防火墙双机热备3.3配置案例
双机热备安装部署方案(heartbeat pacemaker)
双机热备安装部署方案（heartbeat 3.x +pacemaker）by——商胜前言双击热备用一句通俗易懂的话来说就是避免服务器因临时故障而导致服务中断的一种备份技术，这也就是所谓的高可用性。
本文主要是用heartbeat来针对resin下的服务做服务热备。
例如，在resin下现有三个服务server1 、server2 、server3 以及访问这三个服务的虚拟ip——vip:10.3.255.36 。
现在的需求是要保证这三个服务的高可用性，即当三个服务中的任何一个宕掉了以后，heartbeat首先要做的是判断这些服务是否有故障的，如果存在有故障的服务，heartbeat首先会在本机重启该故障服务，一旦该服务无法启动，则停止本机的server1、server2 、server3，切换虚拟ip到从机并在从机上启动这三个服务。
一.测试环境搭建测试环境说明：操作系统：Red Hat Enterprise Linux Server release 5.4 (Tikanga) 64位操作系统Heartbeat版本：heartbeat-3.0.3-2 附录中有heartbeat简介以及版本说明操作系统配置主服务器备用服务器主机名HB_Node01 HB_Node02Ip Eth0: 10.3.43.99Eth1: 192.168.254.12 Eth0: 10.3.43.99Eth1: 192.168.254.12vip 10.3.43.101(由heartbeat中生成)添加用户、用户组添加用户：hacluster useradd -M hacluster添加用户组：haclient groupadd haclient并且hacluster 属于用户组haclient usermod -G haclient hacluster主机名配置方式：设置主机名[root@localhost ~]# hostname HB_Node01[root@localhost ~]# vi /etc/hosts[root@localhost ~]# vi /etc/sysconfig/networkIp配置方式配置ip[root@HB_Node01 ~]# vi /etc/sysconfig/network-scripts/ifcfg-eth0 [root@HB_Node01 ~]# vi /etc/sysconfig/network-scripts/ifcfg-eth1（这里给出的是命令行配置方式，也可以进入图形界面进行配置）注意的问题：配置外网ip时配置默认网关，但在配置heartbeat1之间通信的ip时网关不要配置，因为这里再配置网关则会覆盖之前配置的默认网关导致通信异常。
防火墙双机热备配置案例
双机热备网络卫士防火墙可以实现多种方式下的冗余备份，包括：双机热备模式、负载均衡模式和连接保护模式。
在双机热备模式下（最多支持九台设备），任何时刻都只有一台防火墙（主墙）处于工作状态，承担报文转发任务，一组防火墙处于备份状态并随时接替任务。
当主墙的任何一个接口（不包括心跳口）出现故障时，处于备份状态的防火墙经过协商后，由优先级高的防火墙接替主墙的工作，进行数据转发。
在负载均衡模式下（最多支持九台设备），两台/多台防火墙并行工作，都处于正常的数据转发状态。
每台防火墙中设置多个VRRP备份组，两台/多台防火墙中VRID相同的组之间可以相互备份，以便确保某台设备故障时，其他的设备能够接替其工作。
在连接保护模式下（最多支持九台设备），防火墙之间只同步连接信息，并不同步状态信息。
当两台/多台防火墙均正常工作时，由上下游的设备通过运行VRRP或HSRP进行冗余备份，以便决定流量由哪台防火墙转发，所有防火墙处于负载分担状态，当其中一台发生故障时，上下游设备经过协商后会将其上的数据流通过其他防火墙转发。
双机热备模式基本需求图 1双机热备模式的网络拓扑图上图是一个简单的双机热备的主备模式拓扑图，主墙和一台从墙并联工作，两个防火墙的Eth2接口为心跳口，由心跳线连接用来协商状态，同步对象及配置信息。
配置要点➢设置HA心跳口属性➢设置除心跳口以外的其余通信接口属于VRID2➢指定HA的工作模式及心跳口的本地地址和对端地址➢主从防火墙的配置同步WEBUI配置步骤1）配置HA心跳口和其他通讯接口地址HA心跳口必须工作在路由模式下，而且要配置同一网段的IP以保证相互通信。
接口属性必须要勾选“ha-static”选项，否则HA心跳口的IP地址信息会在主从墙运行配置同步时被对方覆盖。
➢主墙a）配置HA心跳口地址。
①点击网络管理>接口，然后选择“物理接口”页签，点击eth2接口后的“设置”图标，配置基本信息，如下图所示。
点击“确定”按钮保存配置。
防火墙技术案例5_双机热备(负载分担)组网下的IPSec配置
7）??在NGFW_D上配置IPSec。
双机热备状态成功建立后，NGFW_C上配置的ACL、IPSec策略（包括其中的IPSec安全提议，IKE对等体）等都会自动备份到NGFW_D上。只有在接口上应用IPSec策略的配置不会备份，需要在此手动配置。
HRP_A[NGFW_C-ipsec-policy-isakmp-map2-10]?ike-peerngfw_b?
