前往小程序，Get更优阅读体验！
立即前往
文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布
首页
学习
活动
专区
圈层
工具
MCP广场
返回腾讯云官网
社区首页 >专栏 >跨网段双机热备

跨网段双机热备

作者头像
随心助手
发布于 2021-12-08 05:44:20
发布于 2021-12-08 05:44:20
3K00
代码可运行
举报
文章被收录于专栏：nginx遇上redisnginx遇上redis
运行总次数：0
代码可运行

组网需求：

USG5500作为安全设备被部署在业务节点上。其中上下行设备均为交换机，USG5300A，USG5300B分别充当主设备和备用设备，且均工作在路由模式下。

网络规划如下：

(1)需要保护的网段地址为192.168.1.0/24，与USG5300的GigabitEthernet 0/0/1接口相连，局部在Trust区域中。

(2)外部网络与USG5300的GigabitEthernet 0/0/3接口相连，部署在Untrust区域。

(3)两台USG5300的HRP备份通道接口接口GigabitEthernet 0/0/2部署在DMZ区域。

其中，各安全区域对应的VRRP组虚拟IP地址如下：

(1)trust域对应的VRRP组虚拟IP为地址10.100.10.1/24

(2)Untrust域对应的VRRP组虚拟IP地址为202.38.10.1/24

(3)dmz域对应的VRRP组虚拟IP地址为10.100.20.1/24

具体配置如下： FW1操作步骤：

1.配置端口IP

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
[FW1]interface GigabitEthernet 0/0/1
[FW1-GigabitEthernet0/0/1] ip address 10.100.10.2 24
[FW1-GigabitEthernet0/0/1]quit
[FW1]interface GigabitEthernet0/0/2
[FW1-GigabitEthernet0/0/2] ip address 10.100.20.2 24
[FW1-GigabitEthernet0/0/2]quit
[FW1]interface GigabitEthernet 0/0/3
[FW1-GigabitEthernet0/0/3] ip address 202.38.10.2 24
[FW1-GigabitEthernet0/0/3]quit

2.加入对应安全区域

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
[FW1]firewall zone trust
[FW1-zone-trust]add interface GigabitEthernet 0/0/1
[FW1-zone-trust]quit
[FW1]firewall zone dmz
[FW1-zone-dmz]add GigabitEthernet0/0/2
[FW1-zone-DMZ]quit
[FW1]firewall zone untrust
[FW1-zone-untrust]add interface GigabitEthernet 0/0/3
[FW1-zone-untrust]quit

3.配置VRRP组的虚拟IP，注意：在使用模拟器的时候要开启虚拟MAC地址的功能，要不配置的虚IP就无法PING通（在配置VRRP组前，要先配置接口IP）

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
[FW1]interface GigabitEthernet 0/0/1
[FW1-GigabitEthernet0/0/1] vrrp vrid 1 virtual-ip 10.100.10.1 master
[FW1-GigabitEthernet0/0/1] vrrp virtual-mac enable 
[FW1]interface GigabitEthernet 0/0/3
[FW1-GigabitEthernet0/0/3] vrrp vrid 2 virtual-ip 202.38.10.1 master
[FW1-GigabitEthernet0/0/3] vrrp virtual-mac enable
[FW1]interface GigabitEthernet 0/0/2
[FW1-GigabitEthernet0/0/2] vrrp vrid 3 virtual-ip 10.100.20.1 master

4.配置HR备份通道

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
[FW1] hrp interface GigabitEthernet 0/0/2
[FW1] hrp enable
FW2操作步骤

1.配置端口IP

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
[FW2]interface GigabitEthernet 0/0/1
[FW2-GigabitEthernet0/0/1] ip address 10.100.10.3 24
[FW2-GigabitEthernet0/0/1]quit
[FW2]interface GigabitEthernet 0/0/2
[FW2-GigabitEthernet0/0/2] ip address 10.100.20.3 24
[FW2-GigabitEthernet0/0/2]quit
[FW2]inerface GigabitEthernet 0/0/3
[FW2-GigabitEthernet0/0/3] ip address 202.38.10.3 24
[FW2-GigabitEthernet0/0/3]quit

