1-4 USG防火墙双机热备业务特性与配置
华为防火墙的双机热备方案
华为防火墙的双机热备方案在网络关键节点上，如果只部署一台设备，无论其可靠性多高，系统都必然要承受因单点故障而导致的网络中断的风险。
防火墙一般用作内网到外网的出口，是业务关键路径上的设备，为了防止因一台设备故障而导致的业务中断，要求防火墙必须提供更高的可靠性，此时需要使用防火墙双机热备组网。
双机热备组网的建立和运行需要解决以下五个关键问题：1.设备的主备状态是如何决定的2.如何监控并发现接口或者设备故障3.发现故障后，如何保证设备的主备状态切换4.正常情况和故障后，流量是如何引导的5.如何进行信息同步，保证主备切换后业务不中断以上问题都是由双机热备特性涉及的三大协议VRRP VGMP HRP 共同配合解决的。
首先，VRRP自然不需要多说，我相信大家都非常清楚，这是一个公有的网关冗余技术，可以在两台设备之间形成虚拟IP地址，建立主备的冗余关系，但是传统的VRRP在安全领域有一个不可忽略的问题，就是当防火墙上下行业务端口上都配置了VRRP备份组的时候，这两个VRRP备份组是独立运行的，可能出现上下行两个VRRP备份组状态不一致的情况。
我们来看下面这个图这是最基本的一个防火墙双机热备的连接拓扑，防火墙的业务接口工作在三层，上下行连接交换机，防火墙的上行接口和下行接口分别运行了两个独立的VRRP组，FW1为主设备，FW2为备设备，正常情况下，流量会在FW1上进行往返（也就是沿着蓝色箭头的方向走），现在假设FW1的下行接口故障，因此运行在下行接口的VRRP组会检测到这个问题，从而引发主备切换， FW2的下行接口会成为主接口，上行流量会从FW2转发出去，访问外部网络，但是因为上下行的VRRP组是独立运行的，所以对于上行接口而言，主设备依然还在FW1上，因此外部网络返回的流量依然会转发到FW1上，这样就造成了网络不通，这个问题，传统的VRRP是无法解决的，因此，华为在VRRP的基础之上，开发了VGMP协议。
VGMP的基本功能是集中管理和监控VRRP备份组，控制VRRP 备份组的统一切换，将一组VRRP备份组组成一个VGMP管理组，由VGMP管理组控制所有VRRP备份组同步倒换，保证所有VRRP备份组状态一致，VGMP管理组还可以代表整个设备使用VGMP报文跟对端设备进行协商实现主备状态切换。
华为USG6350双机热备与 NAT 功能结合配置
双机热备与 NAT 功能结合一组网需求USG作为安全设备被部署在业务节点上。
USG的业务接口工作在三层，上下行连接交换机。
USG_A、 USG_B以主备备份方式工作。
内网用户可以通过公网地址访问Internet。
正常情况下， USG_A作为主用设备，处理业务流量； USG_B作为备用设备，不处理业务流量。
当USG_A的接口或整机发生故障时， USG_B切换为主用设备接替USG_A处理业务流量，从而保证业务不中断。
图 1-44 业务接口工作在三层，上下行连接交换机的组网图配置思路1. 由于USG的业务接口工作在三层，能够配置IP地址。
而且USG上下行连接交换机，交换机能够透传VRRP报文。
因此本举例选择在业务接口上配置IP地址和VRRP备份组，由VRRP备份组监控接口状态。
2. 为了实现主备备份方式，需要将USG_A的VRRP备份组加入Active管理组， USG_B的VRRP备份组加入Standby管理组，由管理组统一监控接口状态。
3. 为了使内网用户能够使用公网IP地址访问Internet，需要配置Trust与Untrust域间的源NAT。
由于NAT地址池中的地址与VRRP备份组的虚拟IP地址在同一网段，为了避免业务冲突，需要配置NAT地址池与管理组绑定。
4. 为了使USG_B能够备份USG_A的关键配置命令和会话表状态信息，需要在两台USG上指定HRP备份通道，然后启用HRP功能。
5. 为了保证正常情况下路由可达，且主备设备状态切换后流量能够被正确地引导到备用设备上，需要在内网的PC或设备上配置静态路由，下一跳为VRRP备份组的虚拟IP地址。
操作步骤步骤1 在USG_A上配置各个接口的IP地址，并将接口加入安全区域。
1. 选择“网络 > 接口 > 接口”。
2. 在“接口列表”中，单击GE0/0/1对应的，显示“修改GigabitEthernet”界面。
GE0/0/1的相关参数如下，其他参数使用默认值：l 安全区域： untrustl 模式：路由l 连接类型：静态IPl IP地址： 10.2.0.1l 子网掩码： 255.255.255.03. 单击“应用”。
国际认证-华为认证-USG防火墙攻击防范业务特性与配置
Client 192.168.0.1
Eudemon Firewall
FTP server 19.49.10.10
13
TCP反向源探测技术
▪ 用于来回路径不一致的情况下SYN-Flood攻击防范。
正常用户
要访问google，发送SYN报文 看看你是不是真想访问google, 发送探测报文
我真的想访问，pass
就是 让你等
攻击者
SYN SYN/ACK
？？？
怎么没 有 ACK?