HRP_A[NGFW_C-ipsec-policy-isakmp-map2-10]?quit
6）??配置在Tunnel接口上应用IPSec策略。
【强叔点评】之前点评中提到我们需要在NGFW_C的tunnel1上与NGFW_A建立一条主用隧道，在tunnel2上与NGFW_B建立一条备份隧道，这是通过在应用IPSec策略时设定active或standby参数来实现的。
1、??如何使两台防火墙形成双机热备负载分担状态？
两台防火墙的上下行业务接口工作在三层，并且连接三层路由器，在这种情况下，就需要在防火墙上配置VGMP组（即hrptrack命令）来监控上下行业务接口。如果是负载分担状态，则需要在每台防火墙上调动两个VGMP组（active组和standby组）来监控业务接口。
【防火墙技术案例5】双机热备（负载分担）组网下的IPSec配置
论坛的小伙伴们，大家好。强叔最近已经开始在“侃墙”系列中为各位小伙伴们介绍各种VPN了。说到VPN，小伙伴们肯定首先想到的是最经典的IPSecVPN，而且我想大家对IPSec的配置也是最熟悉的。但是如果在两台处于负载分担状态下的防火墙上部署IPSecVPN又该如何操作呢？有什么需要注意的地方呢？
这个想法很好，但是如何实现呢？我们可以在NGFW_C上创建两个tunnel接口，然后在tunnel1上与NGFW_A建立一条主用隧道，在tunnel2上与NGFW_B建立一条备份隧道。同理在NGFW_D的tunnel1上与NGFW_A建立一条备份隧道，在tunnel2上与NGFW_B建立一条主用隧道。这里需要注意的是NGFW_C上的tunnel1（tunnel2）地址需要与NGFW_D上的tunnel1（tunnel2）地址保持一致。
【8A版】SecPath-防火墙双机热备典型配置
SecPath防火墙双机热备典型配置举例关键词：双机热备、主备模式、负载分担模式、数据同步、流量切换摘要：防火墙设备是所有信息流都必须通过的单一点，一旦故障所有信息流都会中断。
保障信息流不中断至关重要，这就需要解决防火墙设备单点故障问题。
双机热备技术可以保障即使在防火墙设备故障的情况下，信息流仍然不中断。
本文将介绍双机热备的概念、工作模式及典型应用等。
缩略语：目录1 特性简介 (3)1.1 双机热备的工作机制 (3)2 特性使用指南 (4)2.1 使用场合 (4)2.2 配置指南 (4)2.2.1 双机热备组网应用配置指南 (4)2.2.2 双机热备应用涉及的配置 (4)2.3 注意事项 (4)3 支持的设备和版本 (5)3.1 设备版本 (5)3.2 支持的设备 (5)3.3 配置保存 (5)4 配置举例 (6)4.1 典型组网 (6)4.2 设备基本配置 (9)4.2.1 其他共同配置： (9)4.3 双机热备业务典型配置举例 (9)4.3.1 透明模式＋主备模式 (9)4.3.2 透明模式＋负载分担模式 (14)4.3.3 路由模式＋主备模式 (17)4.3.4 路由模式＋负载分担模式 (19)4.3.5 路由模式＋主备模式＋支持非对称路径 (21)4.3.6 路由模式＋负载分担模式＋支持非对称路径 (28)4.3.7 动态路由模式组网 (33)5 相关资料 (33)1 特性简介双机热备在链路切换前，对会话信息进行主备同步；在设备故障后能将流量切换到其他备份设备，由备份设备继续处理业务，从而保证了当前的会话不被中断。
secpath防火墙具有多样化的组网方式，双机的组网应用也会很多种，本文试举几种双机热备的典型应用。
1.1 双机热备的工作机制互为备份的两台防火墙只负责会话信息备份，保证流量切换后会话连接不中断。
而流量的切换则依靠传统备份技术（如VRRP、动态路由）来实现，应用灵活，能适应各种组网环境。
实例解读：网络设备热备部署的三种模式
实例解读：⽹络设备热备部署的三种模式在⽹络和数据中⼼的核⼼区域，⽹络和服务器的热备部署已是⾮常普遍的部署模式。
下⾯就⽤三则实例介绍⽹络中，⽹络设备常⽤的热备部署模式。
以便⼤家在以后的⼯作中，能够根据⾃⼰的⽹络实际情况，选择正确的⽹络设备热备部署模式。
图1 ⼆层交换机的热备份部署模式⼀、⼆层交换机的热备份部署模式这种热备份部署模式在⽹络中也是最常见、最简单的部署⽅式，⼀般在⽹络的分布层⽐较常见。
为了实现交换机的冗余性，或者为了保障连接在交换机上的服务器的持续稳定运⾏，通常采⽤这种部署⽅式。
因为服务器的运⾏，⼀般都要保证7X24⼩时的连续运转。
所以，采⽤这种部署模式也⽐较合适。
如图1所⽰，是⼆层交换机的热备份部署拓扑图，共包括两台Cisoc 2960交换机和两台服务器，结构⽐较清晰。
设备间的连接情况如下所⽰：Cisco2960A GigabitEthernet0/1 <-----> Server1 Eth0Cisco2960A GigabitEthernet0/2 <-----> Server2 Eth0Cisco2960B GigabitEthernet0/1 <-----> Server1 Eth1Cisco2960B GigabitEthernet0/2 <-----> Server2 Eth1Cisco2960A GigabitEthernet0/24 <-----> Cisco2960B GigabitEthernet0/24Server1 Eth2 <-----> Server2 Eth2Server1的IP地址为192.168.2.11，⼦⽹掩码为255.255.255.0，Server2的IP地址为192.168.2.12，⼦⽹掩码为255.255.255.0。
两台服务器上的Eth0和Eth1两块⽹卡是绑定在⼀起的，例如Server1的Eth0和Eth1的两块⽹卡与外部进⾏数据通信时，两个⽹卡使⽤的IP地址都是192.168.2.11/24，若⼀块⽹卡故障的话，另⼀块⽹卡会继续保持与外界的通信，并不会影响服务器的正常运⾏。
华为防火墙(VRRP)双机热备配置及组网
防火墙双机热备配置及组网指导防火墙双机热备，主要是提供冗余备份的功能，在网络发生故障的时候避免业务出现中断。
防火墙双机热备组网根据防火墙的模式，分路由模式下的双机热备组网和透明模式下的双机热备组网，下面分别根据防火墙的不同模式下的组网提供组网说明及典型配置。
