防火墙双机热备配置案例
防火墙技术案例5_双机热备(负载分担)组网下的IPSec配置
【防火墙技术案例5】双机热备（负载分担）组网下的IPSec配置
论坛的小伙伴们，大家好。强叔最近已经开始在“侃墙”系列中为各位小伙伴们介绍各种VPN了。说到VPN，小伙伴们肯定首先想到的是最经典的IPSec VPN，而且我想大家对IPSec的配置也是最熟悉的。但是如果在两台处于负载分担状态下的防火墙上部署IPSec VPN又该如何操作呢？有什么需要注意的地方呢？
本期强叔就为大家介绍如何在双机热备的负载分担组网下配置IPSec。
【组网需求】
如下图所示，总部防火墙NGFW_C和NGFW_D以负载分担方式工作，其上下行接口都工作在三层，并与上下行路由器之间运行OSPF协议。（本例中，NGFW是下一代防火墙USG6600的简称，软件版本为USG6600V100R001C10）
现要求分支用户访问总部的流量受IPSec隧道保护，且NGFW_C处理分支A发送到总部的流量，NGFW_D 处理分支B发送到总部的流量。当NGFW_C或NGFW_D中一台防火墙出现故障时，分支发往总部的流量能全部切换到另一台运行正常的防火墙。
【需求分析】
针对以上需求，强叔先带小伙们做一个简要分析，分析一下我们面临的问题以及解决这个问题的方法。1、如何使两台防火墙形成双机热备负载分担状态？
两台防火墙的上下行业务接口工作在三层，并且连接三层路由器，在这种情况下，就需要在防火墙上配置VGMP组（即hrp track命令）来监控上下行业务接口。如果是负载分担状态，则需要在每台防火墙上调动两个VGMP组（active组和standby组）来监控业务接口。
防火墙技术案例双机热备负载分担组网下的IPSec配置
论坛的小伙伴们，大家好。强叔最近已经开始在“侃墙”系列中为各位小伙伴们介绍各种VPN了。说到VPN，小伙伴们肯定首先想到的是最经典的IPSec VPN，而且我想大家对IPSec的配置也是最熟悉的。但是如果在两台处于负载分担状态下的防火墙上部署IPSec VPN又该如何操作呢有什么需要注意的地方呢
本期强叔就为大家介绍如何在双机热备的负载分担组网下配置IPSec。
【组网需求】
如下图所示，总部防火墙NGFW_C和NGFW_D以负载分担方式工作，其上下行接口都工作在三层，并与上下行路由器之间运行OSPF协议。（本例中，NGFW是下一代防火墙USG6600的简称，软件版本为
USG6600V100R001C10）
现要求分支用户访问总部的流量受IPSec隧道保护，且NGFW_C处理分支A发送到总部的流量，NGFW_D处理分支B发送到总部的流量。当NGFW_C或NGFW_D中一台防火墙出现故障时，分支发往总部的流量能全部切换到另一台运行正常的防火墙。
【需求分析】
针对以上需求，强叔先带小伙们做一个简要分析，分析一下我们面临的问题以及解决这个问题的方法。1、如何使两台防火墙形成双机热备负载分担状态
两台防火墙的上下行业务接口工作在三层，并且连接三层路由器，在这种情况下，就需要在防火墙上配置VGMP组（即hrp track命令）来监控上下行业务接口。如果是负载分担状态，则需要在每台防火墙上调动两个VGMP组（active组和standby组）来监控业务接口。
2、分支与总部之间如何建立IPSec隧道
正常状态下，根据组网需求，需要在NGFW_A与NGFW_C之间建立一条隧道，在NGFW_B与NGFW_D之间建立一条隧道。当NGFW_C与NGFW_D其中一台防火墙故障时，NGFW_A和NGFW_B都会与另外一台防火墙建立隧道。
NGX_R70_CheckPoint_防火墙双机热备安装文档
NGX R70 checkpoint 防火墙双机热备安装文档
说明：
需要二个防火墙和一个管理服务器。
二个防火墙必须用3个以上的网卡（外网，内网，心跳线）。
我们先装第一台防火墙。
系统的提示信息出现，90秒内没有按键，安装将取消，立刻按enter 键。
其中，add driver可用于添加设备，可以通过device list查看设备驱动是否正常。选择ok键继续
选择你要安装的软件刀片。
动态路由的选择，如果不需要就选第一个。
选择US 键盘。
配置。
