华为防火墙双机热备配置及组网(DOC)
华为防火墙双机热备配置及组网
防火墙双机热备配置及组网指导防火墙双机热备，主要是提供冗余备份的功能，在网络发生故障的时候避免业务出现中断。
防火墙双机热备组网根据防火墙的模式，分路由模式下的双机热备组网和透明模式下的双机热备组网，下面分别根据防火墙的不同模式下的组网提供组网说明及典型配置。
1 1：防火墙双机热备命令行说明防火墙的双机热备的配置主要涉及到HRP的配置，VGMP的配置，以及VRRP的配置，防火墙的双机热备组网配置需要根据现网的业务和用户的需求来进行调整，下面就防火墙的双机热备配置涉及到的命令行做一个解释说明。
1.1 1.1 HRP命令行配置说明HRP是华为的冗余备份协议，Eudemon 防火墙使用此协议进行备份组网，达到链路状态备份的目的，从而保证在设备发生故障的时候业务正常。
HRP协议是华为自己开发的协议，主要是在VGMP协议的基础上进行扩展得到的；VGMP是华为的私有协议，主要是用来管理VRRP的，VGMP也是华为的私有协议，是在VRRP的基础上进行扩展得到的。
不管是VGMP的报文，还是HRP的报文，都是VRRP的报文，只是防火墙在识别这些报文的时候能根据自己定义的字段能判断出是VGMP的报文，HRP的报文，或者是普通的VRRP的报文。
在Eudemon防火墙上，hrp的作用主要是备份防火墙的会话表，备份防火墙的servermap 表，备份防火墙的黑名单，备份防火墙的配置，以及备份ASPF模块中的公私网地址映射表和上层会话表等。
两台防火墙正确配置VRRP，VGMP，以及HRP之后，将会形成主备关系，这个时候防火墙的命令行上会自动显示防火墙状态是主还是备，如果命令行上有HRP_M的标识，表示此防火墙和另外一台防火墙进行协商之后抢占为主防火墙，如果命令行上有HRP_S的标识，表示此防火墙和另外一台防火墙进行协商之后抢占为备防火墙。
防火墙的主备状态只能在两台防火墙之间进行协商，并且协商状态稳定之后一定是一台为主状态另外一台为备状态，不可能出现两台都为主状态或者都是备状态的。
防火墙技术案例5_双机热备(负载分担)组网下的IPSec配置
7）??在NGFW_D上配置IPSec。
双机热备状态成功建立后，NGFW_C上配置的ACL、IPSec策略（包括其中的IPSec安全提议，IKE对等体）等都会自动备份到NGFW_D上。只有在接口上应用IPSec策略的配置不会备份，需要在此手动配置。
HRP_A[NGFW_C-ipsec-policy-isakmp-map2-10]?ike-peerngfw_b?
HRP_A[NGFW_C-ipsec-policy-isakmp-map2-10]?quit
6）??配置在Tunnel接口上应用IPSec策略。
【强叔点评】之前点评中提到我们需要在NGFW_C的tunnel1上与NGFW_A建立一条主用隧道，在tunnel2上与NGFW_B建立一条备份隧道，这是通过在应用IPSec策略时设定active或standby参数来实现的。
1、??如何使两台防火墙形成双机热备负载分担状态？
两台防火墙的上下行业务接口工作在三层，并且连接三层路由器，在这种情况下，就需要在防火墙上配置VGMP组（即hrptrack命令）来监控上下行业务接口。如果是负载分担状态，则需要在每台防火墙上调动两个VGMP组（active组和standby组）来监控业务接口。
【防火墙技术案例5】双机热备（负载分担）组网下的IPSec配置
论坛的小伙伴们，大家好。强叔最近已经开始在“侃墙”系列中为各位小伙伴们介绍各种VPN了。说到VPN，小伙伴们肯定首先想到的是最经典的IPSecVPN，而且我想大家对IPSec的配置也是最熟悉的。但是如果在两台处于负载分担状态下的防火墙上部署IPSecVPN又该如何操作呢？有什么需要注意的地方呢？
这个想法很好，但是如何实现呢？我们可以在NGFW_C上创建两个tunnel接口，然后在tunnel1上与NGFW_A建立一条主用隧道，在tunnel2上与NGFW_B建立一条备份隧道。同理在NGFW_D的tunnel1上与NGFW_A建立一条备份隧道，在tunnel2上与NGFW_B建立一条主用隧道。这里需要注意的是NGFW_C上的tunnel1（tunnel2）地址需要与NGFW_D上的tunnel1（tunnel2）地址保持一致。
园区出口配置举例(防火墙旁路)
1 大型园区出口配置示例（防火墙旁路部署）1.1 配置注意事项●本举例中的交换机以华为公司的S系列框式交换机为例、防火墙以USG系列为例、路由器以NE系列为例。
●本配置案例仅涉及企业网络出口相关配置，涉及企业内网的相关配置请参见华为S系列园区交换机快速配置中的“大型园区组网场景”。
●本例仅涉及防火墙与交换机的对接配置以及防火墙的双机热备配置。
防火墙上的安全业务规划及园区安全策略、攻击防范、带宽管理、IPSec等功能的配置示例请参见《防火墙配置案例集》。
●本例仅涉及园区出口路由器与交换机的对接配置。
路由器在公网侧的配置示例请参见NE系列路由器《配置指南》。
1.2 组网需求在大型园区出口，核心交换机上行通过路由器访问外网。
防火墙旁挂于核心交换机，对业务流量提供安全过滤功能。
为了简化网络并提高可靠性，在核心层交换机通常部署集群。
在防火墙上部署双机热备（主备模式），当其中一台故障时，业务可以平滑切换到另一台。
核心交换机双归接入2台出口路由器，路由器之间部署VRRP确保可靠性。
为提高链路可靠性，在核心交换机与出口路由器之间，核心交换机与防火墙之间，2台防火墙之间均通过Eth-Trunk互连。
如下图所示。
图1-1园区出口组网图（防火墙旁挂，双机热备）在一般的三层转发环境下，园区内外部之间的流量将直接通过交换机转发，不会经过FW1或FW2。
当流量需要从交换机转发至FW，经FW检测后再转发回交换机，就需要在交换机上配置VRF功能，将交换机隔离成两个相互独立的虚拟交换机VRF-A和根交换机Public。
Public作为连接出口路由器的交换机。
对于下行流量，它将外网进来的流量转发给FW 进行检测；对于上行流量，它接收经FW检测后的流量，并转发到路由器。
VRF-A作为连接内网侧的交换机。
对于下行流量，它接收经FW检测后的流量，并转发到内网；对于上行流量，它将内网的流量转发到FW去检测。
根据上图中的流量转发路径可以将上图转换成如下所示的更容易理解的逻辑组网图。
华为Eudemon1000双机配置
双机热备配置举例目录1双机热备配置举例1.1 配置主备备份方式下的双机热备1.2 配置负载分担方式上下行设备是路由器的双机热备1.3配置负载分担方式下业务接口工作在交换模式的双机热备1.4 配置主备备份方式下VRRP 和OSPF 结合的双机热备1.5 配置主备备份方式下OSPF 与NAT 结合的双机热备1双机热备配置举例通过配置双机热备功能，可以确保主用设备出现故障时能由备份设备平滑地接替工作。
配置主备备份方式下的双机热备Eudemon 作为安全设备部署在业务节点上，上下行设备均是交换机，实现主备备份的双机热备份组网。
配置负载分担方式上下行设备是路由器的双机热备Eudemon 作为安全设备部署在业务节点上，上下行设备均是路由器，实现负载分担的双机热备份组网。
配置负载分担方式下业务接口工作在交换模式的双机热备Eudemon 上下行设备均是路由器，主备设备的业务接口工作在交换模式下，在上下行路由器之间透传OSPF 协议，同时对业务流量提供安全过滤功能。
配置主备备份方式下VRRP和OSPF结合的双机热备主备设备与路由器运行OSPF协议，与交换机运行VRRP , 实现主备备份的双机热备份组网。
配置主备备份方式下OSPF与NAT结合的双机热备主备设备与路由器及下行设备GGSN设备运行OSPF协议，在设备上配置NAT功能，实现主备备份的双机热备份组网。
父主题：典型配置案例1.1配置主备备份方式下的双机热备Eudemon作为安全设备部署在业务节点上，上下行设备均是交换机，实现主备备份的双机热备份组网。
组网需求Eudemon作为安全设备被部署在业务节点上。
其中上下行设备均是交换机，Eudemon_A、Eudemon_B分别充当主用设备和备用设备。
网络规划如下：•内部网络通过路巾器与Eudemon_A、Eudemon_B 的GigabitEthernet 0/0/2接口相连，部署在Trust区域。
•外部网络通过路由器与Eudemon_A、Eudemon_B 的GigabitEthernet 0/0/1接口相连，部署在Untrust区域。
华为防火墙配置使用手册(自己写)[1]
![华为防火墙配置使用手册(自己写)[1]](https://img.taocdn.com/s3/m/1f828b87970590c69ec3d5bbfd0a79563c1ed4b8.png)
华为防火墙配置使用手册(自己写)[USGxxxx] interface GigabitEthernet 0/0/1 [USGxxxx-GigabitEthernet0/0/1] ip address 192.168.1.1 24 [USGxxxx-GigabitEthernet0/0/1] quit[USGxxxx] saveThe current configuration will be written to the device.Are you sure to continue? [Y/N]:YInfo: Please input the filename(*.cfg,*.zip)[vrpcfg.zip]:(To leave the existing filename unchanged, press the enter key):It will take several minutes to save configuration file, please wt......Configuration file had been saved successfullyNote: The configuration file will take effect after being activated网络 > 接口 > 物理接口 > 编辑 > 基本信息 >华为防火墙配置使用手册一、概述二、功能介绍防火墙功能：根据用户定义的安全策略，对进出网络的数据包进行允许或拒绝的动作，实现网络隔离和访问控制。