防火墙双机热备命令行说明防火墙的双机热备的配置主要涉及到HRP的配置，VGMP的配置，以及VRRP的配置，防火墙的双机热备组网配置需要根据现网的业务和用户的需求来进行调整，下面就防火墙的双机热备配置涉及到的命令行做一个解释说明。
HRP命令行配置说明HRP是华为的冗余备份协议，Eudemon 防火墙使用此协议进行备份组网，达到链路状态备份的目的，从而保证在设备发生故障的时候业务正常。
HRP协议是华为自己开发的协议，主要是在VGMP协议的基础上进行扩展得到的；VGMP 是华为的私有协议，主要是用来管理VRRP的，VGMP也是华为的私有协议，是在VRRP的基础上进行扩展得到的。
不管是VGMP的报文，还是HRP的报文，都是VRRP的报文，只是防火墙在识别这些报文的时候能根据自己定义的字段能判断出是VGMP的报文，HRP的报文，或者是普通的VRRP的报文。
在Eudemon防火墙上，hrp的作用主要是备份防火墙的会话表，备份防火墙的servermap表，备份防火墙的黑名单，备份防火墙的配置，以及备份ASPF模块中的公私网地址映射表和上层会话表等。
两台防火墙正确配置VRRP，VGMP，以及HRP之后，将会形成主备关系，这个时候防火墙的命令行上会自动显示防火墙状态是主还是备，如果命令行上有HRP_M的标识，表示此防火墙和另外一台防火墙进行协商之后抢占为主防火墙，如果命令行上有HRP_S的标识，表示此防火墙和另外一台防火墙进行协商之后抢占为备防火墙。
防火墙的主备状态只能在两台防火墙之间进行协商，并且协商状态稳定之后一定是一台为主状态另外一台为备状态，不可能出现两台都为主状态或者都是备状态的。
USG防火墙双机热备业务特性与配置
前言
在当前的组网应用中，用户对网络可靠性的要求越来越高， 特别是在一些重要的业务入口或接入点上需要保证网络不间 断运行。对于这些重要的业务点如何保证网络的不间断传输， 成为必须解决的一个问题。 本胶片主要介绍防火墙的双机热备份技术原理和具体配置， 以及在USG防火墙上实施双机热备份技术所使用的三种协议： VRRP、VGMP和HRP。
VGMP数据通道
TrustUSG A来自A1Master
A3
A2
A4
A4-B4
DMZ
B1
B4
B2
B3
Backup
USG B
Untrust
防火墙状态信息的备份
VGMP可以保证报文来回路径通过同一台防火墙。当主防火墙 出现故障时，所有流量都将切换到备防火墙。但USG防火墙 是状态防火墙，如果备防火墙上没有原来主防火墙上的连接 状态数据，则切换到备防火墙的很多流量将无法通过，造成 现有的连接中断，此时用户必须重新发起连接。 为了实现主用设备出现故障时能由备用设备平滑地接替工作， 需要在主、备用设备之间备份关键配置命令和会话表状态等 关键信息。
Trust
备份组1
Virtual IP Address 10.100.10.1
USG A Master
10.100.10.0/24 DMZ
10.100.20.0/24
备份组2 Virtual IP Address
10.100.20.1
USG B Backup
Untrust
备份组3 Virtual IP Address
混合模式是指USG的业务端口工作在透明模式下，而HRP备份通 道接口工作在路由模式下。
路由模式和混合模式都包含两种组网方式：
SecPath_防火墙双机热备典型配置
SecPath防火墙双机热备典型配置举例关键词：双机热备、主备模式、负载分担模式、数据同步、流量切换摘要：防火墙设备是所有信息流都必须通过的单一点，一旦故障所有信息流都会中断。
保障信息流不中断至关重要，这就需要解决防火墙设备单点故障问题。
双机热备技术可以保障即使在防火墙设备故障的情况下，信息流仍然不中断。
本文将介绍双机热备的概念、工作模式及典型应用等。
缩略语：目录1 特性简介 (3)1.1 双机热备的工作机制 (3)2 特性使用指南 (4)2.1 使用场合 (4)2.2 配置指南 (4)2.2.1 双机热备组网应用配置指南 (4)2.2.2 双机热备应用涉及的配置 (4)2.3 注意事项 (4)3 支持的设备和版本 (5)3.1 设备版本 (5)3.2 支持的设备 (5)3.3 配置保存 (5)4 配置举例 (6)4.1 典型组网 (6)4.2 设备基本配置 (9)4.2.1 其他共同配置： (9)4.3 双机热备业务典型配置举例 (9)4.3.1 透明模式＋主备模式 (9)4.3.2 透明模式＋负载分担模式 (14)4.3.3 路由模式＋主备模式 (17)4.3.4 路由模式＋负载分担模式 (19)4.3.5 路由模式＋主备模式＋支持非对称路径 (21)4.3.6 路由模式＋负载分担模式＋支持非对称路径 (27)4.3.7 动态路由模式组网 (32)5 相关资料 (33)1 特性简介双机热备在链路切换前，对会话信息进行主备同步；在设备故障后能将流量切换到其他备份设备，由备份设备继续处理业务，从而保证了当前的会话不被中断。
secpath防火墙具有多样化的组网方式，双机的组网应用也会很多种，本文试举几种双机热备的典型应用。
1.1 双机热备的工作机制互为备份的两台防火墙只负责会话信息备份，保证流量切换后会话连接不中断。
而流量的切换则依靠传统备份技术（如VRRP、动态路由）来实现，应用灵活，能适应各种组网环境。
天融信防火墙双机热备配置说明
天融信防火墙双机热备配置说明一、防火墙的接口设置：ifconfig 'eth0' 10.1.3.4 255.255.255.0 内网接口//接内网交换机ifconfig 'eth4' 211.141.203.74 255.255.255.0 外网接口口//上接F5ifconfig 'eth5' 211.141.203.76 255.255.255.240 服务器区//接服务器区交换机ifconfig 'eth6' 192.168.1.250 255.255.255.0 防火墙同步接口//主备防火墙间同步接口互连二、按需配置好主防火墙三、配置双击热备过程：1、配置主防火墙的双机设置，并使之处于工作状态：system -n 'work' //给主防火墙取名为worksystem -i 0 //配置主防火墙的设备号为0system -h backup working 3 //配置主防火墙为双机热备方式并处于工作状态system ssp on //在主防火墙上打开状态同步协议2、在从防火墙上清空所有配置：restore config //恢复防火墙出厂默认值ifconfig eth6 off //清空防火墙所有接口地址（默认出厂只有eth6有地址）3、配置从防火墙的双机设置，并使之处于备用状态：system -n 'standby' //给从防火墙取名为standbysystem -i 1 //配置从防火墙的设备号为1system -h backup standby 3 //配置从防火墙为双机热备方式并处于备用状态system ssp on //在从防火墙上打开状态同步协议4、把主防火墙和从防火墙的所有接口按照要求接到相应的设备5、在主防火墙执行同步命令，将主防火墙的所有配置同步到从防火墙上：writep //同步命令。