配置第一个防火墙的IP和默认网关，
为避免冲突我们把WEB https://192.168.1.254:4434/访问的端口改成4434
格式化你的硬盘选择OK。
安装完成OK，重新启动。
第二台防火墙的安装，和第一台一样（IP不太一样）。
立即按回车90秒以内。
选择OK
按自己的需求选择软件刀片
选择路由是否需要动态路由。不需要选第一个。
US键盘
编辑第一端口方便进入WEB https://192.168.1.253:4434/进行配置。
配置IP和默认网关。
修改成4434端口。
格式化。
重新启动。
在IE浏览器输入https://192.168.1.254:4434/进行第一台防火强的环境配置。默认帐号和密码都是admin
输入一个新的密码。
下一步。
配置3个接口，外网，内网，和心跳线。
配置外网的默认网关。
配置对应的DNS。
修改一下防火强的名称。
时间配置。
下一步，所有人都人访问这个CLIENT。
集群中的checkpoint防火墙此界面只选择安全网关Security Gateway，不需要在每个集群
防火墙双机热备配置案例
双机热备
网络卫士防火墙可以实现多种方式下的冗余备份，包括：双机热备模式、负载均衡模式和连接保护模式。
在双机热备模式下（最多支持九台设备），任何时刻都只有一台防火墙（主墙）处于工作状态，承担报文转发任务，一组防火墙处于备份状态并随时接替任务。当主墙的任何一个接口（不包括心跳口）出现故障时，处于备份状态的防火墙经过协商后，由优先级高的防火墙接替主墙的工作，进行数据转发。
在负载均衡模式下（最多支持九台设备），两台/多台防火墙并行工作，都处于正常的数据转发状态。每台防火墙中设置多个VRRP备份组，两台/多台防火墙中VRID相同的组之间可以相互备份，以便确保某台设备故障时，其他的设备能够接替其工作。
在连接保护模式下（最多支持九台设备），防火墙之间只同步连接信息，并不同步状态信息。当两台/多台防火墙均正常工作时，由上下游的设备通过运行VRRP或HSRP进行冗余备份，以便决定流量由哪台防火墙转发，所有防火墙处于负载分担状态，当其中一台发生故障时，上下游设备经过协商后会将其上的数据流通过其他防火墙转发。
双机热备模式
基本需求
图 1双机热备模式的网络拓扑图
上图是一个简单的双机热备的主备模式拓扑图，主墙和一台从墙并联工作，两个防火墙的Eth2接口为心跳口，由心跳线连接用来协商状态，同步对象及配置信息。
配置要点
➢设置HA心跳口属性
➢设置除心跳口以外的其余通信接口属于VRID2
➢指定HA的工作模式及心跳口的本地地址和对端地址
➢主从防火墙的配置同步
WEBUI配置步骤
1）配置HA心跳口和其他通讯接口地址
HA心跳口必须工作在路由模式下，而且要配置同一网段的IP以保证相互通信。接口属性必须要勾选“ha-static”选项，否则HA心跳口的IP地址信息会在主从墙运行配置同步时被对方覆盖。
防火墙双机热备配置及组网指导
防火墙双机热备配置及组网指导
防火墙双机热备，主要是提供冗余备份的功能，在网络发生故障的时候避免业务出现中断。防火墙双机热备组网根据防火墙的模式，分路由模式下的双机热备组网和透明模式下的双机热备组网，下面分别根据防火墙的不同模式下的组网提供组网说明及典型配置。
1 1:防火墙双机热备命令行说明
防火墙的双机热备的配置主要涉及到HRP的配置，VGMP的配置，以及VRRP的配置,防火墙的双机热备组网配置需要根据现网的业务和用户的需求来进行调整，下面就防火墙的双机热备配置涉及到的命令行做一个解释说明。
1.1 1.1 HRP命令行配置说明
HRP是华为的冗余备份协议， Eudemon 防火墙使用此协议进行备份组网，达到链路状态备份的目的，从而保证在设备发生故障的时候业务正常。
HRP协议是华为自己开发的协议,主要是在VGMP协议的基础上进行扩展得到的；VGMP是华为的私有协议，主要是用来管理VRRP的，VGMP也是华为的私有协议，是在VRRP的基础上进行扩展得到的。不管是VGMP的报文，还是HRP的报文，都是VRRP的报文，只是防火墙在识别这些报文的时候能根据自己定义的字段能判断出是VGMP的报文,HRP的报文,或者是普通的VRRP的报文.