入侵防御功能：通过内置或外置的入侵防御系统(IPS)，对网络流量进行深度分析，识别并阻断各种已知或未知的攻击行为，如端口扫描、拒绝服务、木马、漏洞利用等。
反病毒功能：通过内置或外置的反病毒引擎，对网络流量中的文件和进行扫描，检测并清除各种病毒、蠕虫、木马等恶意代码。
内容过滤功能：通过内置或外置的内容过滤引擎，对网络流量中的网页、、即时通信等应用层内容进行过滤，阻止不良或违规的信息传输，如色情、暴力、赌博等。
华为USG6350双机热备与 NAT 功能结合配置
双机热备与 NAT 功能结合一组网需求USG作为安全设备被部署在业务节点上。
USG的业务接口工作在三层，上下行连接交换机。
USG_A、 USG_B以主备备份方式工作。
内网用户可以通过公网地址访问Internet。
正常情况下， USG_A作为主用设备，处理业务流量； USG_B作为备用设备，不处理业务流量。
当USG_A的接口或整机发生故障时， USG_B切换为主用设备接替USG_A处理业务流量，从而保证业务不中断。
图 1-44 业务接口工作在三层，上下行连接交换机的组网图配置思路1. 由于USG的业务接口工作在三层，能够配置IP地址。
而且USG上下行连接交换机，交换机能够透传VRRP报文。
因此本举例选择在业务接口上配置IP地址和VRRP备份组，由VRRP备份组监控接口状态。
2. 为了实现主备备份方式，需要将USG_A的VRRP备份组加入Active管理组， USG_B的VRRP备份组加入Standby管理组，由管理组统一监控接口状态。
3. 为了使内网用户能够使用公网IP地址访问Internet，需要配置Trust与Untrust域间的源NAT。
由于NAT地址池中的地址与VRRP备份组的虚拟IP地址在同一网段，为了避免业务冲突，需要配置NAT地址池与管理组绑定。
4. 为了使USG_B能够备份USG_A的关键配置命令和会话表状态信息，需要在两台USG上指定HRP备份通道，然后启用HRP功能。
5. 为了保证正常情况下路由可达，且主备设备状态切换后流量能够被正确地引导到备用设备上，需要在内网的PC或设备上配置静态路由，下一跳为VRRP备份组的虚拟IP地址。
操作步骤步骤1 在USG_A上配置各个接口的IP地址，并将接口加入安全区域。
1. 选择“网络 > 接口 > 接口”。
2. 在“接口列表”中，单击GE0/0/1对应的，显示“修改GigabitEthernet”界面。
GE0/0/1的相关参数如下，其他参数使用默认值：l 安全区域： untrustl 模式：路由l 连接类型：静态IPl IP地址： 10.2.0.1l 子网掩码： 255.255.255.03. 单击“应用”。
负载分担模式双机热备典型配置举例
负载分担模式双机热备典型配置举例4.1 组网需求在图36所示的防火墙动态路由OSPF双机热备组网中，需要实现：∙ 通过配置等价路由，在主、备防火墙正常工作时，主、备防火墙可以负载分担内外网流量。
∙ 当其中一台防火墙故障或与两台交换机相连的某一条链路故障时，流量可以及时从两台防火墙切换至一台防火墙，从而保证新发起的会话能正常建立，当前正在进行的会话也不会中断，网络业务能够平稳运行。
图36 负载分担模式双机热备组网图4.2 配置思路为了使数据流量能够负载分担通过防火墙进行转发，需要使防火墙的路由度量值保持一致。
4.3 使用版本本举例是在U200-A R5135版本上进行配置和验证的。
4.4 配置注意事项∙ 双机热备只支持两台设备进行备份。
∙ 双机热备的两台设备要求硬件配置和软件版本一致，并且要求接口卡的型号与所在的槽位一致，否则会出现一台设备备份过去的信息，在另一台设备上无法识别，或者找不到相关物理资源，从而导致流量切换后报文转发出错或者失败。
∙ 在双机热备页面进行配置后，如果没有提交配置就单击<修改备份接口>按钮进入备份接口配置页面，则对双机热备页面进行的配置会丢失。
∙ 双机热备的两台设备上的备份接口之间可以通过转发设备（如：路由器、交换机、HUB）进行中转，但是必须保证经过转发设备后报文携带的Tag为备份VLAN的VLAN Tag。
4.5 配置步骤4.5.1 Firewall A的配置1. 通过Web方式配置(1)配置接口GigabitEthernet0/1、GigabitEthernet0/2接口的IP地址。
# 在导航栏中选择“设备管理> 接口管理”。
点击接口对应的编辑按钮“”，进入“接口编辑”配置页面。
# 配置接口工作在“三层”模式以及IP地址。
华为USG6000系列防火墙共享上网及组网基本配置
华为USG6000系列防火墙共享上网及组网基本配置公司各楼层通过交换机汇聚到楼宇核心交换机，楼宇核心汇聚到总核心，然后通过USG6000安全策略访问外网路由器实现共享上网功能。
楼宇核心：划分楼层VLAN 配置网关上一跳路由<Huawei>sys[huawei]sysname hexinjiaohuan[hexinjiaohuan]vlan batch 10 20 30 40[hexinjiaohuan]int vlan 10[hexinjiaohuan-Vlanif10]ip address 192.168.10.254 24 [hexinjiaohuan]int vlan 20[hexinjiaohuan-Vlanif20]ip address 192.168.20.254 24 [hexinjiaohuan]int vlan 30[hexinjiaohuan-Vlanif30]ip address 192.168.30.254 24 [hexinjiaohuan]int vlan 40[hexinjiaohuan-Vlanif40]ip address 192.168.60.1 30 [hexinjiaohuan]int g0/0/3[hexinjiaohuan-GigabitEthernet0/0/3]port link-type access [hexinjiaohuan-GigabitEthernet0/0/3]port default vlan 10 [hexinjiaohuan]int g0/0/1[hexinjiaohuan-GigabitEthernet0/0/1]port link-type access [hexinjiaohuan-GigabitEthernet0/0/1]port default vlan 20 [hexinjiaohuan]int g0/0/4[hexinjiaohuan-GigabitEthernet0/0/4]port link-type access [hexinjiaohuan-GigabitEthernet0/0/4]port default vlan 30 [hexinjiaohuan]int g0/0/2[hexinjiaohuan-GigabitEthernet0/0/2]port link-type access [hexinjiaohuan-GigabitEthernet0/0/2]port default vlan 40 [hexinjiaohuan]ip route-static 0.0.0.0 0.0.0.0 192.168.60.2<hexinjiaohuan>saveThe current configuration will be written to the device.Are you sure to continue?[Y/N]y总核心交换机：配置上下访问端口和上下访问路由<Huawei>sys[Huawei]sysname zonghexin[zonghexin]vlan batch 40 50[zonghexin]int vlan 40[zonghexin-Vlanif40]ip address 192.168.60.2 30 [zonghexin]int g0/0/2[zonghexin-GigabitEthernet0/0/2]port link-type access [zonghexin-GigabitEthernet0/0/2]port default vlan 40 [zonghexin]int vlan 50[zonghexin-Vlanif50]ip address 192.100.50.2 30 [zonghexin]int g0/0/1[zonghexin-GigabitEthernet0/0/1]port link-type access [zonghexin-GigabitEthernet0/0/1]port default vlan 50 [zonghexin]ip route-static 192.168.10.0 255.255.255.0 192.168.60.1 [zonghexin]ip route-static 192.168.20.0 255.255.255.0 192.168.60.1[zonghexin]ip route-static 192.168.30.0 255.255.255.0 192.168.60.1 [zonghexin]ip route-static 0.0.0.0 0.0.0.0 192.100.50.1<zonghexin>saveThe current configuration will be written to the device.Are you sure to continue?