服务器
11
SYN Flood 攻击（续）
▪ 配置
firewall defend syn-flood interface { interface-type interface-number | all } [ alert-rate alertrate-number1 ] [ max-rate max-rate-number1 ] [ tcp-proxy { auto | off | on } ]
国际认证-华为认证 USG防火墙攻击防范
业务特性与配置
前言
▪ 基于防火墙的组网位置和功能上看，对一些非法攻击的防御是防火墙设备的 一个非常重要的功能，通过防火墙的攻击防范的防御功能可以保证内部网络 的安全，在这一点上是其他数据通信设备无法替代的，因此在全网解决方案 中，防火墙是必不可少的一个部件。
Eudemon
攻击者
使用虚假源地址进行攻击
Internet 14
UDP/ICMP Flood 攻击
攻击者 UDP 或 ICMP 包
…
攻击者
UDP 或 ICMP 包
服务器
15
UDP/ICMP Flood攻击（续）
▪ 配置
华为防火墙 双机热备配置
Quidway Eudemon300/500/1000配置指南可靠性分册目录目录1双机热备份配置 (1)1.1简介 (2)1.1.1总体概述 (2)1.1.2VRRP概述 (4)1.1.3VGMP概述 (5)1.1.4备份方式分类 (6)1.1.5HRP应用 (10)1.1.6配置设备的主从划分 (10)1.1.7配置命令和状态信息的备份 (11)1.1.8双机热备份的组网方式 (12)1.1.9报文来回路径不一致的组网 (13)1.2配置VRRP备份组 (18)1.2.1建立配置任务 (18)1.2.2配置未加入VRRP管理组的VRRP备份组 (18)1.2.3配置加入VRRP管理组的VRRP备份组 (19)1.2.4检查配置结果 (20)1.3配置VRRP管理组 (21)1.3.1建立配置任务 (21)1.3.2配置路由模式下的VRRP管理组 (22)1.3.3配置混合模式下的VRRP管理组 (23)1.3.4检查配置结果 (24)1.4配置双机热备份 (24)1.4.1建立配置任务 (24)1.4.2配置来回路径一致时的双机热备份 (26)1.4.3检查配置结果 (26)1.5配置来回路径不一致时的链路可达性检查 (27)1.5.1建立配置任务 (27)1.5.2检查链路可达性 (27)1.6使能来回路径不一致时的会话快速备份和报文搬迁 (28)1.6.1建立配置任务 (28)目录Quidway Eudemon300/500/1000配置指南可靠性分册1.6.2使能会话快速备份 (29)1.6.3使能报文搬迁 (29)1.7配置备防火墙上的NAT (30)1.7.1建立配置任务 (30)1.7.2配置备防火墙上的NAT (30)1.7.3配置备防火墙上的内部服务器 (30)1.8维护 (31)1.8.1调试VRRP报文、状态和定时器 (31)1.8.2调试VRRP管理组 (31)1.8.3调试HRP (31)1.8.4检查两端配置的一致性 (32)1.8.5查看IP链路状态 (32)1.8.6调试IP链路 (32)1.8.7调试HRP配置检查功能 (33)1.9配置举例 (33)1.9.1配置使用VRRP管理组的主备备份示例 (33)1.9.2配置使用VRRP管理组的负载分担示例 (37)1.9.3配置混合模式下的使用VRRP管理组的主备备份示例 (42)1.9.4配置路由模式下的双机热备份示例 (45)1.9.5配置混合模式下的双机热备份示例 (46)1.9.6配置OSPF和双机热备份混合组网示例 (48)1.9.7配置IP link示例 (56)1.9.8配置两端状态一致性检查 (58)1.9.9配置会话快速备份 (60)1.9.10配置报文搬迁 (61)Quidway Eudemon300/500/1000配置指南可靠性分册插图目录插图目录图1-1来回路径一致组网图 (2)图1-2来回路径不一致组网图 (3)图1-3采用缺省路由的组网 (4)图1-4采用VRRP的虚拟路由器组网 (4)图1-5Eudemon备份的典型组网 (5)图1-6Eudemon备份的状态 (5)图1-7主备备份组网 (6)图1-8负载分担组网（1） (7)图1-9负载分担组网（2） (9)图1-10Eudemon主备备份的典型数据路径 (10)图1-11来回路径不一致组网图 (13)图1-12H型结构 (14)图1-13h型结构 (15)图1-14N型结构 (16)图1-15|-型结构 (17)图1-16使用VRRP管理组的主备备份组网 (34)图1-17使用VRRP管理组的负载分担组网 (38)图1-18混合模式下的VRRP管理组的主备备份组网图 (42)图1-19混合模式下的双机热备分组网图 (47)图1-20OSPF和双机热备份混合组网图 (49)图1-21采用路由器的双机热备分组网图 (56)图1-22配置两端状态一致性检查组网图 (59)图1-23配置会话快速备份 (60)Quidway Eudemon300/500/1000配置指南可靠性分册表格目录表格目录表1-1主备备份方式下各设备的状态 (7)表1-2负载分担方式下各设备的状态（1） (8)表1-3负载分担方式下各设备的状态（2） (8)表1-4检查VRRP备份组配置 (20)表1-5检查VRRP管理组配置 (24)表1-6检查双机热备配置 (26)表1-7调试VRRP报文、状态和定时器的相关操作 (31)表1-8调试VRRP管理组的相关操作 (31)表1-9调试HRP的相关操作 (31)表1-10查看IP链路状态 (32)表1-11调试IP链路的相关操作 (33)表1-12调试HRP配置检查功能的相关操作 (33)Quidway Eudemon300/500/1000配置指南可靠性分册1双机热备份配置1双机热备份配置关于本章本章描述内容如下表所示。
华为USG防火墙配置手册
华为USG防火墙配置手册1. 简介本手册旨在指导用户进行华为USG防火墙的配置和使用。
华为USG防火墙是一款功能强大的网络安全设备，可用于保护企业网络免受网络攻击和安全威胁。
2. 配置步骤2.1 硬件连接在配置USG防火墙之前，请确保正确连接好相关硬件设备，包括USG防火墙、路由器和服务器等。
2.2 登录USG防火墙使用SSH客户端等工具，输入USG防火墙的IP地址和管理员账号密码进行登录。
2.3 配置基本参数登录USG防火墙后，根据实际需求配置以下基本参数：- 设置管理员密码- 配置IP地址和子网掩码- 设置DNS服务器地址2.4 配置网络地址转换（NAT）根据实际网络环境，配置网络地址转换（NAT）功能。
NAT 功能可以将内部IP地址转换为合法的公网IP地址，实现内网和外网的通信。