在Eudemon防火墙上，hrp的作用主要是备份防火墙的会话表，备份防火墙的servermap表，备份防火墙的黑名单，备份防火墙的配置，以及备份ASPF模块中的公私网地址映射表和上层会话表等.
两台防火墙正确配置VRRP，VGMP，以及HRP之后,将会形成主备关系，这个时候防火墙的命令行上会自动显示防火墙状态是主还是备，如果命令行上有HRP_M的标识,表示此防火墙和另外一台防火墙进行协商之后抢占为主防火墙，如果命令行上有HRP_S的标识,表示此防火墙和另外一台防火墙进行协商之后抢占为备防火墙。防火墙的主备状态只能在两台防火墙之间进行协商，并且协商状态稳定之后一定是一台为主状态另外一台为备状态，不可能出现两台都为主状态或者都是备状态的。
华为防火墙 双机热备配置
Quidway Eudemon300/500/1000
配置指南可靠性分册目录
目录1双机热备份配置 (1)
1.1简介 (2)
1.1.1总体概述 (2)
1.1.2VRRP概述 (4)
1.1.3VGMP概述 (5)
1.1.4备份方式分类 (6)
1.1.5HRP应用 (10)
1.1.6配置设备的主从划分 (10)
1.1.7配置命令和状态信息的备份 (11)
1.1.8双机热备份的组网方式 (12)
1.1.9报文来回路径不一致的组网 (13)
1.2配置VRRP备份组 (18)
1.2.1建立配置任务 (18)
1.2.2配置未加入VRRP管理组的VRRP备份组 (18)
1.2.3配置加入VRRP管理组的VRRP备份组 (19)
1.2.4检查配置结果 (20)
1.3配置VRRP管理组 (21)
1.3.1建立配置任务 (21)
1.3.2配置路由模式下的VRRP管理组 (22)
1.3.3配置混合模式下的VRRP管理组 (23)
1.3.4检查配置结果 (24)
1.4配置双机热备份 (24)
1.4.1建立配置任务 (24)
1.4.2配置来回路径一致时的双机热备份 (26)
1.4.3检查配置结果 (26)
1.5配置来回路径不一致时的链路可达性检查 (27)
1.5.1建立配置任务 (27)
1.5.2检查链路可达性 (27)
1.6使能来回路径不一致时的会话快速备份和报文搬迁 (28)
1.6.1建立配置任务 (28)
目录
Quidway Eudemon300/500/1000
配置指南可靠性分册
1.6.2使能会话快速备份 (29)
USG防火墙双机热备业务特性与配置
路由模式和混合模式都包含两种组网方式：
主备组网方式 负载分担组网方式
路由模式-主备组网方式
备份组1
Master管理组
USG A
GE1/0/0
GE3/0/0
PC1 Trust
GE2/0/0 备份组3
PC2 Untrust
HRP报文 VGMP报文 VRRP报文
HRP模块 VGMP管理组 VRRP备份组
接口
目录
双机热备份技术原理 USG防火墙双机热备份技术 双机热备份技术在防火墙上的实施
防火墙双机热备份组网方式
USG的双机热备份，可以工作在路由模式和混合模式两种模式 下：
路由模式是指USG的业务端口和HRP备份通道接口均工作在路由 模式下。
202.38.10.1
为防火墙上多个区域提供双机备份功能时，需要在 每一台防火墙上配置多个VRRP备份组。
VRRP在防火墙应用中存在的缺陷
(1) PC1
Trust
(8) Server
DMZ
(2) (7)
USG A Master
会话表项 (3)
(6)
(9)
Backup USG B
(4) PC2 (5) Untrust
状态一致性管理（管理组内VRRP备份组同步状态切换） 抢占管理（屏蔽VRRP备份组抢占） 通道管理（trans-only）
Day2-9 - 静默双机热备配置指导(FW)
FW 2 静默配置参数：
第 3 页
应用防火墙典型配置案例
公开
说明： 1、 “静默接口列表”与“静默监听接口列表”仅添加业务接口，且保持一致； 2、优先级计算：初始优先级=255（默认） ，静默监听接口优先级=10（默认） ，最终优先级= 初始优先级-静默监听接口优先级*异常（down）接口数量； 3、 主、 备状态选举： 成员设备优先级相同时， 比较风扇框 MAC， 小则为 master， 大则为 backup； 成员设备优先级不同时，比较优先级，大则为 master，小则为 backup。成员设备优先级相同 时，默认不开启抢占；成员设备优先级不同时，默认开启抢占。