[Y/N]y防火墙USG6000：配置访问策略允许内网所有PC访问外网（路由器）地址Username:adminPassword: （默认密码Admin@123）The password needs to be changed. Change now? [Y/N]: yPlease enter old password: （默认密码Admin@123）Please enter new password: 新密码Please confirm new password: 新密码确认[USG6000V1]int g1/0/1 //配置内网端口[USG6000V1-GigabitEthernet1/0/1]ip address 192.100.50.1 255.255.255.252 [USG6000V1-GigabitEthernet1/0/1]service-manage http permit[USG6000V1-GigabitEthernet1/0/1]service-manage https permit[USG6000V1-GigabitEthernet1/0/1]service-manage ping permit[USG6000V1]int g1/0/0 //配置外网端口[USG6000V1-GigabitEthernet1/0/0]ip address 10.128.60.5 255.255.255.252 [USG6000V1]firewall zone trust //把端口加入到安全域[USG6000V1-zone-trust]add interface GigabitEthernet 1/0/1[USG6000V1]firewall zone untrust //把端口加入到非安全域[USG6000V1-zone-untrust]add interface GigabitEthernet1/0/0[USG6000V1]ip route-static 0.0.0.0 0.0.0.0 10.128.60.6[USG6000V1]ip route-static 192.168.10.0 255.255.255.0 192.100.50.2[USG6000V1]ip route-static 192.168.20.0 255.255.255.0 192.100.50.2[USG6000V1]ip route-static 192.168.30.0 255.255.255.0 192.100.50.2[USG6000V1]security-policy //访问策略[USG6000V1-policy-security]rule name "trust to untrust"[USG6000V1-policy-security-rule-trust to untrust][USG6000V1-policy-security-rule-trust to untrust]source-zone trust[USG6000V1-policy-security-rule-trust to untrust]destination-zone untrust [USG6000V1-policy-security-rule-trust to untrust] action permit[USG6000V1-policy-security-rule-trust to untrust] rule name local[USG6000V1-policy-security-rule-local]source-zone local[USG6000V1-policy-security-rule-local]destination-zone trust[USG6000V1-policy-security-rule-local]action permit<USG6000V1>save路由器：[Huawei]int g0/0/1[Huawei-GigabitEthernet0/0/1]ip address 10.128.60.6 255.255.255.252 [Huawei]ip route-static 0.0.0.0 0.0.0.0 10.128.60.5<Huawei>savepc>ping 10.128.60.6Ping 10.128.60.6: 32 data bytes, Press Ctrl_C to breakFrom 10.128.60.6: bytes=32 seq=1 ttl=252 time=765 ms From 10.128.60.6: bytes=32 seq=2 ttl=252 time=141 ms From 10.128.60.6: bytes=32 seq=3 ttl=252 time=78 msFrom 10.128.60.6: bytes=32 seq=4 ttl=252 time=78 msFrom 10.128.60.6: bytes=32 seq=5 ttl=252 time=78 msPC机测试通过基本功能实现。
华为防火墙配置命令大全，带案例，相当详细的！
华为防⽕墙配置命令⼤全，带案例，相当详细的！关于阿龙⼀个专注于计算机⽹络的⾮著名砖家，2016年拥有HCIE认证（数通⽅向），全球唯⼀编号：3558，分享计算机⽹络知识，让枯燥的技术知识变得更有趣，让⽂字动起来，让⽹络变得更简单。
信息爆炸的年代，过多⽆⽤的信息充斥着我们，学⽹络技术，关注⼀个号就够了，⼀起交流，共同进步。
防⽕墙（Firewall）也称防护墙，是由Check Point创⽴者Gil Shwed于1993年发明并引⼊国际互联⽹（US5606668（A）1993-12-15）防⽕墙是位于内部⽹和外部⽹之间的屏障，它按照系统管理员预先定义好的规则来控制数据包的进出。
防⽕墙是系统的第⼀道防线，其作⽤是防⽌⾮法⽤户的进⼊。
初始化防⽕墙初始化防⽕墙: 默认⽤户名为admin,默认的密码Admin@123,这⾥修改密码为along@163.Username:adminPassword:*****The password needs to be changed. Change now? [Y/N]: yPlease enter old password: Admin@123Please enter new password: Along@163Please confirm new password: Along@163<FW1> system-view // 进⼊系统视图[FW1] sysname FW1 // 给防⽕墙命名[FW1] undo info-center enable // 关闭⽇志弹出功能[FW1] quit<FW1> language-mode Chinese // 将提⽰修改为中⽂Change language mode, confirm? [Y/N] y提⽰：改变语⾔模式成功.开启Web管理界⾯: 默认防⽕墙console接⼝IP地址是192.168.0.1.<FW1> system-view[FW1] web-manager enable // 开启图形管理界⾯[FW1] interface GigabitEthernet 0/0/0[FW1-GigabitEthernet0/0/0] ip address 192.168.0.1 24 // 给接⼝配置IP地址[FW1-GigabitEthernet0/0/0] service-manage all permit // 放⾏该端⼝的请求[FW1-GigabitEthernet0/0/0] display this配置Console⼝登陆:<FW1> system-view // 进⼊系统视图[FW1] user-interface console 0 // 进⼊console0的⽤户配置接⼝[FW1-ui-console0] authentication-mode password // 使⽤密码验证模式[FW1-ui-console0] set authentication password cipher Admin1234 // 设置密码为Admin1234[FW1-ui-console0] quit // 退出⽤户配置接⼝配置telnet密码认证: 配置密码认证模式,此处配置密码为Admin@123.FW1> system-view[FW1] telnet server enable // 开启Telnet⽀持[FW1] interface GigabitEthernet 0/0/0 // 选择配置接⼝[FW1-GigabitEthernet0/0/0] service-manage telnet permit // 允许telnet[FW1-GigabitEthernet0/0/0] quit[FW1] user-interface vty 0 4 // 开启虚拟终端[FW1-ui-vty0-4] protocol inbound telnet // 允许telnet[FW1-ui-vty0-4] authentication-mode password // 设置为密码认证模式[FW1-ui-vty0-4] set authentication password cipher Admin@123 // 