去年给某银行部署过华为防火墙双出口冗余,主备模式,但是规定只能用他们的电脑调试,更不可能截图或者带备份配置文件出来,所以写这篇文章完全没有素材,只能用模拟器搭一下,实物照片,也是没有的,手机都不得带入机房。 进机房的时候还被告知,如果发生火情,务必在30秒内离开机房,因为30秒后,机房门窗会自动锁死,空气将被抽空,人在里面的话可相而知…… 言归正传,先看今天的拓扑图。 AR1代表运营商双出口网络,事实上并不存在这台设备;并且,银行也并没有采用PPPOE链路,此处只是为了顺便展示一下PPPOE的配置而已,这个必须事先声明,不然评论区肯定是一片质疑声;就算我现在声明了,还有很多人根本没看到,然后就会吐槽,哪个银行会用PPPOE链路?编故事也要像一点啊! 算了随他去吧,简单说说配置过程吧,当然其实上的链路远不止两条,毕竟银行都有内外网。 两台华为的防火墙,fw1为主,fw2为备;两台华为核心交换机,没有采用堆叠技术,而是采用VRRP技术进行配置。 准备工作:先让外网链路就位吧,在模拟器里面配置一下AR1,实际环境中是没有这一步的; aaa local-user test password cipher huawei //创建一个宽带账户密码 local-user test service-type ppp ip pool pppoe //创建PPPOE地址池,并且保留1-10不分配; network 202.1.1.0 mask 255.255.255.0 excluded-ip-address 202.1.1.1 202.1.1.10 interface Virtual-Template1 //创建模板,设定用户鉴权模式、指明IP地址池 ppp authentication-mode chap remote address pool pppoe ip address 202.1.1.1 255.255.255.0 interface GigabitEthernet0/0/0 //pppoe-server应用到接口 pppoe-server bind Virtual-Template 1 # interface GigabitEthernet0/0/1 //与FW2连接的接口,配置IP地址即可 ip address 202.2.2.1 255.255.255.0 以下才是真正的配置工作: 一、两台防火墙配置VRRP,主备模式[FW1]vlan 100 [FW1]int g1/0/3 [FW1-GigabitEthernet1/0/3]portswitch //默认是L3接口,开启L2功能 [FW1-GigabitEthernet1/0/3]p l t //端口配置为trunk模式 [FW1-GigabitEthernet1/0/3]p t a v a //放行所有VLAN [FW1-GigabitEthernet1/0/3]q [FW1]int vlan 100 [FW1-Vlanif100]ip ad 192.168.100.11 24 [FW1-Vlanif100]vrrp vrid 1 virtual-ip 192.168.100.254 active //加入VGMP组,FW1为主 [FW1]firewall zone dmz //vlan100是放服务器的,所以划到dmz区域 [FW1-zone-dmz]add int vlan 100 [FW1-zone-dmz]q FW2的配置就两处不同: [FW2-Vlanif100]ip add 192.168.100.12 24 [FW2-Vlanif100]vrrp vrid 1 virtual-ip 192.168.100.254 standby //加入VGMP组,FW2为备 Display vrrp,查看vrrp配置是否正确: 二、防火墙配置上行链路1、FW1配置PPPOE拨号: interface Dialer0 link-protocol ppp ppp chap user test ppp chap password cipher huawei mtu 1400 ip address ppp-negotiate dialer user test dialer bundle 1 dialer-group 1 firewall zone untrust add interface Dialer 0 dialer-rule 1 ip permit ip route-static 0.0.0.0 0 Dialer 0 //配置默认路由,PPPOE拨号的,没有固定的下一跳地址 2、FW2配置固定IP: [FW2]int g1/0/2 [FW2-GigabitEthernet1/0/0]ip add 202.2.2.2 24 [FW2-GigabitEthernet1/0/0]q [FW2]firewall zone untrust [FW2-zone-untrust]add int g1/0/2 [FW2-zone-untrust]q [FW2]ip route-static 0.0.0.0 0 202.2.2.1 //配置默认路由,下一跳是路由器接口IP 外部链路虽然配置好了,但是没有安全策略放行,是不能上网的。 