2.5 配置访问控制策略配置访问控制策略可以限制网络流量的访问权限，确保只有授权的用户或设备可以访问特定网络资源。
2.6 配置安全服务华为USG防火墙提供多种安全服务功能，例如防病毒、入侵检测和内容过滤等。
根据实际需求，配置相应的安全服务功能。
2.7 配置远程管理和监控配置远程管理和监控功能，可以通过远程管理工具对USG防火墙进行实时监控和管理。
3. 常见问题解答3.1 如何查看防火墙日志？登录USG防火墙的Web界面，找到"日志"选项，可以查看防火墙的各种日志信息，包括安全事件、连接记录等。
3.2 如何升级USG防火墙固件版本？4. 其他注意事项- 在配置USG防火墙之前，请先备份原有的配置文件，以防配置错误或损坏设备。
- 请勿将USG防火墙暴露在不安全的网络环境中，以免受到未授权的访问和攻击。
以上是华为USG防火墙的配置手册，希望能帮助到您。
如有其他问题，请随时联系我们的技术支持。
USG防火墙双机热备业务特性与配置
前言
在当前的组网应用中，用户对网络可靠性的要求越来越高， 特别是在一些重要的业务入口或接入点上需要保证网络不间 断运行。对于这些重要的业务点如何保证网络的不间断传输， 成为必须解决的一个问题。 本胶片主要介绍防火墙的双机热备份技术原理和具体配置， 以及在USG防火墙上实施双机热备份技术所使用的三种协议： VRRP、VGMP和HRP。
VGMP数据通道
TrustUSG A来自A1Master
A3
A2
A4
A4-B4
DMZ
B1
B4
B2
B3
Backup
USG B
Untrust
防火墙状态信息的备份
VGMP可以保证报文来回路径通过同一台防火墙。当主防火墙 出现故障时，所有流量都将切换到备防火墙。但USG防火墙 是状态防火墙，如果备防火墙上没有原来主防火墙上的连接 状态数据，则切换到备防火墙的很多流量将无法通过，造成 现有的连接中断，此时用户必须重新发起连接。 为了实现主用设备出现故障时能由备用设备平滑地接替工作， 需要在主、备用设备之间备份关键配置命令和会话表状态等 关键信息。
Trust
备份组1
Virtual IP Address 10.100.10.1
USG A Master
10.100.10.0/24 DMZ
10.100.20.0/24
备份组2 Virtual IP Address
10.100.20.1
USG B Backup
Untrust
备份组3 Virtual IP Address
混合模式是指USG的业务端口工作在透明模式下，而HRP备份通 道接口工作在路由模式下。
路由模式和混合模式都包含两种组网方式：
华为USG防火墙基本配置-电脑资料
华为USG防火墙基本配置-电脑资料学习目的掌握登陆USG防火墙的方法掌握修改防火墙设备名的方法掌握对防火墙的时间、时区进行修改的方法掌握修改防火墙登陆标语信息的方法掌握修改防火墙登陆密码的方法掌握查看、保存和删除防火墙配置的方法掌握在防火墙上配置vlan、地址接口、测试基本连通性的方法拓扑图学习任务步骤一.登陆缺省配置的防火墙并修改防火墙的名称防火墙和路由器一样，有一个Console接口，。
使用console线缆将console接口和计算机的com口连接在一块。
使用windows操作系统自带的超级终端软件，即可连接到防火墙。
防火墙的缺省配置中，包括了用户名和密码。
其中用户名为admin、密码Admin@123，所以登录时需要输入用户名和密码信息，输入时注意区分大小写。
修改防火墙的名称的方法与修改路由器名称的方法一致。
另外需要注意的是，由于防火墙和路由器同样使用了VRP平台操作系统，所以在命令级别、命令帮助等，与路由器上相应操作相同。
sys13:47:28 2014/07/04Enter system view, return user view withCtrl+Z.[SRG]sysname FW13:47:32 2014/07/04步骤二.修改防火墙的时间和时区信息默认情况下防火墙没有定义时区，系统保存的时间和实际时间可能不符。
使用时应该根据实际的情况定义时间和时区信息。
实验中我们将时区定义到东八区，并定义标准时间。
clock timezone 1 add 08:00:0013:50:57 2014/07/04dis clock21:51:15 2014/07/032014-07-03 21:51:15ThursdayTime Zone : 1 add 08:00:00clock datetime 13:53:442014/07/0421:53:29 2014/07/03dis clock13:54:04 2014/07/042014-07-04 13:54:04FridayTime Zone : 1 add 08:00:00步骤三。
防火墙双机热备概念
防⽕墙双机热备概念双机热备的⼯作原理 1、双机热备概述 a) 双机热备是通过部署两台或多台防⽕墙实现热备及负载均衡 b) 双机热备功能是通过提供⼀条⼼跳线，协商防⽕墙之间的主备状态及备份会话表和server-map表 c) 备⽤设备实时从主⽤设备下载当前的会话表及server-map表 d) 要求：1. ⼼跳线的接⼝加⼊相同的安全区域2. ⼼跳线接⼝的设备编号必须⼀致 e) 两种模式：1. 热备模式：⼀台转发数据，其他不转发，但会同步会话表及server-map表2. 负载均衡模式：多台防⽕墙同时转发数据，相互为备⽤设备 2、 VRRP a) 概述1. VRRP：虚拟路由冗余协议2. VRRP技术可以解决⽹关⾃动切换的问题3. 概念：1. VRRP路由器：运⾏VRRP协议的路由器2. 虚拟路由器：⼀个主路由器和若⼲备⽤路由器组成备份组，对客户提供⼀个虚拟⽹关3. VRID：虚拟路由器标识4. 虚拟IP地址：客户⽹关ip，主⽤设备提供该IP地址的ARP响应5. 虚拟Mac地址6. IP地址拥有者，虚拟ip为某个设备端⼝ip7. 优先级：选举主⽤设备8. 抢占模式：9. ⾮抢占模式4. VRRP和HSRP对⽐1. VRRP公有协议，HSRP是cisco私有2. VRRP虚拟ip可以是接⼝ip，HSRP不可以3. VRRP的虚拟MAC地址前缀为：00-00-5e-00-01-VRIP HSRP的虚拟Mac地址前缀为：00-00-0c-07-ac-组号 4.VRRP有三个状态，HSRP有五个状态 5.VRRP只有⼀种报⽂，HSRP有三种报⽂ 6.VRRP不⽀持端⼝追踪，HSRP⽀持 b) VRRP⾓⾊1. Master 路由器：主2. Backup路由器：备 c) VRRP状态机1. Initialize状态：初始状态2. Master状态：主⽤路由器3. Backup状态：备⽤路由器 先经历backup状态，再到master状态 d) VRRP的⼯作原理1. 选举：优先级（⾼）——接⼝IP（数值⼤）2. 