注意： HA（心跳）接口地址必须为聚合接口，原因是当心跳线全部断开时，两台 FW 变成双主模式，由于 IP 地址配置相同，会造成地址冲突，网络中断。
(2) 访问：基本 > 网络管理 > 接口管理 > 组网配置，配置 IP 地址 FW 1 组网配置：
FW 2 组网配置：
第 2 页
应用防火墙典型配置案例
应用防火墙典型配置案例
公开
1.1.1 静默双机热备配置指导
1.1.1.1 功能简介 静默双机热备是一种选择协议，存在 master 与 backup 两种状态，通过交互心跳 报文选举和维持设备状态，master 设备负责转发数据包，backup 设备处于“静默”状 态，业务接口不进行任何数据转发。 当 master 设备出现故障时，状态迅速互换，这种转换过程就提供了动态的故障转 移机制，这就使互联设备迅速刷新 MAC 地址表，而不改变下一跳 IP 地址。使用静 默双机热备的好处是有更高的路径可用性而无需在互联设备上更改下一跳信息。 1.1.1.2 网络拓扑 某企业内网 IP 地址段为 172.16.1.0/24，在互联网出口部署两台 FW 做静默双机， 确保在主设备异常时，业务平滑迁移至备设备。
天融信防火墙双机热备配置说明
天融信防火墙双机热备配置说明
一、防火墙的接口设置：
ifconfig 'eth0' 10.1.3.4 255.255.255.0 内网接口//接内网交换机
ifconfig 'eth4' 211.141.203.74 255.255.255.0 外网接口口//上接F5
ifconfig 'eth5' 211.141.203.76 255.255.255.240 服务器区//接服务器区交换机
ifconfig 'eth6' 192.168.1.250 255.255.255.0 防火墙同步接口//主备防火墙间同步接口互连
二、按需配置好主防火墙
三、配置双击热备过程：
1、配置主防火墙的双机设置，并使之处于工作状态：
system -n 'work' //给主防火墙取名为work
system -i 0 //配置主防火墙的设备号为0
system -h backup working 3 //配置主防火墙为双机热备方式并处于工作状态
system ssp on //在主防火墙上打开状态同步协议
2、在从防火墙上清空所有配置：
restore config //恢复防火墙出厂默认值
ifconfig eth6 off //清空防火墙所有接口地址（默认出厂只有eth6有地址）
3、配置从防火墙的双机设置，并使之处于备用状态：
system -n 'standby' //给从防火墙取名为standby
system -i 1 //配置从防火墙的设备号为1
system -h backup standby 3 //配置从防火墙为双机热备方式并处于备用状态
实战行业USG防火墙双机热备多ISP接入
两台USG5120防火墙多ISP接入，运行双机热备主备模式。
内网两台S7706交换机运行VRRP，各自连接到USG5120防火墙上。
应用服务器做双网卡绑定(主备模式)，分别连接两台S7706交换机上。
两台USG防火墙上、下行运行VRRP。
通过配置VRRP备份组，分别加入到VGMP管理组中。通过Master和Slave状态统一监控。
心跳接口不参加业务流量。
启用HRP备份功能，对两台USG的配置与状态进行实时备份，避免网络异常业务中断长久。
配置NAT策略，供内网用户上Internet。
配置端口映射将内部应用发布到外网。
防火墙默认域间策略全部放行，方便测试。
网络拓扑：
set priority 15
add interface GigabitEthernet 0/0/0
#
interface GigabitEthernet 0/0/1
ip add 10.10.12.1 24
#
firewall zone name wan2
set priority 10