设置⽤户密码[USG6000V1] firewall zone trust // 选择安全区域[USG6000V1-zone-trust] add interface GE0/0/0 // 添加到安全区域配置telnet⽤户名密码认证:<FW1> system-view // 进⼊系统视图[FW1] interface GigabitEthernet 0/0/0 // 进⼊接⼝配置[FW1-GigabitEthernet0/0/0] ip address 192.168.0.1 24 // 配置接⼝IP[FW1-GigabitEthernet0/0/0] service-manage telnet permit // 允许telnet[FW1-GigabitEthernet0/0/0] service-manage ping permit // 允许ping[FW1-GigabitEthernet0/0/0] quit //退出[FW1] firewall zone trust // 进⼊trust安全域配置[FW1-zone-trust] add interface GigabitEthernet 0/0/0 // 把GE0/0/0加⼊到trust安全域[FW1-zone-trust] quit[FW1] telnet server enable // 启⽤telnet服务[FW1] user-interface vty 0 4 // 进⼊vty0-4的⽤户配置接⼝[FW1-ui-vty0-4] authentication-mode aaa // 使⽤AAA验证模式[FW1-ui-vty0-4] user privilege level 3 // 配置⽤户访问的命令级别为3[FW1-ui-vty0-4] protocol inbound telnet // 配置telnet[FW1-ui-vty0-4] quit // 退出⽤户配置接⼝[FW1] aaa // 进⼊AAA配置视图[FW1-aaa] manager-user lyshark // 创建⽤户vtyadmin[FW1-aaa-manager-user-lyshark] password cipher admin@123 // 配置⽤户密码[FW1-aaa-manager-user-lyshark] service-type telnet // 配置服务类型[FW1-aaa-manager-user-lyshark] quit // 退出[FW1-aaa] bind manager-user lyshark role system-admin // 绑定管理员⾓⾊[FW1-aaa] quit // 退出AAA视图常⽤查询命令: 查询防⽕墙的其他配置,常⽤的⼏个命令如下.[FW1] display ip interface brief // 查默认接⼝信息[FW1] display ip routing-table // 显⽰路由表[FW1] display zone // 显⽰防⽕墙区域[FW1] display firewall session table // 显⽰当前会话[FW1] display security-policy rule all // 显⽰安全策略配置到这⾥,我们就可以在浏览器中访问了,其访问地址是http://192.168.0.1防⽕墙基本配置初始化防⽕墙: 初始化配置,并设置好防⽕墙密码,此处⽤户名admin密码是along@123. Username:adminPassword:*****The password needs to be changed. Change now? [Y/N]: yPlease enter old password: Admin@123Please enter new password: Along@163Please confirm new password: Along@163<USG6000V1> system-view // 进⼊系统视图[USG6000V1] sysname FW1 // 给防⽕墙命名[FW1] undo info-center enable // 关闭⽇志弹出功能[FW1] quit<FW1> language-mode Chinese // 将提⽰修改为中⽂[FW1] web-manager enable // 开启图形管理界⾯[FW1] interface GigabitEthernet 0/0/0[FW1-GigabitEthernet0/0/0] service-manage all permit // 放⾏该端⼝的请求配置内⽹接⼝: 配置内⽹的接⼝信息,这⾥包括个GE 1/0/0 and GE 1/0/1这两个内⽹地址. <FW1> system-view[FW1] interface GigabitEthernet 1/0/0[FW1-GigabitEthernet1/0/0] ip address 192.168.1.1 255.255.255.0[FW1-GigabitEthernet1/0/0] undo shutdown[FW1-GigabitEthernet1/0/0] quit[FW1] interface GigabitEthernet 1/0/1[FW1-GigabitEthernet1/0/1] ip address 192.168.2.1 255.255.255.0[FW1-GigabitEthernet1/0/1] undo shutdown[FW1-GigabitEthernet1/0/1] quit# -------------------------------------------------------[FW1] firewall zone trust // 将前两个接⼝加⼊trust区域[FW1-zone-trust] add interface GigabitEthernet 1/0/0[FW1-zone-trust] add interface GigabitEthernet 1/0/1配置外⽹接⼝: 配置外⽹接⼝GE 1/0/2接⼝的IP地址,并将其加⼊到untrust区域中.[FW1] interface GigabitEthernet 1/0/2 // 选择外⽹接⼝[FW1-GigabitEthernet1/0/2] undo shutdown // 开启外⽹接⼝[FW1-GigabitEthernet1/0/2] ip address 10.10.10.10 255.255.255.0 // 配置IP地址[FW1-GigabitEthernet1/0/2] gateway 10.10.10.20 // 配置⽹关[FW1-GigabitEthernet1/0/2] undo service-manage enable[FW1-GigabitEthernet1/0/2] quit# -------------------------------------------------------[FW1] firewall zone untrust // 选择外⽹区域[FW1-zone-untrust] add interface GigabitEthernet 1/0/2 // 将接⼝加⼊到此区域配置安全策略: 配置防⽕墙安全策略,放⾏trust(内⽹)-->untrust(外⽹)的数据包.[FW1] security-policy // 配置安全策略[FW1-policy-security] rule name lyshark // 规则名称[FW1-policy-security-rule-lyshark] source-zone trust // 原安全区域(内部)[FW1-policy-security-rule-lyshark] destination-zone untrust // ⽬标安全区域(外部)[FW1-policy-security-rule-lyshark] source-address any // 原地址区域[FW1-policy-security-rule-lyshark] destination-address any // ⽬标地址区域[FW1-policy-security-rule-lyshark] service any // 放⾏所有服务[FW1-policy-security-rule-lyshark] action permit // 放⾏配置[FW1-policy-security-rule-lyshark] quit配置源NAT:配置原NAT地址转换,仅配置源地址访问内⽹ --> 公⽹的转换.[FW1] nat-policy // 配置NAT地址转换[FW1-policy-nat] rule name lyshark // 指定策略名称[FW1-policy-nat-rule-lyshark] egress-interface GigabitEthernet 1/0/2 // 外⽹接⼝IP[FW1-policy-nat-rule-lyshark] action source-nat easy-ip // 源地址转换[FW1-policy-nat-rule-lyshark] display this配置⽬标NAT: 外⽹访问10.10.10.10⾃动映射到内⽹的192.168.2.1这台主机上.