默认优先级为100，IP地址拥有者2553. 主周期性（每1秒）向备发送VRRP通告4. 抢占：优先级⼤的随时成为主 ⾮抢占：下次公平选举 3、 VGMP a) 让防⽕墙上⾏和下⾏都具备⽹关冗余特性 b) VGMP：VRRP组管理协议，实现对VRRP备份组的统⼀管理 c) ⼯作原理：1. VGMP组的状态决定了VRRP备份组的状态2. VGMP组的状态通过对⽐优先级决定 优先级⾼：VGMP组状态为active 优先级低：VGMP组状态为standby 3. 默认，VGMP组优先级为45000 4. VGMP组根据组内VRRP备份组状态决定， ⼀旦检测到备份组状态变为initialize，VGRP组优先级⾃动减2 5. VGMP通过⼼跳线协商VGMP d) VGMP的报⽂封装1. ⼼跳线直连或通过⼆层交换机互联：发送组播报⽂，报⽂不携带UDP头部信息2. ⼼跳线通过三层路由器互联：发送单播报⽂，携带UDP头部信息3. [USG6000V1] hrp int g1/0/0 //发送组播报⽂4. [USG6000V1] hrp int g1/0/0 remote 1.1.1.1 //发送单播报⽂ Remote：表⽰封装UDP报⽂， 1.1.1.1：⼼跳线对端设备的ip地址 e) 双机热备的备份⽅式：1. ⾃动备份：默认开启，⾃动备份命令和状态2. ⼿⼯批量备份：⼿动备份命令和状态3. 快速备份：不同步配置命令，只同步状态信息4. [USG6000V1] hrp enable //开启双机热备5. HRP_S[USG6000V1] hrp auto-sync //配置⾃动备份模式6. HRP_S<USG6000V1> hrp auto-sync [ config | connection-status ] //配置⼿⼯配置模式，⽤户模式下执⾏1. Config：⼿⼯同步命令配置2. Connection-status：⼿⼯同步状态信息7. HRP_S[USG6000V1] hrp mirror session enable //配置快速备份模式。
防火墙双机热备特性FAQ
防火墙双机热备特性FAQ1：问：R6新增了支持防火墙和路由器双机热备份组网，的这种组网是如何实现的防火墙主备组网的，需要在防火墙上配置哪些命令，需要注意哪些东西？答：R6上新增支持防火墙和路由器双机热备份组网，这种组网防火墙和路由器之间器OSPF 协议，同时在防火墙上配置根据HRP状态调整备防火墙上OSPF的COST值，使得路由器学到的路由都指向主防火墙，保证业务都从主防火墙上过，形成双机热备份的。
为了实现防火墙和双机热备份组网，需要在主备防火墙上配置命令：hrp ospf-cost adjust-enable，这个命令能保证主备防火墙对外发布路由的时候只有备防火墙会加上一个COST值，主防火墙直接发布路由。
这个COST值默认是65500。
防火墙和路由器组网的时候，心跳线不能配置成transfer-only，同时需要使用VRRP的优先级作为防火墙的VGMP的优先级，VRRP需要track上和路由器相连的接口。
2：问：R6双机热备份是如何支持来回路径不一致的，会话快速备份和传统的会话实时备份有什么区别，会话快速备份涉及到哪些命令行。
答：R6是通过支持会话快速备份来支持来回路径不一致的，会话快速备份就是在会话建立的时候就立即备份到对端防火墙上，保证即使是来回路径不一致，到备防火墙上的报文也能命中会话进行转发。
会话快速备份和传统的会话实时备份的区别是：1：会话快速备份在会话一建立就备份到备防火墙上，而会话实时备份是需要等到会话老化线程扫描到会话判断需要备份才备份到备防火墙上的，所以会话实时备份最常可能需要到会话建立8s之后才能备份到备防火墙上，所以仅仅有会话实时备份不能支持来回路径不一致。
2：会话快速备份能备份tcp半连接会话和ICMP会话，而会话实时备份不备份半连接会话和ICMP的会话。
会话快速备份首先需要配置心跳口，并配置high-availability参数，保证此接口是高可用性接口，同时配置hrp mirror session enable。
华为USG防火墙设置完整版
华为USG防火墙设置完整版1. 简介华为USG防火墙是一款功能强大的网络安全设备，用于保护企业网络免受恶意攻击和未经授权的访问。
本文将提供华为USG 防火墙的完整设置步骤。
2. 连接防火墙首先，确保您正确地将USG防火墙连接到企业网络。
将防火墙的一个以太网口连接到您的局域网交换机上，并将另一个以太网口连接到网络边界路由器上。
3. 登录防火墙通过Web浏览器访问防火墙的管理界面。
输入防火墙的默认地址（一般为192.168.1.1）并按Enter键。
在登录页面中输入管理员用户名和密码，然后单击登录按钮。
4. 基本设置进入防火墙的管理界面后，首先进行基本设置。
点击"系统设置"选项卡，并在"基本设置"中进行如下配置：- 设置防火墙的名称和描述- 配置管理员密码、SNMP和NTP服务- 设置系统日志服务器5. 网络设置接下来，进行网络设置以确保防火墙与企业网络正常通信。
点击"网络对象"选项卡，并配置以下内容：- 配置局域网接口- 配置公网接口（如果有）- 配置NAT和端口映射规则6. 安全策略设置安全策略以保护企业网络免受未经授权的访问和恶意攻击。
点击"安全策略"选项卡，并完成以下步骤：- 创建访问控制规则，限制特定IP地址或IP地址范围的访问- 根据需求创建应用程序过滤规则和URL过滤规则- 配置反病毒、反垃圾邮件和反欺骗策略7. 其他配置除了上述步骤，您还可以进行其他配置以满足特定需求。
例如：- 配置VPN（虚拟专用网络）- 设置用户认证和权限管理- 配置远程访问8. 保存和应用配置在完成所有设置后，确保保存并应用配置更改。
点击"保存"按钮，并在确认弹窗中点击"应用"按钮。
防火墙将立即应用新的配置。
以上就是华为USG防火墙的完整设置步骤。
根据实际需求，您可以灵活配置并添加其他功能。
如果需要更详细的指导，请参考华为USG防火墙的官方文档。
USG防火墙NAT业务特性与配置
[USG2100]nat-policy interzone untrust trust outbound [USG2100-nat-policy-interzone-trust-untrust-inbound]policy 1 [USG2100-nat-policy-interzone-trust-untrust-inbound-1]action source-nat [USG2100-nat-policy-interzone-trust-untrust-inbound-1]address-group 1
配置需要作目的NAT的acl规则
[USG2100] firewall zone trust [USG2100-zone-trust] destination-nat 3000 address 200.200.200.3