负载分担模式双机热备典型配置举例
负载分担模式双机热备典型配置举例4.1 组网需求在图36所示的防火墙动态路由OSPF双机热备组网中，需要实现：∙ 通过配置等价路由，在主、备防火墙正常工作时，主、备防火墙可以负载分担内外网流量。
∙ 当其中一台防火墙故障或与两台交换机相连的某一条链路故障时，流量可以及时从两台防火墙切换至一台防火墙，从而保证新发起的会话能正常建立，当前正在进行的会话也不会中断，网络业务能够平稳运行。
图36 负载分担模式双机热备组网图4.2 配置思路为了使数据流量能够负载分担通过防火墙进行转发，需要使防火墙的路由度量值保持一致。
4.3 使用版本本举例是在U200-A R5135版本上进行配置和验证的。
4.4 配置注意事项∙ 双机热备只支持两台设备进行备份。
∙ 双机热备的两台设备要求硬件配置和软件版本一致，并且要求接口卡的型号与所在的槽位一致，否则会出现一台设备备份过去的信息，在另一台设备上无法识别，或者找不到相关物理资源，从而导致流量切换后报文转发出错或者失败。
∙ 在双机热备页面进行配置后，如果没有提交配置就单击<修改备份接口>按钮进入备份接口配置页面，则对双机热备页面进行的配置会丢失。
∙ 双机热备的两台设备上的备份接口之间可以通过转发设备（如：路由器、交换机、HUB）进行中转，但是必须保证经过转发设备后报文携带的Tag为备份VLAN的VLAN Tag。
4.5 配置步骤4.5.1 Firewall A的配置1. 通过Web方式配置(1)配置接口GigabitEthernet0/1、GigabitEthernet0/2接口的IP地址。
# 在导航栏中选择“设备管理> 接口管理”。
点击接口对应的编辑按钮“”，进入“接口编辑”配置页面。
# 配置接口工作在“三层”模式以及IP地址。
SecPath-防火墙双机热备典型配置
SecPath防火墙双机热备典型配置举例关键词：双机热备、主备模式、负载分担模式、数据同步、流量切换摘要：防火墙设备是所有信息流都必须通过的单一点，一旦故障所有信息流都会中断。
保障信息流不中断至关重要，这就需要解决防火墙设备单点故障问题。
双机热备技术可以保障即使在防火墙设备故障的情况下，信息流仍然不中断。
本文将介绍双机热备的概念、工作模式及典型应用等。
缩略语：目录1 特性简介 (3)1.1 双机热备的工作机制 (3)2 特性使用指南 (4)2.1 使用场合 (4)2.2 配置指南 (4)2.2.1 双机热备组网应用配置指南 (4)2.2.2 双机热备应用涉及的配置 (4)2.3 注意事项 (4)3 支持的设备和版本 (5)3.1 设备版本 (5)3.2 支持的设备 (5)3.3 配置保存 (5)4 配置举例 (6)4.1 典型组网 (6)4.2 设备基本配置 (9)4.2.1 其他共同配置： (9)4.3 双机热备业务典型配置举例 (9)4.3.1 透明模式＋主备模式 (9)4.3.2 透明模式＋负载分担模式 (14)4.3.3 路由模式＋主备模式 (17)4.3.4 路由模式＋负载分担模式 (19)4.3.5 路由模式＋主备模式＋支持非对称路径 (21)4.3.6 路由模式＋负载分担模式＋支持非对称路径 (27)4.3.7 动态路由模式组网 (32)5 相关资料 (33)1 特性简介双机热备在链路切换前，对会话信息进行主备同步；在设备故障后能将流量切换到其他备份设备，由备份设备继续处理业务，从而保证了当前的会话不被中断。
secpath防火墙具有多样化的组网方式，双机的组网应用也会很多种，本文试举几种双机热备的典型应用。
1.1 双机热备的工作机制互为备份的两台防火墙只负责会话信息备份，保证流量切换后会话连接不中断。
而流量的切换则依靠传统备份技术（如VRRP、动态路由）来实现，应用灵活，能适应各种组网环境。
实战行业USG防火墙双机热备多ISP接入
两台USG5120防火墙多ISP接入，运行双机热备主备模式。
内网两台S7706交换机运行VRRP，各自连接到USG5120防火墙上。
应用服务器做双网卡绑定(主备模式)，分别连接两台S7706交换机上。
两台USG防火墙上、下行运行VRRP。
通过配置VRRP备份组，分别加入到VGMP管理组中。
通过Master和Slave状态统一监控。
心跳接口不参加业务流量。
启用HRP备份功能，对两台USG的配置与状态进行实时备份，避免网络异常业务中断长久。
配置NAT策略，供内网用户上Internet。
配置端口映射将内部应用发布到外网。
防火墙默认域间策略全部放行，方便测试。
网络拓扑：set priority 15add interface GigabitEthernet 0/0/0#interface GigabitEthernet 0/0/1ip add 10.10.12.1 24#firewall zone name wan2set priority 10add interface GigabitEthernet 0/0/1#interface GigabitEthernet 0/0/2ip add 10.10.10.1 24#firewall zone trustadd interface GigabitEthernet 0/0/2#interface GigabitEthernet 0/0/3ip address 10.10.254.1 24#firewall zone dmzadd interface GigabitEthernet 0/0/8#firewall