESDelay Time : 0
Advertisement Timer : 1
Auth Type : NONE
Check TTL : YES

GigabitEthernet0/0/0 | Virtual Router 1
VRRP Group : Master
state : Master
Virtual IP : 192.168.10.1
Virtual MAC : 0000-5e00-0101
Primary IP : 192.168.10.254
PriorityRun : 120
PriorityConfig : 100
MasterPriority : 120
Preempt : YESDelay Time : 0
Advertisement Timer : 1
Auth Type : NONE
Check TTL : YES

FW 2
HRP_S[FW2]dis vrrp
11:09:002016/04/05
GigabitEthernet0/0/2 | Virtual Router 2
VRRP Group : Slave
state : Backup
Virtual IP : 192.168.20.1
Virtual MAC : 0000-5e00-0102
Primary IP : 192.168.20.253
PriorityRun : 120
PriorityConfig : 100
MasterPriority : 120
Preempt : YESDelay Time : 0
Advertisement Timer : 1
Auth Type : NONE
Check TTL : YES

GigabitEthernet0/0/0 | Virtual Router 1
VRRP Group : Slave
state : Backup
Virtual IP : 192.168.10.1
Virtual MAC : 0000-5e00-0101
Primary IP : 192.168.10.253
PriorityRun : 120
PriorityConfig : 100
MasterPriority : 120
Preempt : YESDelay Time : 0
Advertisement Timer : 1
Auth Type : NONE
Check TTL : YES

流量倒换测试

在C1上一直ping C2 将FW1的G0/0/2接口down掉

文章图片

由上图可以看出丢了2个包后数据正常转发

再次查看FW1和FW2的VGMP优先级

FW1

文章图片

FW2

文章图片

由上图可以看出由于VRRP组down了一个所以优先级减2，原本的FW1的65001变成了64999，由于优先级小于FW2优先级所以状态转换成Backup

【华为USG防火墙双机热备（业务口工作在三层上下行连接交换机）】转载于:https://blog.51cto.com/sunjie123/1760487

华为USG防火墙双机热备（业务口工作在三层上下行连接交换机）

推荐阅读

阴阳师百闻牌怎么清理缓存阴阳师怎么清除缓存ios

运动过度易致秃头防脱发试试这些药膳

金税盘怎么抄税航信抄税从哪个软件里，如何抄税报税

披针形叶披针形叶子图片

python经验分享，初学python想请教下大牛们该入门学习最重要是实践这方面

李鸿章是个好官还是坏官，李鸿章的功与过？

史密斯热水器故障解决史密斯热水器故障代码显示Eb

4月份怎么钓鱼鲫鱼

藏红花泡酒的用量

黄桃干的营养价值

如何评价微软的surface pro4和surface book？

WinRE,winre drv分区是干什么的

因子分析累计贡献率,因子的累计方差贡献率

手术后能吃花蛤吗

去风寒感冒最有效方法风寒感冒怎么好得快

刑法对打击报复证人刑事责任刑法对打击报复证人刑事责任的规定

防水|盘点目前最值得购买的几款机型，尤其最后一款深受大众喜爱

如何判断热水器是否注满水？史密斯热水器怎么显示水量

[∧]音标怎么读 θ怎么发音

元气骑士法师怎么玩法师通关攻略详解