将10.1.1.10-> 2.2.2.0 变换为 10.1.1.10-> 200.200.200.3
NAT/PAT地址转换
地址池最多支持 4096个地址
内网
Internet
Hale Waihona Puke 内网用户定义地址池
USG
地址池
202.38.160.1
202.38.160.2
202.38.160.3
202.38.160.4
[USG2100]nat address-group 1 202.38.160.1 202.38.160.4
202.1.0.1:20001<-> 192.168.0.1:22787
用户 192.168.0.1
检测Servermap表项，命中 USG防火墙 后根据表项进行Nat转换 Nat outbound 202.1.0.1
实战行业USG防火墙双机热备多ISP接入
两台USG5120防火墙多ISP接入，运行双机热备主备模式。
内网两台S7706交换机运行VRRP，各自连接到USG5120防火墙上。
应用服务器做双网卡绑定(主备模式)，分别连接两台S7706交换机上。
两台USG防火墙上、下行运行VRRP。
通过配置VRRP备份组，分别加入到VGMP管理组中。
通过Master和Slave状态统一监控。
心跳接口不参加业务流量。
启用HRP备份功能，对两台USG的配置与状态进行实时备份，避免网络异常业务中断长久。
配置NAT策略，供内网用户上Internet。
配置端口映射将内部应用发布到外网。
防火墙默认域间策略全部放行，方便测试。
网络拓扑：set priority 15add interface GigabitEthernet 0/0/0#interface GigabitEthernet 0/0/1ip add 10.10.12.1 24#firewall zone name wan2set priority 10add interface GigabitEthernet 0/0/1#interface GigabitEthernet 0/0/2ip add 10.10.10.1 24#firewall zone trustadd interface GigabitEthernet 0/0/2#interface GigabitEthernet 0/0/3ip address 10.10.254.1 24#firewall zone dmzadd interface GigabitEthernet 0/0/8#firewall packet-filter default permit all#ip route-static 10.88.85.0 255.255.255.0 10.10.10.20 ip route-static 0.0.0.0 0.0.0.0 202.100.1.100#FW2：#Sysname FW2#interface GigabitEthernet 0/0/0ip address 10.10.11.2 24#firewall zone trustundo add interface GigabitEthernet 0/0/0#firewall zone name wan1set priority 15add interface GigabitEthernet 0/0/0#interface GigabitEthernet 0/0/1ip add 10.10.12.2 24#firewall zone name wan2set priority 10add interface GigabitEthernet 0/0/1#interface GigabitEthernet 0/0/2ip add 10.10.10.2 24#firewall zone trustadd interface GigabitEthernet 0/0/2#interface GigabitEthernet 0/0/3ip address 10.10.254.2 24#firewall zone dmzadd interface GigabitEthernet 0/0/8#firewall packet-filter default permit all#ip route-static 10.88.85.0 255.255.255.0 10.10.10.20ip route-static 0.0.0.0 0.0.0.0 202.100.2.100#配置内网核心交换机，并配置VRRP、S7706-1为Master VRRP S7706-1:#sysname S7706-1#vlan batch 10 885#interface Vlanif10ip address 10.10.10.21 255.255.255.0vrrp vrid 10 virtual-ip 10.10.10.20vrrp vrid 10 priority 105#interface Vlanif885ip address 10.88.85.241 255.255.255.0 vrrp vrid 85 virtual-ip 10.88.85.240vrrp vrid 85 priority 105#interface Eth-Trunk1description HAport link-type trunkport trunk allow-pass vlan 10 885mode lacp#interface GigabitEthernet6/0/1port link-type accessport default vlan 10#interface GigabitEthernet6/0/2port link-type accessport default vlan 885#interface GigabitEthernet6/0/42eth-trunk 1#interface GigabitEthernet6/0/43eth-trunk 1#ip route-static 0.0.0.0 0.0.0.0 10.10.10.10 #S7706-2:#sysname S7706-2#vlan batch 10 885#interface Vlanif10ip address 10.10.10.22 255.255.255.0 vrrp vrid 10 virtual-ip 10.10.10.20#interface Vlanif885ip address 10.88.85.241 255.255.255.0 vrrp vrid 85 virtual-ip 10.88.85.240#interface Eth-Trunk1description HAport link-type trunkport trunk allow-pass vlan 10 885mode lacp#interface GigabitEthernet6/0/1port link-type accessport default vlan 10#interface GigabitEthernet6/0/2port link-type accessport default vlan 885#interface GigabitEthernet6/0/42eth-trunk 1#interface GigabitEthernet6/0/43eth-trunk 1#ip route-static 0.0.0.0 0.0.0.0 10.10.10.10#2.配置USG防火墙VRRP备份组，并加入VGMP管理组。