packet-filter default permit all#ip route-static 10.88.85.0 255.255.255.0 10.10.10.20 ip route-static 0.0.0.0 0.0.0.0 202.100.1.100#FW2：#Sysname FW2#interface GigabitEthernet 0/0/0ip address 10.10.11.2 24#firewall zone trustundo add interface GigabitEthernet 0/0/0#firewall zone name wan1set priority 15add interface GigabitEthernet 0/0/0#interface GigabitEthernet 0/0/1ip add 10.10.12.2 24#firewall zone name wan2set priority 10add interface GigabitEthernet 0/0/1#interface GigabitEthernet 0/0/2ip add 10.10.10.2 24#firewall zone trustadd interface GigabitEthernet 0/0/2#interface GigabitEthernet 0/0/3ip address 10.10.254.2 24#firewall zone dmzadd interface GigabitEthernet 0/0/8#firewall packet-filter default permit all#ip route-static 10.88.85.0 255.255.255.0 10.10.10.20ip route-static 0.0.0.0 0.0.0.0 202.100.2.100#配置内网核心交换机，并配置VRRP、S7706-1为Master VRRP S7706-1:#sysname S7706-1#vlan batch 10 885#interface Vlanif10ip address 10.10.10.21 255.255.255.0vrrp vrid 10 virtual-ip 10.10.10.20vrrp vrid 10 priority 105#interface Vlanif885ip address 10.88.85.241 255.255.255.0 vrrp vrid 85 virtual-ip 10.88.85.240vrrp vrid 85 priority 105#interface Eth-Trunk1description HAport link-type trunkport trunk allow-pass vlan 10 885mode lacp#interface GigabitEthernet6/0/1port link-type accessport default vlan 10#interface GigabitEthernet6/0/2port link-type accessport default vlan 885#interface GigabitEthernet6/0/42eth-trunk 1#interface GigabitEthernet6/0/43eth-trunk 1#ip route-static 0.0.0.0 0.0.0.0 10.10.10.10 #S7706-2:#sysname S7706-2#vlan batch 10 885#interface Vlanif10ip address 10.10.10.22 255.255.255.0 vrrp vrid 10 virtual-ip 10.10.10.20#interface Vlanif885ip address 10.88.85.241 255.255.255.0 vrrp vrid 85 virtual-ip 10.88.85.240#interface Eth-Trunk1description HAport link-type trunkport trunk allow-pass vlan 10 885mode lacp#interface GigabitEthernet6/0/1port link-type accessport default vlan 10#interface GigabitEthernet6/0/2port link-type accessport default vlan 885#interface GigabitEthernet6/0/42eth-trunk 1#interface GigabitEthernet6/0/43eth-trunk 1#ip route-static 0.0.0.0 0.0.0.0 10.10.10.10#2.配置USG防火墙VRRP备份组，并加入VGMP管理组。
华为防火墙实现双机热备配置详解,附案例
华为防火墙实现双机热备配置详解，附案例一提到防火墙，一般都会想到企业的边界设备，是内网用户与互联网的必经之路。
防火墙承载了非常多的功能，比如：安全规则、IPS、文件类型过滤、内容过滤、应用层过滤等。
也正是因为防火墙如此的重要，如果防火墙一旦出现问题，所有对外通信的服务都将中断，所以企业中首先要考虑的就是防火墙的优化及高可用性。
本文导读一、双机热备工作原理二、VRRP协议三、VGMP协议四、实现防火墙双机热备的配置一、双机热备工作原理在企业中部署一台防火墙已然成为常态。
如何能够保证网络不间断地传输成为网络发展中急需解决的问题！企业在关键的业务出口部署一台防火墙，所有的对外流量都要经过防火墙进行传输，一旦防火墙出现故障，那么企业将面临网络中断的问题，无论防火墙本身的性能有多好，功能有多么强大。
在这一刻，都无法挽回企业面临的损失。
所以在企业的出口部署两台防火墙产品，可以在增加企业安全的同时，保证业务传输基本不会中断，因为两台设备同时出现故障的概率非常小。
经过图中右边的部署，从拓补的角度来看，网络具有非常高的可靠性，但是从技术的角度来看，还需解决一些问题，正因为防火墙和路由器在工作原理上有着本质的区别，所以防火墙还需一些特殊的配置。