add interface GigabitEthernet 0/0/1
#
interface GigabitEthernet 0/0/2
ip add 10.10.10.1 24
#
firewall zone trust
add interface GigabitEthernet 0/0/2
#
interface GigabitEthernet 0/0/3
ip address 10.10.254.1 24
#
firewall zone dmz
add interface GigabitEthernet 0/0/8
华为防火墙实现双机热备配置详解,附案例
华为防火墙实现双机热备配置详解，附案例
一提到防火墙，一般都会想到企业的边界设备，是内网用户与互联网的必经之路。防火墙承载了非常多的功能，比如：安全规则、IPS、文件类型过滤、内容过滤、应用层过滤等。也正是因为防火墙如此的重要，如果防火墙一旦出现问题，所有对外通信的服务都将中断，所以企业中首先要考虑的就是防火墙的优化及高可用性。
本文导读
一、双机热备工作原理
二、VRRP协议
三、VGMP协议
四、实现防火墙双机热备的配置
一、双机热备工作原理
在企业中部署一台防火墙已然成为常态。如何能够保证网络不间断地传输成为网络发展中急需解决的问题！
企业在关键的业务出口部署一台防火墙，所有的对外流量都要经过防火墙进行传输，一旦防火墙出现故障，那么企业将面临网络中断的问题，无论防火墙本身的性能有多好，功能有多么强大。在这一刻，都无法挽回企业面临的损失。
所以在企业的出口部署两台防火墙产品，可以在增加企业安全的同时，保证业务传输基本不会中断，因为两台设备同时出现故障的概率非常小。经过图中右边的部署，从拓补的角度来看，网络具有非常高的可靠性，但是从技术的角度来看，还需解决一些问题，正因为防火墙和路由器在工作原理上有着本质的区别，所以防火墙还需一些特殊的配置。
左图，内部网络可以通过R3→R1→R4到达外部网络，也可以通过
R3→R2→R4到达，如果通过R3→R1→R4路径的cost（运行OSPF协议）比较小，那么默认情况，内部网络将通过R3→R1→R4到达外部网络，当R1设备损坏时，OSPF将自动收敛，R3将通过R2转发到达外部网络。
飞塔防火墙双机-HA与会话同步
当主服务器出现故障时，从服务器可以自动接管服务。
双机-ha技术的优势与局限性
• 负载均衡：通过负载均衡，提高服务器的处理能力和效率。
双机-ha技术的优势与局限性
成本较高
01
需要两台或多台服务器，成本相对较高。
技术复杂
02
需要专业的技术人员进行配置和维护。
对网络要求较高
03
双机-ha技术的正常运行需要稳定的网络环境和良好的网络设备。
问题二
如何处理防火墙之间的网络延迟和 数据传输问题？
问题三
如何保证防火墙的安全性和稳定性？
实现效果的评估与优化
评估一
01
评估二
02
03
评估三
测试会话同步的实时性和可靠性， 确保在主备防火墙切换或负载均 衡时，会话能够快速恢复。
测试防火墙之间的网络延迟和数 据传输速度，优化网络配置和防 火墙参数。
测试防火墙的安全性和稳定性， 加强安全策略和日志审计，提高 防火墙的防御能力。
飞塔防火墙双机-ha 与会话同步
目录
CONTENTS
• 飞塔防火墙简介 • 双机-ha技术介绍 • 会话同步技术介绍 • 飞塔防火墙双机-ha与会话同步的实现 • 案例分析
01 飞塔防火墙简介
飞塔防火墙的功能与特点
高效防护
具备强大的安全防护功能，能够抵御各类网 络攻击和威胁。
配置天融信NGFW4000防火墙双机热备策略
将此防火墙设置为从防火墙模式，且把防火墙的ID号设置为1。
e. 第三步是通过防火墙管理软件连接上防火墙，可按实际网络环境需要配置相应的访问策略（如有疑问请参看“防火墙4000访问策略和通信策略”相关文档或DEMO演示）；
f. 接下来在防火墙管理器中点击“工具”→“配置管理” 中的“同步”按钮，使得主从防火墙的状态保持一致；
g. 以上步骤完成以后，防火墙即进入双机热备状态：一旦主防火墙系统出现故障或主传输线路中断时，从防火墙便会立即接替工作。
h. 本操作暂无DEMO演示（以后版本中会加以补充）。
注意：