华为USG防火墙详细配置步骤
华为USG防火墙详细配置步骤
本文将介绍华为USG防火墙的详细配置步骤，包括以下几个方面：
1. 确认设备连接
- 确保USG防火墙已经正确连接至网络设备，可以通过网线或者光纤进行连接。
- 确认USG防火墙的电源已经连接并启动。
2. 登录管理界面
- 在计算机上打开浏览器，输入USG防火墙的管理界面地址。
- 输入正确的用户名和密码，登录到USG防火墙的管理界面。
3. 配置基本网络设置
- 在管理界面中，找到并点击“网络设置”选项。
- 在基本网络设置页面，根据网络需求配置IP地址、子网掩码、默认网关等基本网络参数。
4. 配置防火墙策略
- 在管理界面中，找到并点击“安全策略”或“防火墙策略”选项。
- 根据实际需求，配置防火墙策略，包括允许或禁止某些应用、网络服务或IP地址的访问。
5. 配置端口转发
- 在管理界面中，找到并点击“端口映射”或“端口转发”选项。
- 根据需要，配置端口映射规则，将外部请求的端口映射到内
部服务器的端口。
6. 配置虚拟专用网络（VPN）
- 在管理界面中，找到并点击“VPN”选项。
- 根据需求，配置VPN连接，包括设置加密方式、身份验证等
参数。
7. 保存配置并重启
- 在管理界面中，保存所有配置，并重启USG防火墙。
以上就是华为USG防火墙的详细配置步骤。
根据实际需求，可以进行相应的调整和扩展。
配置过程中，应注意安全设置和正确性，以确保USG防火墙的正常运行和网络的安全性。
华为防火墙实现双机热备配置详解,附案例
华为防火墙实现双机热备配置详解，附案例一提到防火墙，一般都会想到企业的边界设备，是内网用户与互联网的必经之路。
防火墙承载了非常多的功能，比如：安全规则、IPS、文件类型过滤、内容过滤、应用层过滤等。
也正是因为防火墙如此的重要，如果防火墙一旦出现问题，所有对外通信的服务都将中断，所以企业中首先要考虑的就是防火墙的优化及高可用性。
本文导读一、双机热备工作原理二、VRRP协议三、VGMP协议四、实现防火墙双机热备的配置一、双机热备工作原理在企业中部署一台防火墙已然成为常态。
如何能够保证网络不间断地传输成为网络发展中急需解决的问题！企业在关键的业务出口部署一台防火墙，所有的对外流量都要经过防火墙进行传输，一旦防火墙出现故障，那么企业将面临网络中断的问题，无论防火墙本身的性能有多好，功能有多么强大。
在这一刻，都无法挽回企业面临的损失。
所以在企业的出口部署两台防火墙产品，可以在增加企业安全的同时，保证业务传输基本不会中断，因为两台设备同时出现故障的概率非常小。
经过图中右边的部署，从拓补的角度来看，网络具有非常高的可靠性，但是从技术的角度来看，还需解决一些问题，正因为防火墙和路由器在工作原理上有着本质的区别，所以防火墙还需一些特殊的配置。
左图，内部网络可以通过R3→R1→R4到达外部网络，也可以通过R3→R2→R4到达，如果通过R3→R1→R4路径的cost（运行OSPF协议）比较小，那么默认情况，内部网络将通过R3→R1→R4到达外部网络，当R1设备损坏时，OSPF将自动收敛，R3将通过R2转发到达外部网络。
右图，R1、R2替换成两台防火墙，默认情况下，流量将通过FW1进行转发到达外部网络，此时在FW1记录着大量的用户流量对应的会话表项内容，当FW1损坏时，通过OSPF收敛，流量将引导FW2上，但是FW2上没有之前流量的会话表，之前传输会话的返回流量将无法通过FW2，而会话的后续流量需要重新经过安全策略的检查，并生成会话。
防火墙双机热备配置及组网指导
防火墙双机热备配置及组网指导防火墙双机热备配置及组网指导防火墙双机热备，主要是提供冗余备份的功能，在网络发生故障的时候避免业务出现中断。
防火墙双机热备组网根据防火墙的模式，分路由模式下的双机热备组网和透明模式下的双机热备组网，下面分别根据防火墙的不同模式下的组网提供组网说明及典型配置。
11：防火墙双机热备命令行说明防火墙的双机热备的配置主要涉及到HRP 的配置，VGMP 的配置，以及VRRP 的配置，防火墙的双机热备组网配置需要根据现网的业务和用户的需求来进行调整，下面就防火墙的双机热备配置涉及到的命令行做一个解释说明。
1.1 1.1HRP命令行配置说明HRP是华为的冗余备份协议，Eudemon防火墙使用此协议进行备份组网，达到链路状态备份的目的，从而保证在设备发生故障的时候业务正常。
HRP协议是华为自己开发的协议，主要是在VGMP协议的基础上进行扩展得到的；VGMP是华为的私有协议，主要是用来管理VRRP 的，VGMP也是华为的私有协议，是在VRRP 的基础上进行扩展得到的。
不管是VGMP 的报文，还是HRP 的报文，都是VRRP 的报文，只是防火墙在识别这些报文的时候能根据自己定义的字段能判断出是VGMP 的报文，HRP 的报文，或者是普通的VRRP 的报文。
在Eudemon防火墙上，hrp 的作用主要是备份防火墙的会话表，备份防火墙的servermap表，备份防火墙的黑名单，备份防火墙的配置，以及备份ASPF模块中的公私网地址映射表和上层会话表等。
两台防火墙正确配置VRRP，VGMP，以及HRP之后，将会形成主备关系，这个时候防火墙的命令行上会自动显示防火墙状态是主还是备，如果命令行上有HRP_M 的标识，表示此防火墙和另外一台防火墙进行协商之后抢占为主防火墙，如果命令行上有HRP_S 的标识，表示此防火墙和另外一台防火墙进行协商之后抢占为备防火墙。
防火墙的主备状态只能在两台防火墙之间进行协商，并且协商状态稳定之后一定是一台为主状态另外一台为备状态，不可能出现两台都为主状态或者都是备状态的。
Eudemon防火墙双机热备业务特性与配置
Eudemon防火墙双机热备业务特性与配置Eudemon防火墙是华为公司推出的一款高性能、高可靠性的网络安全设备。
在网络架构中，防火墙是非常重要的部分，其主要作用是监控和控制数据流量，保护网络安全。
而双机热备技术则是防火墙设备中的一项重要功能，能够在主设备故障的情况下，自动进行切换，保障网络的连续性和可靠性。