[FW1] firewall zone untrust // 选择外⽹区域[FW1-zone-untrust] add interface GigabitEthernet 1/0/2 // 将接⼝加⼊到此区域# ----NAT规则---------------------------------------------------# 外⽹主机访问10.10.10.10主机⾃动映射到内部的192.168.2.2[FW1] firewall detect ftp[FW1] nat server lyshark global 10.10.10.10 inside 192.168.2.2 no-reverse# ----放⾏规则---------------------------------------------------[FW1] security-policy // 配置安全策略[FW1-policy-security] rule name untrs-trs // 规则名称[FW1-policy-security-rule-lyshark] source-zone untrust // 原安全区域(外部)[FW1-policy-security-rule-lyshark] destination-zone trust // ⽬标安全区域(内部)[FW1-policy-security-rule-lyshark] action permit // 放⾏配置[FW1-policy-security-rule-lyshark] quitNAT 地址转换配置内⽹区域: 分别配置防⽕墙内⽹接⼝GE1/0/0 and GE1/0/1设置IP地址,并加⼊指定区域内. <FW1>system-view[FW1]undo info-center enable# ----配置IP地址-----------------------------------------------[FW1] interface GigabitEthernet 1/0/0[FW1-GigabitEthernet1/0/0] ip address 192.168.1.1 24[FW1-GigabitEthernet1/0/0] quit[FW1] interface GigabitEthernet 1/0/1[FW1-GigabitEthernet1/0/1] ip address 192.168.2.1 24[FW1-GigabitEthernet1/0/1] quit# ----加⼊到指定区域--------------------------------------------[FW1] firewall zone trust[FW1-zone-trust] add interface GigabitEthernet 1/0/0[FW1] firewall zone dmz[FW1-zone-dmz] add interface GigabitEthernet 1/0/1配置外⽹区域: 然后配置外⽹地址,将Gig 1/0/2加⼊到untrust区域内.[FW1] interface GigabitEthernet 1/0/2[FW1-GigabitEthernet1/0/2] ip address 10.10.10.10 8[FW1] firewall zone untrust[FW1] firewall zone untrust[FW1-zone-dmz] add interface GigabitEthernet 1/0/2配置源NAT: 配置原NAT地址转换,仅配置源地址访问内⽹ --> 公⽹的转换.# ----配置源NAT转换---------------------------------------------[FW1] nat-policy // 配置NAT地址转换[FW1-policy-nat] rule name lyshark // 指定策略名称[FW1-policy-nat-rule-lyshark] egress-interface GigabitEthernet 1/0/2 // 外⽹接⼝IP[FW1-policy-nat-rule-lyshark] action source-nat easy-ip // 源地址转换[FW1-policy-nat-rule-lyshark] display this# ----放⾏相关安全策略------------------------------------------[FW1] security-policy[FW1-policy-security] rule name trust_untrust[FW1-policy-security-rule] source-zone trust[FW1-policy-security-rule] destination-zone untrust[FW1-policy-security-rule] action permit配置⽬标NAT: 外⽹访问10.10.10.10⾃动映射到内⽹的192.168.2.2这台主机上. # ----NAT规则---------------------------------------------------# 外⽹主机访问10.10.10.10主机⾃动映射到内部的192.168.2.2[FW1] firewall detect ftp[FW1]nat server lyshark global 10.10.10.10 inside 192.168.2.2 no-reverse# ----放⾏规则---------------------------------------------------[FW1] security-policy // 配置安全策略[FW1-policy-security] rule name untrs-DMZ // 规则名称[FW1-policy-security-rule-untrs-DMZ] source-zone untrust // 原安全区域(外部)[FW1-policy-security-rule-untrs-DMZ] destination-zone trust // ⽬标安全区域(内部)[FW1-policy-security-rule-untrs-DMZ] destination-address 192.168.2.2 24[FW1-policy-security-rule-untrs-DMZ] service any[FW1-policy-security-rule-untrs-DMZ] action permit // 放⾏配置[FW1-policy-security-rule-untrs-DMZ] quit配成交换机（透明模式）配置两台交换机: 分别配置两台交换机,并划分到相应的VLAN区域内.# ----配置LSW1交换机--------------------------------------------<Huawei> system-view[LSW1] vlan 10 // 创建VLAN10[LSW1] quit[LSW1] interface Ethernet 0/0/1 // 将该接⼝配置为trunk[LSW1-Ethernet0/0/1] port link-type trunk[LSW1-Ethernet0/0/1] port link-type trunk[LSW1-Ethernet0/0/1] port trunk allow-pass vlan 10 // 加⼊到vlan 10[LSW1-Ethernet0/0/1] quit[LSW1] port-group group-member Eth0/0/2 to Eth0/0/3[LSW1-port-group] port link-type access[LSW1-port-group] port default vlan 10[LSW1-port-group] quit# ----配置LSW2交换机--------------------------------------------<Huawei> system-view[LSW2] vlan 20[LSW1] quit[LSW2] interface Ethernet 0/0/1[LSW2-Ethernet0/0/1] port link-type trunk[LSW2-Ethernet0/0/1] port trunk allow-pass vlan 20[LSW2-Ethernet0/0/1] quit[LSW2] port-group group-member Eth0/0/2 to Eth0/0/3[LSW2-port-group] port link-type access[LSW2-port-group] port default vlan 20[LSW2-port-group] quit配置防⽕墙: 配置Gig1/0/0和Gig1/0/1接⼝为trunk模式,并分别配置好⽹关地址. [FW1] vlan 10[FW1-vlan10] quit[FW1] vlan 20[FW1-vlan20] quit# ----配置防⽕墙接⼝地址-----------------------------------------[FW1] interface GigabitEthernet 1/0/0[FW1-GigabitEthernet1/0/0] portswitch[FW1-GigabitEthernet1/0/0] port link-type trunk[FW1-GigabitEthernet1/0/0] port trunk allow-pass vlan 10[FW1] interface GigabitEthernet 1/0/1[FW1-GigabitEthernet1/0/1] portswitch[FW1-GigabitEthernet1/0/1] port link-type trunk[FW1-GigabitEthernet1/0/1] port trunk allow-pass vlan 20# ----分别给VLAN配置IP地址---------------------------------------[FW1]interface Vlanif 10[FW1-Vlanif10][FW1-Vlanif10]ip address 192.168.10.1 255.255.255.0[FW1-Vlanif10]alias vlan 10[FW1-Vlanif10]service-manage ping permit[FW1] interface Vlanif 20[FW1-Vlanif20][FW1-Vlanif20] ip address 192.168.20.1 255.255.255.0[FW1-Vlanif20] alias vlan 20[FW1-Vlanif20] service-manage ping permit添加防⽕墙区域: 将vlan10和vlan20添加到trust区域内.