2.加入对应安全区域

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
[FW2]firewall zone trust
[FW2-zone-trust]add interface GigabitEthernet 0/0/1
[FW2-zone-trust]quit
[FW2]firewall zone dmz
[FW2-zone-dmz]add interface GigabitEthernet 0/0/2
[FW2-zone-DMZ]quit
[FW2]firewall zone untrust
[FW2-zone-untrust]add interface GigabitEthernet 0/0/3
[FW2区-untrust]quit

3.配置VRRP组的虚拟IP，注意：在使用模拟器的时候要开启虚拟MAC地址的功能，要不配置的虚IP就无法PING通（在配置VRRP组前，要先配置接口IP)

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
[FW2]interface GigabitEthernet 0/0/1
[FW2-GigabitEthernet0 / 0/1] vrrp vrid 1 virtual-ip 10.100.10.1 slave
[FW2-GigabitEthernet0 / 0/1] vrrp virtual-mac enable 
[FW2]interface GigabitEthernet 0/0/3
[FW2-GigabitEthernet0 / 0/3] vrrp vrid 2 virtual-ip 202.38.10.1 slave
[FW2-GigabitEthernet0 / 0/3] vrrp virtual-mac enable
[FW2]inerface GigabitEthernet 0/0/2
[FW2-GigabitEthernet0 / 0/2] vrrp vrid 3 virtual-ip 10.100.20.1 slave

4.配置HR备份通道

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
[FW2] hrp interface GigabitEthernet 0/0/2
[FW2] hrp enable

5.显示hrp和vrrp状态

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
HRP_S [FW2]display hrp state

防火墙的配置状态是：SLAVE

配置为从站的虚拟路由器的当前状态：

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
             GigabitEthernet0 / 0/2 vrid 3：slave
             GigabitEthernet0 / 0/3 vrid 2：slave
             GigabitEthernet0 / 0/1 vrid 1：slave
HRP_S [FW2]display vrrp

6.启动配置命令的自动备份功能，在FW1的域间防火墙策略会自动同步到FW2

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
HRP_M [FW1] hrp auto-sync config

7.配置TURST区域到非信任区域的域间防火墙策略

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
HRP_M [FW1]policy interzone trust untrust outbonnd
HRP_M [FW1-policy-interzone-trust-untrust-outbound]policy 1
HRP_M [FW1-policy-interzone-trust-untrust-outbound-1] policy source 192.168.1.0 0.0.0.255
HRP_M [FW1-policy-interzone-trust-untrust-outbound-1]action permit
HRP_M [FW1-policy-interzone-trust-untrust-outbound-1]quit

8.配置信任区域到非信任区域出方向的NAT策略

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
HRP_M [FW1] nat address-group 1 202.38.10.20 202.38.10.25
HRP_M [FW1] nat-policy interzone trust untrust outbound 
HRP_M [FW1-nat-policy-interzone-trust-untrust-outbound]policy 1
HRP_M [FW1-nat-policy-interzone-trust-untrust-outbound-1] policy source 192.168.1.0 0.0.0.255
HRP_M [FW1-nat-policy-interzone-trust-untrust-outbound-1] action source-nat 
HRP_M [FW1-nat-policy-interzone-trust-untrust-outbound-1]address-group 1
HRP_M [FW1 nat-policy-interzone-trust-untrust-outbound-1]quit

9.在FW1和FW2上添加静态路由

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
HRP_M [FW1] ip route-static 192.168.1.0 24 10.100.10.10
HRP_M [FW1] ip route-static 0.0.0.0 0.0.0.0 202.38.10.10
HRP_S [FW2] ip route-static 192.168.1.0 24 10.100.10.10
HRP_S [FW2] ip route-static 0.0.0.0 0.0.0.0 202.38.10.10
SW1操作步骤

1，划分VLAN并设置IP

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
[SW1] vlan batch 192 10
[SW1]interface Vlanif 10
[SW1-Vlanif10] ip address 10.100.10.10 24
[SW1-VLANIF10]quit
[SW1]interface Vlanif 192
[SW1-Vlanif192] ip address 192.168.1.254 24
[SW1-Vlanif192]quit