Eudemon防火墙的双机热备技术具有以下几个特性：1、高可用性：双机热备技术使得主备设备之间的状态保持实时同步，当主设备发生故障时，备设备可以立即接管主设备的工作，保证网络的持续运行。
2、高性能：双机热备技术采用硬件加速和负载均衡技术，可以将数据流量均匀地分发到主备设备上进行处理，提高防火墙的处理能力和响应速度。
3、灵活的部署方式：双机热备技术支持主备设备的本地部署和远程部署，可以根据实际情况进行选择，灵活满足不同网络环境的需求。
4、恢复能力强：双机热备技术具备自动切换和自动恢复功能，当主设备恢复正常运行时，能够自动将工作从备设备切换回主设备，实现系统的自动恢复和平滑过渡。
5、稳定可靠：双机热备技术采用了多种冗余设计，包括硬件冗余、软件冗余和数据冗余等，可以有效地提高防火墙的稳定性和可靠性，有效避免单点故障的发生。
对于Eudemon防火墙双机热备的配置，可以按照以下步骤进行：1、设备连接和初始化：将主备设备之间进行物理连接，确保两者之间的网络畅通，然后进行设备的初始化配置，包括设置IP地址、子网掩码、网关等，以及进行设备的授权和许可证的导入。
2、主备设备的信息同步：在主备设备之间进行信息同步，包括配置文件、路由表、状态信息等。
这是保证主备设备之间能够实时同步状态的基础。
3、配置双机热备功能：在主设备上开启双机热备功能，并设置备设备的优先级，配置主备设备的心跳检测参数，以便能够实时监测主备设备的状态。
4、测试和验证：在配置完成后，进行测试和验证，包括主备设备之间的切换测试、数据流量的负载均衡测试等，确保双机热备功能的正常运行和可靠性。
USG双机热备VRRP+HRP
USG双机热备vrrp+hrp配置（上接二层，下接三层的交叉组网模式）1.配置各接口IP以及vrrp，并加入相应的zone(写vrid的时候一定要加入掩码比如/24，否则不允许不同网段的vrid存在)2.给配置vrrp的接口下面启用vrrpvirtual-mac enable这样vrid才可以ping到，尤其是在ensp中3.isp1的vrrp为master，而isp2的vrrp为slave4.暂时打开防火墙的所有通路firewallpacket-filter default permit all5.配置域间路由6.开启双击热备hrpenable(如果已经开启了hrp又想在备墙上面做配置，可以通过开启配置来进行，即：HRP_S[FW2]hrpslave config enable)要添加的静态路由：HRP_M[FW1]ip route-static 192.168.10.0 24 10.1.14.254HRP_S[FW2]ip route-static 192.168.10.0 24 10.1.14.254 [S1]ip route-static 1.1.1.0 24 10.1.14.100[S2]ip route-static 10.1.14.0 24 192.168.10.254[isp1]ip route-static 10.1.18.0 255.255.255.0 1.1.1.1 [isp1]ip route-static 192.168.10.0 24 1.1.1.1[isp2]ip route-static 10.1.18.0 255.255.255.0 2.2.2.2 [isp2]ip route-static 192.168.10.0 24 2.2.2.2[FW1]interface GigabitEthernet 0/0/1[FW1-GigabitEthernet0/0/1]ip address 10.1.11.1 24[FW1-GigabitEthernet0/0/1]vrrpvrid 1 virtual-ip 1.1.1.1 24 master [FW1-GigabitEthernet0/0/1]vrrp virtual-mac enable因为是在模拟器中，所以要开启MAC，否则会访问不了虚拟的网关地址。
USG防火墙产品基本功能特性与配置
目录
1. 防火墙的基本概念
1.1 安全区域 1.2 防火墙工作模式 1.3 会话
Page12
防火墙的三种工作模式
路由模式 透明模式 混合模式
Page13
路由模式
Trust区 PC
10.110.1.254
202.10.0.1
PC
PC
Untrust区
服务器 内部网络 10.110.1.0/24
VPN
Timeout(s)
----------------------------------------------------------------------
1 http
All
600
2 telnet
All
600
….
[USG2100] firewall session aging-time icmp 15
USG（备）
服务器
Page16
目录
1. 防火墙的基本概念
1.1 安全区域 1.2 防火墙工作模式 1.3 会话
Page17
会话
会话（Session）
USG防火墙是状态防火墙，采用会话表维持通信状态。会话表包
括五个元素：源IP地址、源端口、目的IP地址、目的端口和协议 号(如果支持虚拟防火墙的话还有一个VPN-ID)。当防火墙收到报 文后，根据上述五个元素查询会话表，并根据具体情况进行如下 操作：
Page20
防火墙长连接会话
配置ACL，用于控制需要长连接会话的数据流 [USG2100] acl 3001 [USG2100-acl-adv-3001] rule permit tcp source 10.100.10.20
设置长连接的老化时间 [USG2100] firewall long-link aging-time 2
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Trust
备份组3 GE2/0/0 GE1/0/0 GE3/0/0 USG B Slave管理组
Untrust 备份组2
[USG2100] interface GigabitEthernet 1/0/0 [USG2100-GigabitEthernet1/0/0] ip address 10.100.10.2 24 [USG2100-GigabitEthernet1/0/0] vrrp vrid 1 virtual-ip 10.100.10.1 master [USG2100] interface GigabitEthernet 3/0/0
Internet
RouterB
服务器 备份组 Virtual IP Address 10.100.10.1
Backup RouterC 10.100.10.4
路由器组网中通过VRRP协议实现双机热备份
Copyright © 2012 Huawei Technologies Co., Ltd. All rights reserved.