[FW1]firewall zone trust[FW1-zone-trust] add interface Vlanif 10[FW1-zone-trust] add interface Vlanif 20主备双机热备放⾏所有数据包(两台墙): 为了演⽰实验,需要⼿动放⾏数据包# ------------------------------------------------------------# 将默认防⽕墙规则,设置为允许所有[FW1] security-policy[FW1-policy-security] rule name anyall // 指定规则名称[FW1-policy-security-rule-anyall] source-zone any // 源地址允许所有[FW1-policy-security-rule-anyall] destination-zone any // ⽬标地址允许所有[FW1-policy-security-rule-anyall] action permit // 放⾏[FW1-policy-security-rule-anyall] quit[FW1-policy-security] quit# ------------------------------------------------------------# 将指定的接⼝加⼊到指定的区域内[FW1] firewall zone trust // 选择trust区域[FW1-zone-trust] add interface GigabitEthernet 1/0/0 // 添加内部的端⼝[FW1-zone-trust] quit[FW1] firewall zone untrust // 添加untru区域[FW1-zone-untrust] add interface GigabitEthernet 1/0/1 // 添加外部接⼝[FW1-zone-trust] quit配置IP地址(两台) ：给防⽕墙的两个接⼝配置好IP地址.# ------------------------------------------------------------# 配置防⽕墙FW1[FW1] interface GigabitEthernet 1/0/0 // 选择内部接⼝[FW1-GigabitEthernet1/0/0] ip address 192.168.1.253 24 // 配置防⽕墙IP[FW1-GigabitEthernet1/0/0] service-manage ping permit // 开启接⼝ping[FW1-GigabitEthernet1/0/0] quit[FW1] interface GigabitEthernet1/0/1[FW1-GigabitEthernet1/0/1] ip address 10.10.10.20 8[FW1-GigabitEthernet1/0/1] service-manage ping permit[FW1-GigabitEthernet1/0/1] quit# ------------------------------------------------------------# 配置防⽕墙FW2[FW2] interface GigabitEthernet 1/0/0 // 选择内部接⼝[FW2-GigabitEthernet1/0/0] ip address 192.168.1.254 24 // 配置防⽕墙IP[FW2-GigabitEthernet1/0/0] service-manage ping permit // 开启接⼝ping[FW2-GigabitEthernet1/0/0] quit[FW2-GigabitEthernet1/0/0] quit[FW2] interface GigabitEthernet1/0/1[FW2-GigabitEthernet1/0/1] ip address 10.10.10.30 8[FW2-GigabitEthernet1/0/1] service-manage ping permit[FW2-GigabitEthernet1/0/1] quit开启源NAT地址:将内⽹数据映射到外⽹.# ------------------------------------------------------------# 配置防⽕墙FW1[FW1] nat-policy // 配置NAT地址转换[FW1-policy-nat] rule name tru_untr // 指定策略名称[FW1-policy-nat-rule-tru_untr] egress-interface GigabitEthernet 1/0/1 // 外⽹接⼝IP [FW1-policy-nat-rule-tru_untr] action source-nat easy-ip // 源地址转换[FW1-policy-nat-rule-tru_untr] display this# ------------------------------------------------------------# 配置防⽕墙FW2[FW2] nat-policy // 配置NAT地址转换[FW2-policy-nat] rule name tru_untr // 指定策略名称[FW2-policy-nat-rule-tru_untr] egress-interface GigabitEthernet 1/0/1 // 外⽹接⼝IP [FW2-policy-nat-rule-tru_untr] action source-nat easy-ip // 源地址转换[FW2-policy-nat-rule-tru_untr] display this开启VRRP⽀持(两台)# ------------------------------------------------------------# 配置防⽕墙FW1[FW1] interface GigabitEthernet 1/0/0 // 选择内部接⼝[FW1-GigabitEthernet1/0/0] vrrp vrid 1 virtual-ip 192.168.1.1 active // 配置虚拟接⼝为主[FW1-GigabitEthernet1/0/0] quit[FW1] interface GigabitEthernet 1/0/1 // 选择外部接⼝[FW1-GigabitEthernet1/0/1] vrrp vrid 2 virtual-ip 10.10.10.10 active[FW1-GigabitEthernet1/0/1] quit# ------------------------------------------------------------# 配置防⽕墙FW12[FW2] interface GigabitEthernet 1/0/0 // 选择内部接⼝[FW2-GigabitEthernet1/0/0] vrrp vrid 1 virtual-ip 192.168.1.1 standby // 配置虚拟接⼝为备[FW2-GigabitEthernet1/0/0] quit[FW2] interface GigabitEthernet 1/0/1[FW2-GigabitEthernet1/0/1] vrrp vrid 2 virtual-ip 10.10.10.10 standby[FW2-GigabitEthernet1/0/1] quitHRP配置(两台):# ------------------------------------------------------------# 配置防⽕墙FW1[FW1] hrp enableHRP_S[FW1] hrp interface GigabitEthernet 0/0/0 remote 172.16.1.2 // 指定接⼝和对端IP HRP_M[FW1] interface GigabitEthernet 0/0/0 // 选择虚拟接⼝HRP_M[FW1-GigabitEthernet0/0/0] ip address 172.16.1.1 24 // 配置本端IP地址# ------------------------------------------------------------# 配置防⽕墙FW2[FW2] hrp enableHRP_S[FW2] hrp standby-deviceHRP_S[FW2] hrp interface GigabitEthernet 0/0/0 remote 172.16.1.1HRP_S[FW2] interface GigabitEthernet 0/0/0HRP_S[FW2-GigabitEthernet0/0/0] ip address 172.16.1.2 24检查配置：注意1：默认处于 standby 状态的设备不允许配置安全策略，只允许在主设备配置安全策略，且安全策略会⾃动同步到备设备上⾯。