三、防火墙配置下行链路1、FW1的配置: [FW1]vlan 111 [FW1]int vlan 111 [FW1-Vlanif111]ip add 172.16.111.11 24 [FW1-Vlanif111]ser ping permit [FW1-Vlanif111]q [FW1]firewall zone trust [FW1-zone-trust]add int vlan 111 [FW1-zone-trust]q [FW1]ospf router-id 172.1.1.11 [FW1-ospf-1]area 0 [FW1-ospf-1-area-0.0.0.0]net 192.168.100.11 0.0.0.0 [FW1-ospf-1-area-0.0.0.0]net 172.16.111.11 0.0.0.0 [FW1-ospf-1-area-0.0.0.0]q 2、FW2的配置: [FW2]vlan 112 [FW2]int vlan 112 [FW2-Vlanif112]ip add 172.16.112.12 24 [FW2-Vlanif112]ser ping permit [FW2-Vlanif112]q [FW2]firewall zone trust [FW2-zone-trust]add int vlan 112 [FW2-zone-trust]q [FW2]ospf router-id 172.1.1.12 [FW2-ospf-1]area 0 [FW2-ospf-1-area-0.0.0.0]net 192.168.100.12 0.0.0.0 [FW2-ospf-1-area-0.0.0.0]net 172.16.112.12 0.0.0.0 [FW2-ospf-1-area-0.0.0.0]q 下面的核心交换机还没配置,这个时候,OSFP是起不来的,不急于查看。现在可以配置两台防火墙的心跳线了: [FW1]int g1/0/0 [FW1-GigabitEthernet1/0/0]ip add 10.1.12.1 24 [FW1-GigabitEthernet1/0/0]q [FW1]firewall zone trust [FW1-zone-trust]undo add int g1/0/0 [FW1-zone-trust]q [FW1]firewall zone dmz [FW1-zone-dmz]add int g1/0/0 [FW1-zone-dmz]q 其实心跳线接口可以放在trunst区域,当然要放在DMZ区域也无可厚非。 [FW2]int g1/0/0 [FW2-GigabitEthernet1/0/0]ip add 10.1.12.2 24 [FW2-GigabitEthernet1/0/0]q [FW2]firewall zone trust [FW2-zone-trust]undo add interface g1/0/0 [FW2-zone-trust]q [FW2]firewall zone dmz [FW2-zone-dmz]add int g1/0/0 [FW2-zone-dmz]q 指定hrp链路,设置参数heartbeat-only,指定该备份通道只用于传输HRP控制协商报文,不备份连接状态,保证双机状态的稳定。 [FW1]hrp interface g1/0/0 remote 10.1.12.2 heartbeat-only [FW2]hrp interface g1/0/0 remote 10.1.12.1 heartbeat-only [FW2]hrp standby-device //设置FW2为备份设备 在hrp主设备上定义相关参数: [FW1]hrp standby config enable //备用设备也可以参与配置。默认standy设备不可以自行管理,必须从master设备同步配置 [FW1]hrp auto-sync config //开启配置命令和会话的自动同步,这个同步是相互的 [FW1]hrp mirror session enable //设置session的快速备份 [FW1]hrp timer hello 1000 //心跳线keepalive周期1sec,单位msec,默认就是1s一次 [FW1]hrp preempt delay 60 //如果Master设备故障恢复,需要保持60sec才可以恢复成Master身份,防止频繁震荡 [FW1]hrp preempt //开启恢复抢占 参数定义完成后,两端开启HRP [FW1]hrp enable [FW2]hrp enable 到这里,防火墙的主备冗余是基本上配置完成后,与核心交换机的互联,以及NAT、安全策略的配置,留到下一篇文章继续说明。
|
|