备份组2
[USG2100-GigabitEthernet2/0/0] ip address 10.100.20.2
24
[USG2100-GigabitEthernet2/0/0] vrrp vrid 3 virtual-ip 10.100.20.1 master #将GE2/0/0加入到对应的VRRP备份组中。
Copyright © 2012 Huawei Technologies Co., Ltd. All rights reserved.
VGMP数据通道
USG A Master
A3 A2 Trust A4
A1
A4-B4
Untrust
DMZ B1 B4
B2
B3
Backup USG B
Copyright © 2012 Huawei Technologies Co., Ltd. All rights reserved.
Copyright © 2012 Huawei Technologies Co., Ltd. All rights reserved.
路由模式-主备组网方式配置参考2
备份组1
Master管理组 USG A GE1/0/0 GE3/0/0
GE2/0/0
Trust
备份组3
Untrust
GE2/0/0
GE3/0/0 USG B Slave管理组 [USG2100] interface GigabitEthernet 2/0/0 GE1/0/0
Байду номын сангаас
目 录
双机热备份技术原理
USG防火墙双机热备份技术 双机热备份技术在防火墙上的实施
Copyright © 2012 Huawei Technologies Co., Ltd. All rights reserved.
防火墙双机热备份技术分析
防火墙双机热备份技术的特征
控制主、备用防火墙的切换 状态信息的备份
路由模式-主备组网方式
Master管理组 USG A
备份组1
GE1/0/0 GE2/0/0
GE3/0/0 PC2
PC1 Trust 备份组3 备份组2 Untrust
GE2/0/0
GE1/0/0
USG B
GE3/0/0
Slave管理组
防火墙设备 A B
管理组 Master Slave
成员 备份组1，2，3 备份组1，2，3
Copyright © 2012 Huawei Technologies Co., Ltd. All rights reserved.
HRP
HRP（Huawei Redundancy Protocol ）华为冗余协议
华为公司冗余协议HRP（Huawei Redundancy Protocol）是 承载在VGMP报文上进行传输的。HRP用于在主用设备和备 用设备之间备份关键配置命令和会话表状态等关键信息。
USG防火墙的双机热备份技术依靠三种协议实现：
VRRP（虚拟路由冗余协议）
VGMP（VRRP组管理协议）
HRP（华为冗余协议）
Copyright © 2012 Huawei Technologies Co., Ltd. All rights reserved.
防火墙主备状态切换的实现
VGMP（VRRP Group Management Protocol) 提出VRRP管
路由模式是指USG的业务端口和HRP备份通道接口均工作在路
由模式下。
混合模式是指USG的业务端口工作在透明模式下，而HRP备份 通道接口工作在路由模式下。
路由模式和混合模式都包含两种组网方式：
主备组网方式
负载分担组网方式
Copyright © 2012 Huawei Technologies Co., Ltd. All rights reserved.
10.100.20.0/24
为防火墙上多个区域提供双机备份功能时，需要在 每一台防火墙上配置多个VRRP备份组。
Copyright © 2012 Huawei Technologies Co., Ltd. All rights reserved.
VRRP在防火墙应用中存在的缺陷
(1)
PC1 (2) USG A Master 会话表项 (3)
VRRP在多区域防火墙组网中的应用
备份组1 Virtual IP Address 10.100.10.1 Trust USG A Master
10.100.10.0/24 备份组3 Virtual IP Address 202.38.10.1
Untrust
DMZ
备份组2 Virtual IP Address 10.100.20.1 USG B Backup
Trust
(7)
(4) (6)
PC2
(5) (8) Server Backup USG B DMZ 实际连线 报文流径
Untrust (9)
传统VRRP方式无法实现主、备用USG防火墙状态的 一致性。
Copyright © 2012 Huawei Technologies Co., Ltd. All rights reserved.
培训目标
学完本课程后，您应该能：
掌握双机热备份技术原理
掌握VRRP，VGMP和HRP之间的关系
掌握典型双机组网的配置
Copyright © 2012 Huawei Technologies Co., Ltd. All rights reserved.
目 录
双机热备份技术原理
USG防火墙双机热备份技术 双机热备份技术在防火墙上的实施
所有以Firewall A作为默认网关的主机与外部网络之间的通讯
将中断，通讯可靠性无法保证。
Copyright © 2012 Huawei Technologies Co., Ltd. All rights reserved.
传统双机热备份技术在路由器上的部署
10.100.10.2 Master RouterA PC 内部网络 10.100.10.0/24 10.100.10.3 Backup
防火墙状态信息的备份
VGMP可以保证报文来回路径通过同一台防火墙。当主防火
墙出现故障时，所有流量都将切换到备防火墙。但USG防火 墙是状态防火墙，如果备防火墙上没有原来主防火墙上的连
接状态数据，则切换到备防火墙的很多流量将无法通过，造
成现有的连接中断，此时用户必须重新发起连接。 为了实现主用设备出现故障时能由备用设备平滑地接替工作， 需要在主、备用设备之间备份关键配置命令和会话表状态等 关键信息。
Copyright © 2012 Huawei Technologies Co., Ltd. All rights reserved.
VGMP实现原理
备份组1 A1 A3 A2 Trust USG A Master 管理组
Untrust DMZ B1 备份组4 B3 备份组3
B2 备份组2
Backup USG B 管理组
Copyright © 2012 Huawei Technologies Co., Ltd. All rights reserved.
双机热备份技术产生的原因
PC 内部网络 10.100.10.0/24 10.100.10.1/24
Internet Firewall A
服务器
传统的组网方式如图所示，内部用户和外部用户的交互报文 全部通过Firewall A。如果Firewall A出现故障，内部网络中
USG防火墙 双机热备业务特性与配置
美河学习在线
Copyright © 2012 Huawei Technologies Co., Ltd. All rights reserved.
前 言
在当前的组网应用中，用户对网络可靠性的要求越来越高，