信息安全基础知识笔记06防火墙双机热备技术（下）
信息安全基础知识笔记06防⽕墙双机热备技术（下）信息安全基础知识笔记06防⽕墙双机热备技术(下) 本笔记主要介绍防⽕墙双机热备，分为上下两个部分。
下部分主要介绍防⽕墙双机热备的基本组⽹⽅式和配置⽅法（其中包括配置VRRP，VGMP和配置HRP），以及分别通过命令⾏和Web图形界⾯⽅式进⾏配置实现。
双机热备基本组⽹VRRP备份组监测三层业务接⼝。
双机热备组⽹最常见的是防⽕墙采⽤路由模式，下⾏交换机双线上联到防⽕墙，若以防⽕墙A作为主，当防⽕墙A上⾏或下⾏链路down 掉后，防⽕墙B⾃动切换为主设备，交换机流量⾛向防⽕墙B。
将上⾯的⽹络组⽹图转换成实际拓扑图如下。
假设有⼀企业的两台防⽕墙的业务接⼝都⼯作在三层，上下⾏分别连接⼆层交换机。
上⾏交换机连接运营商的接⼊点1.1.1.10/24，运营商为企业分配的外⽹IP地址为1.1.1.1/24。
现在希望两台防⽕墙以主备备份⽅式⼯作。
主防⽕墙A与备防⽕墙B通过GE1/0/6连接HRP⼼跳链路，⽤于同步配置命令，⽹段配置为10.10.0.0/24。
正常情况下，流量通过防⽕墙A转发。
当防⽕墙A出现故障时，流量通过防⽕墙B转发，保证业务不中断。
（1）命令⾏配置⽅式 Step 1：基础配置 ①为各防⽕墙的接⼝配置IP地址。
（详细命令省略） 防⽕墙A配置如下： 防⽕墙B配置如下： ②将防⽕墙各接⼝加⼊到对应的安全区域中（详细命令省略） 防⽕墙A和防⽕墙B的安全区域配置相同。
此处创建了⼀个优先级为95的安全区域hrp，专⽤于加⼊HRP⼼跳接⼝。
③在两个防⽕墙上均配置⼀条缺省路由，下⼀跳为运营商接⼊点1.1.1.10，使内⽹⽤户的流量可以正常转发⾄运营商的路由器上。
防⽕墙A和防⽕墙B的静态路由配置相同。
Step 2：配置VRRP备份组 配置命令： vrrp vrid virtual-router-ID virtual-ip virtual-address [ ip-mask | ip-mask-length ] { active | standby } Tips：斜体为需更改的参数，[]中的命令为⼆选⼀，{}中的命令为可选项。
HRP理解
防火墙双机热备配置及组网指导2013-4-17 华为机密，未经许可不得扩散第4页, 共26页★ add interface Ethernet 1/0/7 vrrp vrid 1 ：把接口Ethernet1/0/7下配置的VRRP 1加入到此管理组进行管理。
★ add interface Ethernet 1/0/7 vrrp vrid 1 data ：把接口Ethernet1/0/7下配置的VRRP 1加入到此管理组进行管理，并且把接口Ethernet1/0/7作为发送VGMP数据报文的通道。
配置了发送VGMP的数据通道之后，VGMP才能使能。
防火墙的配置同步是通过VGMP的数据通道进行发送的。
★ add interface Ethernet 1/0/7 vrrp vrid 1 data transfer-only ：把接口Ethernet1/0/7下配置的VRRP 1加入到此管理组进行管理，并且把接口Ethernet1/0/7作为发送VGMP数据报文的通道，并且此接口下的VRRP的或者优先级发生变化的时候不参与到VGMP优先级的计算。
通常在防火墙上下行都是交换机组网的情况，心跳口上的VRRP可以以此种方式加入到VGMP组中。
★ add interface Ethernet1/0/7 vrrp vrid 1 data ip-link 1：把接口Ethernet1/0/7下配置的VRRP 1加入到此管理组进行管理，并且把接口Ethernet1/0/7作为发送VGMP数据报文的通道，同时在VGMP上绑定ip-link功能。
ip-link的使用介绍请参考其他文档。
★ vrrp-group enable：VGMP组使能命令。
在配置了VGMP的数据通道之后，此命令才可以执行，执行此命令后，防火墙会从数据通道发送VGMP的报文和对端防火墙进行交互，确定VGMP的主备状态。
★ vrrp-group preempt：配置VGMP组的抢占模式。
ME60双机热备特性原理及配置介绍
BRAS-1 主用
BFD1检测
Peer 状态
BRAS-2 备用
利用链路层检测协议可以加快VRRP主备状态的检 测和倒换
BFD 2检测Link状态
BFD 3检测Link状态
具体检测时间和链路检测协议的设臵有关，流量收敛 时间还和路由的收敛、交换机MAC表的收敛有关
HUAWEI TECHNOLOGIES CO., LTD.
Huawei Confidential
Page 13
2.2.4 用户信息备份
主备设备之间通过TCP传输协议备份用户信息
备份信息包括：用户认证、授权、计费信息，QoS信息及物理位臵
信息等 配臵热备或温备，控制备份信息的生效时机
HUAWEI TECHNOLOGIES CO., LTD.
Huawei Confidential
Page 7
2.2.1传统IP网络的可靠性技术
传统的IP网络是一种“尽力而为”的服务模型
随着网络业务的进一步发展，作为多业务 统一承载的IP网络在可靠性方面，必须要 达到传统电信网络的水平，如保护切换的 速度<50ms，才能满足电信级业务的需要。
核心 CR
目前对于网络侧主要保护技术：
核心 AR
HUAWEI TECHNOLOGIES CO., LTD.
Huawei Confidential
Page 6
2.2 基本原理
传统IP网络的可靠性技术
BRAS业务可靠性技术
主备控制 用户信息备份
转发控制
业务部署方案
HUAWEI TECHNOLOGIES CO., LTD.
华为防火墙实现双机热备配置详解,附案例
华为防火墙实现双机热备配置详解，附案例一提到防火墙，一般都会想到企业的边界设备，是内网用户与互联网的必经之路。
防火墙承载了非常多的功能，比如：安全规则、IPS、文件类型过滤、内容过滤、应用层过滤等。
也正是因为防火墙如此的重要，如果防火墙一旦出现问题，所有对外通信的服务都将中断，所以企业中首先要考虑的就是防火墙的优化及高可用性。
本文导读一、双机热备工作原理二、VRRP协议三、VGMP协议四、实现防火墙双机热备的配置一、双机热备工作原理在企业中部署一台防火墙已然成为常态。
如何能够保证网络不间断地传输成为网络发展中急需解决的问题！企业在关键的业务出口部署一台防火墙，所有的对外流量都要经过防火墙进行传输，一旦防火墙出现故障，那么企业将面临网络中断的问题，无论防火墙本身的性能有多好，功能有多么强大。
在这一刻，都无法挽回企业面临的损失。
所以在企业的出口部署两台防火墙产品，可以在增加企业安全的同时，保证业务传输基本不会中断，因为两台设备同时出现故障的概率非常小。
经过图中右边的部署，从拓补的角度来看，网络具有非常高的可靠性，但是从技术的角度来看，还需解决一些问题，正因为防火墙和路由器在工作原理上有着本质的区别，所以防火墙还需一些特殊的配置。
左图，内部网络可以通过R3→R1→R4到达外部网络，也可以通过R3→R2→R4到达，如果通过R3→R1→R4路径的cost（运行OSPF协议）比较小，那么默认情况，内部网络将通过R3→R1→R4到达外部网络，当R1设备损坏时，OSPF将自动收敛，R3将通过R2转发到达外部网络。
右图，R1、R2替换成两台防火墙，默认情况下，流量将通过FW1进行转发到达外部网络，此时在FW1记录着大量的用户流量对应的会话表项内容，当FW1损坏时，通过OSPF收敛，流量将引导FW2上，但是FW2上没有之前流量的会话表，之前传输会话的返回流量将无法通过FW2，而会话的后续流量需要重新经过安全策略的检查，并生成会话。
华为防火墙部署及配置指南
防火墙二层模式部署在互联网出口，运行在双机热备的主备模式下。
上连出口网关路由器，下连入侵防御系统，对接沙箱和CIS ，按等保三级“安全区域边界”相关控制点配置策略。
CIS 、SecoManager 一般部署在“运维管理区”，如果用户网络没有按分域架构部署，CIS 、SecoManager 可直接连接核心交换机，保证USG 和CIS 、SecoManager 路由可达即可。
1 防火墙部署及配置指南1.1 方案描述1.2 网络规划1.3 配置思路1.完成防火墙基本网络配置，包括接口和安全区域。
2.配置防火墙双机。
3.配置安全策略，放通OSPF协议流量和内部服务器对外提供服务的流量，禁止其他流量通过。
4.配置路由器和交换机OSPF。
数据规划参考2.2.2 网络规划，配置操作请参考相关路由器与交换机产品文档。
5.参考本手册后续章节完成与FireHunter、SecManager、CIS、日志服务器的对接和业务配置。
1.4 配置详情1.完成网络基本配置。
2.配置双机热备功能。
3.在FW_A上配置安全策略。
双机热备状态成功建立后，FW_A的安全策略配置会自动备份到FW_B上。