在双机热备的系统中，两台防火墙的软件版本必须相同，网络端口的数目和类型也要相同；必须将每个防火墙的最后一个接口作为热备口；心跳线必须选用交叉线连接；如果防火墙有多余的端口，必须将其DOWN掉，具体操作如下（进入串口模式）：
另外，两台防火墙的配置必须保持一致；管理员通过管理器只能对一台防火墙进行管理，配置完毕后，必须通过“同步”菜单将修改信息发送到另一台防火墙。
关键词：
状态传输开关：用于保护防火墙已经建立的连接在主从防火墙切换时不会导致丢失。例如某个连接经过主防火墙，此时主墙发生故障，由从墙接替工作。如果状态传输（STP）开关没有打开，则这个连接必须重新建立才能通信；如果开关打开，则连接不需要重新建立，两端的通信机器可以完全没有意识到故障的存在。
知识点：
双机热备：将两台网络设备并联在网络中，在任何时刻只有一台设备工作（称为主设备），另一台设备（称为从设备）监视主设备的工作状态；当主设备发生故障时，由从设备来接替工作。
Eudemon防火墙双机热备业务特性与配置
Eudemon防火墙双机热备业务特性与配置
Eudemon防火墙是华为公司推出的一款高性能、高可靠性的
网络安全设备。在网络架构中，防火墙是非常重要的部分，其主要作用是监控和控制数据流量，保护网络安全。而双机热备技术则是防火墙设备中的一项重要功能，能够在主设备故障的情况下，自动进行切换，保障网络的连续性和可靠性。
Eudemon防火墙的双机热备技术具有以下几个特性：
1、高可用性：双机热备技术使得主备设备之间的状态保持实
时同步，当主设备发生故障时，备设备可以立即接管主设备的工作，保证网络的持续运行。
2、高性能：双机热备技术采用硬件加速和负载均衡技术，可
以将数据流量均匀地分发到主备设备上进行处理，提高防火墙的处理能力和响应速度。
3、灵活的部署方式：双机热备技术支持主备设备的本地部署
和远程部署，可以根据实际情况进行选择，灵活满足不同网络环境的需求。
4、恢复能力强：双机热备技术具备自动切换和自动恢复功能，当主设备恢复正常运行时，能够自动将工作从备设备切换回主设备，实现系统的自动恢复和平滑过渡。
5、稳定可靠：双机热备技术采用了多种冗余设计，包括硬件
冗余、软件冗余和数据冗余等，可以有效地提高防火墙的稳定
性和可靠性，有效避免单点故障的发生。
对于Eudemon防火墙双机热备的配置，可以按照以下步骤进行：
1、设备连接和初始化：将主备设备之间进行物理连接，确保两者之间的网络畅通，然后进行设备的初始化配置，包括设置IP地址、子网掩码、网关等，以及进行设备的授权和许可证的导入。
2、主备设备的信息同步：在主备设备之间进行信息同步，包括配置文件、路由表、状态信息等。这是保证主备设备之间能够实时同步状态的基础。
防火墙双机热备配置案例
双机热备
网络卫士防火墙可以实现多种方式下的冗余备份，包括：双机热备模式、负载均衡模式和连接保护模式。
在双机热备模式下（最多支持九台设备），任何时刻都只有一台防火墙（主墙）处于工作状态，承担报文转发任务，一组防火墙处于备份状态并随时接替任务。当主墙的
任何一个接口（不包括心跳口）出现故障时，处于备份状态的防火墙经过协商后，由优先级高的防火墙接替主墙的工作，进行数据转发。
在负载均衡模式下（最多支持九台设备），两台/ 多台防火墙并行工作，都处于正常的数据转发状态。每台防火墙中设置多个VRRP备份组，两台/多台防火墙中VRID 相同的组之间可以相互备份，以便确保某台设备故障时，其他的设备能够接替其工作。
在连接保护模式下（最多支持九台设备），防火墙之间只同步连接信息，并不同步状态信息。当两台/多台防火墙均正常工作时，由上下游的设备通过运行VRRP或HSRP 进行冗余备份，以便决定流量由哪台防火墙转发，所有防火墙处于负载分担状态，当其中一台发生故障时，上下游设备经过协商后会将其上的数据流通过其他防火墙转发。
双机热备模式
基本需求
图 1 双机热备模式的网络拓扑图
上图是一个简单的双机热备的主备模式拓扑图，主墙和一台从墙并联工作，两个防火墙的Eth2接口为心跳口，由心跳线连接用来协商状态，同步对象及配置信息。
配置要点
设置HA心跳口属性
设置除心跳口以外的其余通信接口属于VRID2
指定HA的工作模式及心跳口的本地地址和对端地址
主从防火墙的配置同步