左图，内部网络可以通过R3→R1→R4到达外部网络，也可以通过R3→R2→R4到达，如果通过R3→R1→R4路径的cost（运行OSPF协议）比较小，那么默认情况，内部网络将通过R3→R1→R4到达外部网络，当R1设备损坏时，OSPF将自动收敛，R3将通过R2转发到达外部网络。
右图，R1、R2替换成两台防火墙，默认情况下，流量将通过FW1进行转发到达外部网络，此时在FW1记录着大量的用户流量对应的会话表项内容，当FW1损坏时，通过OSPF收敛，流量将引导FW2上，但是FW2上没有之前流量的会话表，之前传输会话的返回流量将无法通过FW2，而会话的后续流量需要重新经过安全策略的检查，并生成会话。
天融信防火墙tos3.3安装操作
双机热 备案例 配置
48
防火墙高级应用－ 模式介绍 防火墙高级应用－HA模式介绍
在双机热备模式下，任何时刻都只有一台防火墙（主墙） 处于工作状态，承担报文转发任务，一组防火墙处于备份 状态并随时接替任务。当主墙的任何一个接口（不包括心 跳口）出现故障时，处于备份状态的防火墙经过协商后， 由优先级高的防火墙接替主墙的工作，进行数据转发。
27
防火墙配置－ 防火墙配置－设置防火墙缺省网关
设置缺省网关时， 源和目的一般为全“0” 防火墙的缺省网关在静态 路由时， 路由时，必须放到最后一条 路由
28
防火墙配置－定义对象－ 防火墙配置－定义对象－主机对象
点击：”资源管理“－“地址”－“主机”，点击右上角“添加”
29
防火墙配置－定义对象－ 防火墙配置－定义对象－主机对象
192.168.16.0/24
19
防火墙的配置过程
网络卫士防火墙的基本配置过程：
1、通过串口(console)或默认接口进入防火墙：推荐使用webui方 式配置 2、配置接口模式及ip地址 3、定义区域 4、配置路由 5、定义地址、服务、时间等资源 6、配置访问控制 7、配置地址转换 8、配置区域的防火墙管理权限及其他日常管理维护
选择目的－“WEB服务器”
36
防火墙配置－ 防火墙配置－定义访问规则
“服务”－“HTTP”
37
防火墙配置－ 防火墙配置－定义访问规则
定义好的两条访问策略
38
防火墙配置－定义地址转换（通信策略） 防火墙配置－定义地址转换（通信策略）
根据前面的需求如果内网要访问外网，则必须定义NAT策略；同样外网 要访问WEB服务器的映射地址，也要定义MAP策略 定义NAT策略，选择源为已定义的内部子网，目的为“AERA_ETH0”区域
Eudemon防火墙双机热备业务特性与配置
Eudemon防火墙双机热备业务特性与配置Eudemon防火墙是华为公司推出的一款高性能、高可靠性的网络安全设备。
在网络架构中，防火墙是非常重要的部分，其主要作用是监控和控制数据流量，保护网络安全。
而双机热备技术则是防火墙设备中的一项重要功能，能够在主设备故障的情况下，自动进行切换，保障网络的连续性和可靠性。
Eudemon防火墙的双机热备技术具有以下几个特性：1、高可用性：双机热备技术使得主备设备之间的状态保持实时同步，当主设备发生故障时，备设备可以立即接管主设备的工作，保证网络的持续运行。
2、高性能：双机热备技术采用硬件加速和负载均衡技术，可以将数据流量均匀地分发到主备设备上进行处理，提高防火墙的处理能力和响应速度。
3、灵活的部署方式：双机热备技术支持主备设备的本地部署和远程部署，可以根据实际情况进行选择，灵活满足不同网络环境的需求。
4、恢复能力强：双机热备技术具备自动切换和自动恢复功能，当主设备恢复正常运行时，能够自动将工作从备设备切换回主设备，实现系统的自动恢复和平滑过渡。
5、稳定可靠：双机热备技术采用了多种冗余设计，包括硬件冗余、软件冗余和数据冗余等，可以有效地提高防火墙的稳定性和可靠性，有效避免单点故障的发生。
对于Eudemon防火墙双机热备的配置，可以按照以下步骤进行：1、设备连接和初始化：将主备设备之间进行物理连接，确保两者之间的网络畅通，然后进行设备的初始化配置，包括设置IP地址、子网掩码、网关等，以及进行设备的授权和许可证的导入。
2、主备设备的信息同步：在主备设备之间进行信息同步，包括配置文件、路由表、状态信息等。
这是保证主备设备之间能够实时同步状态的基础。
3、配置双机热备功能：在主设备上开启双机热备功能，并设置备设备的优先级，配置主备设备的心跳检测参数，以便能够实时监测主备设备的状态。
4、测试和验证：在配置完成后，进行测试和验证，包括主备设备之间的切换测试、数据流量的负载均衡测试等，确保双机热备功能的正常运行和可靠性。
配置天融信NGFW4000防火墙双机热备策略
将此防火墙设置为从防火墙模式，且把防火墙的ID号设置为1。
e. 第三步是通过防火墙管理软件连接上防火墙，可按实际网络环境需要配置相应的访问策略（如有疑问请参看“防火墙4000访问策略和通信策略”相关文档或DEMO演示）；
f. 接下来在防火墙管理器中点击“工具”→“配置管理” 中的“同步”按钮，使得主从防火墙的状态保持一致；
g. 以上步骤完成以后，防火墙即进入双机热备状态：一旦主防火墙系统出现故障或主传输线路中断时，从防火墙便会立即接替工作。
h. 本操作暂无DEMO演示（以后版本中会加以补充）。
注意：
在双机热备的系统中，两台防火墙的软件版本必须相同，网络端口的数目和类型也要相同；必须将每个防火墙的最后一个接口作为热备口；心跳线必须选用交叉线连接；如果防火墙有多余的端口，必须将其DOWN掉，具体操作如下（进入串口模式）：
另外，两台防火墙的配置必须保持一致；管理员通过管理器只能对一台防火墙进行管理，配置完毕后，必须通过“同步”菜单将修改信息发送到另一台防火墙。
关键词：
状态传输开关：用于保护防火墙已经建立的连接在主从防火墙切换时不会导致丢失。
例如某个连接经过主防火墙，此时主墙发生故障，由从墙接替工作。
如果状态传输（STP）开关没有打开，则这个连接必须重新建立才能通信；如果开关打开，则连接不需要重新建立，两端的通信机器可以完全没有意识到故障的存在。
知识点：
双机热备：将两台网络设备并联在网络中，在任何时刻只有一台设备工作（称为主设备），另一台设备（称为从设备）监视主设备的工作状态；当主设备发生故障时，由从设备来接替工作。
Eudemon防火墙双机热备业务上机指导书