2，端口加入对应VLAN

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
[SW1]interface GigabitEthernet 0/0/1
[SW1-GigabitEthernet0 / 0/1] port link-type trunk 
[SW1-GigabitEthernet0 / 0/1] port trunk pvid vlan 10
[SW1-GigabitEthernet0 / 0/1] port trunk allow-pass vlan all 
[SW1]interface GigabitEthernet 0/0/2
[SW1-GigabitEthernet0 / 0/2] port link-type trunk 
[SW1-GigabitEthernet0 / 0/2] port trunk pvid vlan 10
[SW1-GigabitEthernet0 / 0/2] port trunk allow-pass vlan all 
[SW1]interface GigabitEthernet 0/0/3
[SW1-GigabitEthernet0 / 0/3]interface link-type access  
[SW1-GigabitEthernet0 / 0/3] port default vlan 192
[SW1-GigabitEthernet0 / 0/3]quit
[SW1]interface GigabitEthernet 0/0/4
[SW1-GigabitEthernet0 / 0/4] port link-type access  
[SW1-GigabitEthernet0 / 0/4] port default vlan 192
[SW1-GigabitEthernet0 / 0/4]quit

3，配置路由

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
[SW1] ip route-static 0.0.0.0 0.0.0.0 10.100.10.1
SW2操作步骤

1，划分VLAN并设置IP

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
[SW2] vlan batch 172 202
[SW2]interface Vlanif 172
[SW2-Vlanif172] IP address 172.16.1.254 24
[SW2-Vlanif172]quit
[SW2]interface Vlanif 202
[SW2-Vlanif202] ip address 202.38.10.10 24
[SW2-Vlanif202]quit

2，端口加入对应VLAN

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
[SW2]interface GigabitEthernet 0/0/3
[SW2-GigabitEthernet0 / 0/3]port link-type access
[SW2-GigabitEthernet0 / 0/3] port default vlan 172
[SW2-GigabitEthernet0 / 0/3]quit
[SW2]interface GigabitEthernet 0/0/2
[SW2-GigabitEthernet0 / 0/2] port link-type trunk
[SW2-GigabitEthernet0 / 0/2] port trunk pvid vlan 202
[SW2-GigabitEthernet0 / 0/2] port trunk allow-pass vlan all
[SW2] interface GigabitEthernet 0/0/1
[SW2-GigabitEthernet0 / 0/1] port link-type Trunk
[SW2-GigabitEthernet0 / 0/1] port trunk pvid vlan 202
[SW2-GigabitEthernet0 / 0/1] port trunk allow-pass vlan all

3，配置路由

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
[SW2] ip route-static 0.0.0.0 0.0.0.0 202.38.10.1
验证

使用trust区域的192.168.1.10 ping untrust区域的172.16.1.10

然后在FW1使用：显示防火墙会话表就会看到内网IP是使用NAT地址池的IP访问出去的

代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
HRP_M <FW1>display firewall table-session
13:00:04 2018/04/29
代码语言：javascript
代码运行次数：0
运行
AI代码解释
复制
 当前总会话数：4
  icmp V**：public  - > public 192.168.1.10:19025[202.38.10.23:2290]--> 172.16.1.1
0：2048
  icmp V**：public  - > public 192.168.1.10:19281[202.38.10.23:2291]--> 172.16.1.1
0：2048
  icmp V**：public  - > public 192.168.1.11:20561[202.38.10.22:2278]--> 172.16.1.1
0：2048
  icmp V**：public  - > public 192.168.1.11:20817 [202.38.10.22:2279]  - > 172.16.1.1
0：2048
本文参与 腾讯云自媒体同步曝光计划，分享自微信公众号。
原始发表：2021-12-02，如有侵权请联系 cloudcommunity@tencent.com 删除
tcp/ip
网络安全

本文分享自 nginx遇上redis 微信公众号，前往查看

如有侵权，请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ，欢迎热爱写作的你一起参与！

tcp/ip
网络安全
评论
登录后参与评论
0 条评论
热度
最新
登录 后参与评论
推荐阅读
目录
  • SW1操作步骤
  • SW2操作步骤
  • 验证
领券

腾讯云开发者

扫码关注腾讯云开发者

扫码关注腾讯云开发者

领取腾讯云代金券

热门产品

热门推荐

更多推荐

Copyright © 2013 - 2025 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有 

深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 深公网安备号 44030502008569

腾讯云计算（北京）有限责任公司 京ICP证150476号 |  京ICP备11018762号 | 京公网安备号11010802020287

问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档

Copyright © 2013 - 2025 Tencent Cloud.

All Rights Reserved. 腾讯云 版权所有

登录 后参与评论