WEBUI配置步骤
1配置HA心跳口和其他通讯接口地址
HA心跳口必须工作在路由模式下，而且要配置同一网段的IP以保证相互通信。接口属性必须要勾选“ ha-static选项，否则HA心跳口的IP地址信息会在主从墙运行配置同步时被对方覆盖。
SecPath防火墙双机热备+NAT+Server的典型配置
SecPath防火墙双机热备+NAT Server的典型配置
一、组网需求：
SecPath防火墙在主备切换的情况下不影响pc从FTPServer上下载数据。
二、组网图
SecPath1000F：版本为Version 3.40, ESS 1622；
FTP Server：Windows XP操作系统；
PC：Windows XP操作系统.
三、配置步骤
1.SecPath1000F（主）的主要配置：
#
sysname fw1
#
firewall packet-filter enable
firewall packet-filter default permit
#
interface Ethernet1/0
#
interface GigabitEthernet0/0
ip address 202.103.1.1 255.255.255.0
nat server protocol tcp global 202.103.1.88 any inside 192.168.1.254 any //FTP服务器的地址映射
#
interface GigabitEthernet0/1
ip address 192.168.1.1 255.255.255.0
#
firewall zone trust
add interface GigabitEthernet0/1
set priority 85
#
firewall zone untrust
add interface GigabitEthernet0/0
set priority 5
#
firewall zone DMZ //心跳线接口也同样需要加入某一域
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
双机热备
网络卫士防火墙可以实现多种方式下的冗余备份，包括：双机热备模式、负载均衡模式和连接保护模式。
在双机热备模式下（最多支持九台设备），任何时刻都只有一台防火墙（主墙）处于工作状态，承担报文转发任务，一组防火墙处于备份状态并随时接替任务。当主墙的任何一个接口（不包括心跳口）出现故障时，处于备份状态的防火墙经过协商后，由优先级高的防火墙接替主墙的工作，进行数据转发。
在负载均衡模式下（最多支持九台设备），两台/多台防火墙并行工作，都处于正常的数据转发状态。每台防火墙中设置多个VRRP备份组，两台/多台防火墙中VRID相同的组之间可以相互备份，以便确保某台设备故障时，其他的设备能够接替其工作。
在连接保护模式下（最多支持九台设备），防火墙之间只同步连接信息，并不同步状态信息。当两台/多台防火墙均正常工作时，由上下游的设备通过运行VRRP或HSRP进行冗余备份，以便决定流量由哪台防火墙转发，所有防火墙处于负载分担状态，当其中一台发生故障时，上下游设备经过协商后会将其上的数据流通过其他防火墙转发。
双机热备模式
基本需求
图 1双机热备模式的网络拓扑图
上图是一个简单的双机热备的主备模式拓扑图，主墙和一台从墙并联工作，两个防火墙的Eth2接口为心跳口，由心跳线连接用来协商状态，同步对象及配置信息。
配置要点
➢设置HA心跳口属性
➢设置除心跳口以外的其余通信接口属于VRID2
➢指定HA的工作模式及心跳口的本地地址和对端地址
➢主从防火墙的配置同步
WEBUI配置步骤
1）配置HA心跳口和其他通讯接口地址
HA心跳口必须工作在路由模式下，而且要配置同一网段的IP以保证相互通信。接口属性必须要勾选“ha-static”选项，否则HA心跳口的IP地址信息会在主从墙运行配置同步时被对方覆盖。
➢主墙
a）配置HA心跳口地址。
①点击网络管理>接口，然后选择“物理接口”页签，点击eth2接口后的“设置”图标，配置基本信息，如下图所示。
点击“确定”按钮保存配置。
②点击eth2接口后的“设置”图标，在“路由模式”下方配置心跳口的IP地址，然后点击“添加”按