Eudemon防火墙双机热备业务上机指导书一、准备工作1. 确认硬件设备：需要一台Eudemon防火墙主设备和一台Eudemon防火墙备设备，两台设备应具有相同的硬件配置。
2. 确认网络环境：主备设备之间需要建立一个可靠的通信链路，保证数据的传输和同步。
3. 确认操作系统版本：主备设备应使用相同的Eudemon防火墙操作系统版本，以保证配置的一致性。
二、配置步骤1. 登录主设备：使用浏览器登录主设备的Web界面，进入系统配置界面。
2. 创建集群：在系统配置界面中，选择“集群管理”功能，点击“新建”按钮创建一个集群，填写集群的名称和描述。
3. 配置集群参数：在创建集群后，点击“更多设置”按钮，配置集群的参数，如通信链路的类型、通信链路的IP地址等。
4. 添加备设备：在集群配置界面中，点击“添加设备”按钮，输入备设备的IP地址，点击“确定”按钮。
5. 配置备设备参数：添加备设备后，点击“更多设置”按钮，配置备设备的参数，如备设备的优先级、数据同步方式等。
6. 启动集群：在集群配置界面中，点击“启动”按钮，确认启动集群操作。
7. 同步配置：在主设备上完成集群的配置后，需要将配置同步到备设备上，点击“同步配置”按钮进行同步。
8. 启动备设备：完成配置同步后，在备设备上点击“启动”按钮，确认启动备设备操作。
9. 检查集群状态：在集群配置界面中，点击“集群状态”按钮，确认集群状态显示为“正常”或“异常”。
10. 测试故障切换：可以通过人为断开主设备的网络连接或者重新启动主设备的方式来测试故障切换功能。
当主设备发生故障时，备设备能够自动接管工作。
三、注意事项1. 主备设备之间的通信链路必须稳定可靠，确保数据的传输和同步正常。
2. 主备设备的硬件配置必须一致，操作系统版本也必须一致。
3. 在配置集群参数时，需要根据实际网络环境进行具体配置，确保配置的准确性。
4. 在进行故障切换测试时，需要提前做好备份工作，以防止数据丢失或其他意外情况发生。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
双机热备网络卫士防火墙可以实现多种方式下的冗余备份，包括：双机热备模式、负载均衡模式和连接保护模式。
在双机热备模式下（最多支持九台设备），任何时刻都只有一台防火墙（主墙）处于工作状态，承担报文转发任务，一组防火墙处于备份状态并随时接替任务。
当主墙的任何一个接口（不包括心跳口）出现故障时，处于备份状态的防火墙经过协商后，由优先级高的防火墙接替主墙的工作，进行数据转发。
在负载均衡模式下（最多支持九台设备），两台/多台防火墙并行工作，都处于正常的数据转发状态。
每台防火墙中设置多个VRRP备份组，两台/多台防火墙中VRID相同的组之间可以相互备份，以便确保某台设备故障时，其他的设备能够接替其工作。
在连接保护模式下（最多支持九台设备），防火墙之间只同步连接信息，并不同步状态信息。
当两台/多台防火墙均正常工作时，由上下游的设备通过运行VRRP或HSRP进行冗余备份，以便决定流量由哪台防火墙转发，所有防火墙处于负载分担状态，当其中一台发生故障时，上下游设备经过协商后会将其上的数据流通过其他防火墙转发。
双机热备模式基本需求图 1双机热备模式的网络拓扑图上图是一个简单的双机热备的主备模式拓扑图，主墙和一台从墙并联工作，两个防火墙的Eth2接口为心跳口，由心跳线连接用来协商状态，同步对象及配置信息。
配置要点➢设置HA心跳口属性➢设置除心跳口以外的其余通信接口属于VRID2➢指定HA的工作模式及心跳口的本地地址和对端地址➢主从防火墙的配置同步WEBUI配置步骤1）配置HA心跳口和其他通讯接口地址HA心跳口必须工作在路由模式下，而且要配置同一网段的IP以保证相互通信。
接口属性必须要勾选“ha-static”选项，否则HA心跳口的IP地址信息会在主从墙运行配置同步时被对方覆盖。
➢主墙a）配置HA心跳口地址。
①点击网络管理> 接口，然后选择“物理接口”页签，点击eth2接口后的“设置”图标，配置基本信息，如下图所示。
点击“确定”按钮保存配置。
②点击eth2接口后的“设置”图标，在“路由模式”下方配置心跳口的IP地址，然后点击“添加”按钮，如下图所示。
“ha-static”选项必须勾选，否则运行状态同步时IP地址信息也会被同步。
点击“确定”按钮保存配置。
b）配置Eth1和Eth0口的IP地址。
配置Eth1和Eth0的IP地址分别为192.168.83.219和172.16.1.20，具体操作请参见配置HA心跳口地址。
说明✧互为备份的接口必须配置相同的IP地址，所以主墙的Eth1口必须与从墙Eth1口的IP地址相同，主墙的Eth0口必须与从墙Eth0口的IP地址相同。
➢从墙a）配置HA心跳口地址。
配置从墙HA心跳口地址为10.1.1.2，具体步骤请参见主墙的配置，此处不再赘述。
b）配置Eth1和Eth0口的IP地址。
配置从墙Eth1和Eth0的IP地址分别为192.168.83.219和172.16.1.20，具体步骤请参见主墙的配置，此处不再赘述。
2）设置除心跳口以外的其余通信接口属于VRID2。
主备模式下，只能配置一个VRRP备份组，而且通信接口必须加入到具体的VRID组中，防火墙才会根据此接口的up、down状态，来判断本机的工作状态，以进行VRID组内主备状态的切换。
➢主墙a）选择网络管理> 接口，然后选择“物理接口”页签，在除心跳口以外的接口后点击“设置”图标（以eth0为例）。
b）勾选“高级属性”后的复选框，设置该接口属于vrid2，如下图所示。
c）参数设置完成后，点击“确定”按钮保存配置。
➢从墙具体步骤请参见主墙的配置，此处不再赘述。
3）指定HA的工作模式及心跳口的本地地址和对端地址。
需要设置HA工作在“双机热备”模式下，并设置当前防火墙为主墙或从墙，心跳口的本地及对端IP地址信息、心跳间隔等属性。
➢主墙a）选择高可用性> 双机热备，选中“双机热备”前的单选按钮，配置基本信息，如下图所示。
设置本机地址为心跳口eth2的IP地址（10.1.1.1）；设置对端地址为从墙心跳口eth2的IP地址（10.1.1.2），超过两台设备时，必须将“对端地址”设为本地地址所在子网的子网广播地址（最多支持八台对端设备）；心跳探测间隔可以使用默认值（1秒），心跳探测间隔是两个防火墙间互通状态信息报文的时间间隔，也是用于检测对端设备是否异常的重要参数，互为热备的防火墙的此参数必须设置一致，否则很可能导致从墙的主从状态的来回切换；设置热备组为通信接口的VRID（2）；选择身份为“主机”；“抢占”模式，是指主墙宕机后，重新恢复正常工作时，是否重新夺回主墙的地位。
只有当主墙与从墙相比有明显的性能差异时，才需要配置主墙工作在“抢占”模式，否则当主墙恢复工作时主从墙的再次切换浪费系统资源，没有必要。
案例中两台防火墙相同，所以主墙不需要配置为“抢占”模式。
b）勾选“高级配置”左侧的复选框，进行高级配置，如下图所示。
c）参数设置完成后，点击“应用”按钮保存配置。
d）点击“启用”按钮，启动该主备模式，心跳口连接建立，如下图所示。
➢从墙配置操作和主墙的基本相同，但注意身份为“从属机”，本机地址为10.1.1.2，对端地址为10.1.1.1，不选择“抢占”。
4）主从防火墙的配置同步在主墙点击“从本机同步到对端机”，将主墙的当前配置同步到从墙。
至此，主墙和从墙的双机热备就可以正常使用了。
CLI配置步骤1）配置HA的交互IP（心跳线相连的两个端口）➢主墙# network interface eth2ip add10.1.1.1 mask 255.255.255.0 ha-static#network interface eth0vrid2#network interface eth1vrid2➢从墙# network interface eth2ip add 10.1.1.2mask255.255.255.0ha-static#network interface eth0 vrid2#network interface eth1 vrid22）指定HA网口本地地址以及对端地址➢主墙# ha mode as# ha local10.1.1.1# ha peer10.1.1.2# ha as-vrid 2#ha vrid 2 priority 254# ha vrid 2preempt disable# ha enable➢从墙# ha mode as# ha local 10.1.1.2# ha peer 10.1.1.1# ha as-vrid 2# ha vrid2priority 100# ha vrid 2preempt disable# ha enable注意事项1）当主墙或从墙配置发生变更后，手工同步配置可以保证主从墙配置的一致性。
2）TOS3.3防火墙的接口均为自适应接口，HA接口之间的连接可以使用交叉线也可以使用直连线。
路由接口下的负载均衡模式基本需求图 2路由接口下负载均衡模式的网络拓扑图上图是一个简单的利用物理接口进行负载均衡的拓扑图，防火墙1和防火墙2并联工作，两个防火墙的Eth3接口间由一条心跳线相连用来同步状态及配置信息；两个防火墙的Eth1口属于同一vrid1（防火墙1的优先级高于防火墙2）；接口Eth2属于同一vrid2（防火墙2的优先级高于防火墙1）。
两台防火墙均正常工作时，网段1通过防火墙1利用电信链路上网，网段2通过防火墙2利用网通链路上网。
当其中一条链路发生故障时，其上的数据流会自动切换，通过另一台防火墙转发，从而实现两台防火墙的负载均衡。
配置要点➢配置eth0口➢配置VRID组内接口➢配置心跳口➢配置防火墙的不同VRID组的优先级➢配置HA功能WEBUI配置步骤1）配置eth0口➢防火墙1a）点击网络管理> 接口，然后选择“物理接口”页签，点击接口eth0条目后的“设置”图标，设定其IP地址为“192.168.83.237/24”，如下图所示。
参数设置完成后，点击“添加”按钮即可。
b）点击“确定”按钮保存配置。
➢防火墙2配置防火墙2的IP地址为“202.1.1.2/24”，具体步骤请参见防火墙1的配置。
2）配置备份接口设定两台防火墙上eth1口和eth2口互相备份。
两台防火墙的eth1口需要设定相同的IP地址和VRID；两台防火墙的eth2口也需要设定相同的IP地址和VRID。
➢防火墙1a）点击网络管理> 接口，然后选择“物理接口”页签，点击eth1接口后的“设置”图标，配置eth1接口IP地址为172.16.0.2/24，如下图所示。
选中“高级属性”后的复选框，设置eth1的vrid值为1，如下图所示。
参数设置完成后，点击“确定”按钮即可。
b）点击eth2接口后的“设置”图标，配置eth2接口IP地址为172.16.1.3/24，如下图所示。
选中“高级属性”后的复选框，设置eth2的vrid值为2，如下图所示。
参数设置完成后，点击“确定”按钮即可。
➢防火墙2防火墙2的配置与防火墙1完全一致，具体操作请参见防火墙1。
3）配置心跳口连接心跳线的HA通信接口必须工作在路由模式下，设定心跳口IP为同一个网段的不同IP（分别为10.0.0.1/24和10.0.0.2/24），并且必须要勾选“ha-static”选项。
➢防火墙1a）点击网络管理> 接口，然后选择“物理接口”页签，在eth3接口后点击“设置”图标，配置该接口为进行同步HA设置的IP地址，如下图所示。
b）参数设置完成后，点击“添加”按钮，然后点击“确定”按钮即可。
➢防火墙2配置防火墙2的eth3口IP地址为“10.0.0.2/24”，具体操作请参见防火墙1的配置。
4）指定防火墙的不同VRID组的优先级。
设定防火墙1的vrid1的优先级为200，vrid2的优先级为100。
设定防火墙2的vrid1的优先级为100，vrid2的优先级为200。
设置完成后，对于vrid1来说，防火墙1为主墙，防火墙2为备墙；对于vrid2来说，防火墙2为主墙，防火墙1为备墙。
并且设置主墙为“抢占”模式，即主墙能在失效后，重新恢复正常工作时，重获主墙地位。
➢防火墙1a）选择高可用性> 双机热备，选中“负载均衡”前的单选按钮，然后点击“应用”按钮。
b）点击“Vrid”右侧的“添加”，配置vrid1的优先级为200，“抢占”模式，如下图所示。
参数配置完成后，点击“确定”按钮。
c）配置vrid2的优先级为100，如下图所示。
参数配置完成后，点击“确定”按钮。
➢防火墙2a）选择高可用性> 双机热备，选中“负载均衡”前的单选按钮，然后点击“应用”按钮。
b）点击“Vrid”右侧的“添加”，配置vrid1的优先级为100，如下图所示。