钮，如下图所示。
“ha-static”选项必须勾选，否则运行状态同步时IP地址信息也会被同步。
点击“确定”按钮保存配置。
b）配置Eth1和Eth0口的IP地址。
错误!未指定书签。。
说明
✧互为备份的接口必须配置相同的IP地址，所以主墙的Eth1口必须与从墙Eth1口的IP
地址相同，主墙的Eth0口必须与从墙Eth0口的IP地址相同。
➢从墙
a）配置HA心跳口地址。
配置从墙HA心跳口地址为10.1.1.2，具体步骤请参见主墙的配置，此处不再赘述。
b）配置Eth1和Eth0口的IP地址。
2）设置除心跳口以外的其余通信接口属于VRID2。
主备模式下，只能配置一个VRRP备份组，而且通信接口必须加入到具体的VRID组中，防火墙才会根据此接口的up、down状态，来判断本机的工作状态，以进行VRID组内主备状态的切换。
➢主墙
a）选择网络管理>接口，然后选择“物理接口”页签，在除心跳口以外的接口后点击“设置”图标（以eth0为例）。
b）勾选“高级属性”后的复选框，设置该接口属于vrid2，如下图所示。
c）参数设置完成后，点击“确定”按钮保存配置。
➢从墙
具体步骤请参见主墙的配置，此处不再赘述。
3）指定HA的工作模式及心跳口的本地地址和对端地址。
需要设置HA工作在“双机热备”模式下，并设置当前防火墙为主墙或从墙，心跳口的本地及对端IP 地址信息、心跳间隔等属性。
➢主墙
a）选择高可用性>双机热备，选中“双机热备”前的单选按钮，配置基本信息，如下图所示。
设置本机地址为心跳口eth2的IP地址（10.1.1.1）；
设置对端地址为从墙心跳口eth2的IP地址（10.1.1.2），超过两台设备时，必须将“对端地址”设为本地地址所在子网的子网广播地址（最多支持八台对端设备）；
心跳探测间隔可以使用默认值（1秒），心跳探测间隔是两个防火墙间互通状态信息报文的时间间隔，也是用于检测对端设备是否异常的重要参数，互为热备的防火墙的此参数必须设置一致，否则很可能导致从墙的主从状态的来回切换；
设置热备组为通信接口的VRID（2）；
选择身份为“主机”；
“抢占”模式，是指主墙宕机后，重新恢复正常工作时，是否重新夺回主墙的地位。只有当主墙与从墙相比有明显的性能差异时，才需要配置主墙工作在“抢占”模式，否则当主墙恢复工作时主从墙的再次切换浪费系统资源，没有必要。案例中两台防火墙相同，所以主墙不需要配置为“抢占”模式。
b）勾选“高级配置”左侧的复选框，进行高级配置，如下图所示。
c）参数设置完成后，点击“应用”按钮保存配置。
d）点击“启用”按钮，启动该主备模式，心跳口连接建立，如下图所示。
➢从墙
配置操作和主墙的基本相同，但注意身份为“从属机”，本机地址为10.1.1.2，对端地址为10.1.1.1，不选择“抢占”。
4）主从防火墙的配置同步
在主墙点击“从本机同步到对端机”，将主墙的当前配置同步到从墙。
至此，主墙和从墙的双机热备就可以正常使用了。
CLI配置步骤
1）配置HA的交互IP（心跳线相连的两个端口）
➢主墙
#networkinterface eth2ipadd10.1.1.1mask255.255.255.0 ha-static
#networkinterface eth0vrid2
#networkinterface eth1vrid2
➢从墙
#networkinterface eth2ipadd10.1.1.2mask255.255.255.0ha-static
#networkinterface eth0vrid2
#networkinterface eth1vrid2
2）指定HA网口本地地址以及对端地址
➢主墙
#hamode as
#halocal10.1.1.1
#hapeer10.1.1.2
#haas-vrid2
#havrid2priority254
#havrid2preempt disable
#haenable
➢从墙
#hamode as
#halocal10.1.1.2
#hapeer10.1.1.1
#haas-vrid2
#havrid2priority100
#havrid2preempt disable