# 配置安全策略，允许上下行路由器交互的OSPF报文通过FW。
当FW的业务接口工作在二层时，上下行设备之间的OSPF报文需要通过FW。
OSPF报文受firewall packet-filter basic-protocol enable命令控制。
缺省情况下，firewall packet-filter basic-protocol enable处于开启状态，即OSPF报文受安全策略控制，需要在上行业务接口所在安全区域与下行业务接口所在安全区域之间配置安全策略，允许协议类型为OSPF的报文通过。
本例以firewall packet-filter basic-protocol enable开启为例进行介绍。
HRP_M[FW_A] security-policyHRP_M[FW_A-policy-security] rule name policy_ospf_1HRP_M[FW_A-policy-security-rule-policy_ospf_1] source-zone trustHRP_M[FW_A-policy-security-rule-policy_ospf_1] destination-zone untrustHRP_M[FW_A-policy-security-rule-policy_ospf_1] source-address 10.3.0.1 32HRP_M[FW_A-policy-security-rule-policy_ospf_1] source-address 10.3.1.1 32HRP_M[FW_A-policy-security-rule-policy_ospf_1] destination-address 10.3.0.2 32HRP_M[FW_A-policy-security-rule-policy_ospf_1] destination-address 10.3.1.2 32HRP_M[FW_A-policy-security-rule-policy_ospf_1] action permitHRP_M[FW_A-policy-security-rule-policy_ospf_1] quitHRP_M[FW_A-policy-security] rule name policy_ospf_2HRP_M[FW_A-policy-security-rule-policy_ospf_2] source-zone untrustHRP_M[FW_A-policy-security-rule-policy_ospf_2] destination-zone trustHRP_M[FW_A-policy-security-rule-policy_ospf_2] source-address 10.3.0.2 32HRP_M[FW_A-policy-security-rule-policy_ospf_2] source-address 10.3.1.2 32HRP_M[FW_A-policy-security-rule-policy_ospf_2] destination-address 10.3.0.1 32HRP_M[FW_A-policy-security-rule-policy_ospf_2] destination-address 10.3.1.1 32HRP_M[FW_A-policy-security-rule-policy_ospf_2] action permitHRP_M[FW_A-policy-security-rule-policy_ospf_2] quit# 配置安全策略，允许外部访问内部服务器的服务端口。
Eudemon防火墙双机热备业务特性与配置
Eudemon防火墙双机热备业务特性与配置Eudemon防火墙是华为公司推出的一款高性能、高可靠性的网络安全设备。
在网络架构中，防火墙是非常重要的部分，其主要作用是监控和控制数据流量，保护网络安全。
而双机热备技术则是防火墙设备中的一项重要功能，能够在主设备故障的情况下，自动进行切换，保障网络的连续性和可靠性。
Eudemon防火墙的双机热备技术具有以下几个特性：1、高可用性：双机热备技术使得主备设备之间的状态保持实时同步，当主设备发生故障时，备设备可以立即接管主设备的工作，保证网络的持续运行。
2、高性能：双机热备技术采用硬件加速和负载均衡技术，可以将数据流量均匀地分发到主备设备上进行处理，提高防火墙的处理能力和响应速度。
3、灵活的部署方式：双机热备技术支持主备设备的本地部署和远程部署，可以根据实际情况进行选择，灵活满足不同网络环境的需求。
4、恢复能力强：双机热备技术具备自动切换和自动恢复功能，当主设备恢复正常运行时，能够自动将工作从备设备切换回主设备，实现系统的自动恢复和平滑过渡。
5、稳定可靠：双机热备技术采用了多种冗余设计，包括硬件冗余、软件冗余和数据冗余等，可以有效地提高防火墙的稳定性和可靠性，有效避免单点故障的发生。
对于Eudemon防火墙双机热备的配置，可以按照以下步骤进行：1、设备连接和初始化：将主备设备之间进行物理连接，确保两者之间的网络畅通，然后进行设备的初始化配置，包括设置IP地址、子网掩码、网关等，以及进行设备的授权和许可证的导入。
2、主备设备的信息同步：在主备设备之间进行信息同步，包括配置文件、路由表、状态信息等。
这是保证主备设备之间能够实时同步状态的基础。
3、配置双机热备功能：在主设备上开启双机热备功能，并设置备设备的优先级，配置主备设备的心跳检测参数，以便能够实时监测主备设备的状态。
4、测试和验证：在配置完成后，进行测试和验证，包括主备设备之间的切换测试、数据流量的负载均衡测试等，确保双机热备功能的正常运行和可靠性。
E1000E&E8000(E)双机热备份介绍.ppt
Page 3
E1000E同E1000双机热备份的实现差异
隐藏的VGMP组的配置 系统缺省提供2个VGMP组，（Master组、Slave组） 优先级计算方法不同 统一了混合模式与路由模式的优先级算法
4、配置了虚备份组的接口没必要再配置track命令。 5、暂时无法track Eth-trunk口，可以track ip-link接口。 6、如果track了一个主接口下的多个子接口，主接口down，每个子接口都会
影响优先级计算，亦即每个子接口都会使优先级减少2。
HUAWEI TECHNOLOGIES Co., Ltd.
双机热备配置命令
E8000(E)双机热备份问题
HUAWEI TECHNOLOGIES Co., Ltd.
HUAWEI Confidential
Page 2
双机热备需要备份哪些数据
状态数据和动态表项 • 防火墙生成的会话表表项 • 动态黑名单表项 • ServerMap表项 • NO-PAT表项 • ARP表项 • 全连接攻击以及TCP Proxy数据 命令配置数据的备份 • ACL包过滤命令的配置 • 攻击防范命令的配置 • 地址绑定命令的配置 • 虚拟防火墙的配置 • GTP配置命令 • 黑名单命令的手动配置 • 日志命令配置 • NAT命令的配置 • 统计命令的配置 • 域的命令的配置，包括新域的设定，域内添加的接口和优先级的设置 • ASPF（应用层包过滤防火墙）的命令配置 • 时间段，端口映射的配置命令 • 清除会话表项命令（reset firewall session table)和清除配置的命令（undo XXX） 注意 • 在手工批量备份时，对于undo和reset命令是无法进行备份 • 除以上可以备份的命令外，其他命令都不能备份，如路由命令（静态和动态）
华为9306与9303双机热备
2010-09-10 22:21华为9306与9303双机热备VRRP （Virtual Router Redundancy Protocol ）是RFC3768 定义的一种容错协议，通过物理设备和逻辑设备的分离，实现在多个出口网关之间选路.在具有多播或广播能力的局域网（如以太网）中，VRRP 提供逻辑网关确保高利用度的传输链路，不仅能够解决因某网关设备故障带来的业务中断，而且无需修改路由协议的配置。
主备备份VRRP这是VRRP 提供IP 地址备份功能的基本方式。
主备备份方式需要建立一个虚拟交换机，该虚拟交换机包括一个Master 设备和若干Backup 设备，这些交换机构成一个备份组。
正常情况下，业务全部由Master 承担。
Master 出现故障时，Backup 接替工作。
负载分担VRRP负载分担方式是指建立两个或更多备份组，多台交换机同时承担业务。
其中允许一台交换机为多个备份组作备份，在不同备份组中有不同的优先级。
通过多虚拟交换机设置可以实现负载分担。
每个备份组都包括一个Master 设备和若干Backup 设备。
各备份组的 Master 可以不同。
说明目前S9300 支持VRRP 功能的接口只有VLANIF 接口。
前置任务在配置VRRP 备份组之前，需完成以下任务：l 配置接口物理参数l 配置接口的链路属性l 配置接口的网络层属性，使网络连通数据准备配置VRRP 备份组之前，需要准备以下数据。
序号数据1 备份组ID2 备份组的虚拟IP 地址3 VRRP 备份组中各交换机的优先级5.3.2 创建备份组并配置虚拟IP 地址操作步骤步骤1 执行命令 system-view，进入系统视图。
步骤2 执行命令interface interface-type interface-number，进入接口视图。
步骤3 执行命令vrrp vrid virtual-router-ID virtual-ipvirtual-address，创建备份组并配置虚拟IP地址。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
防火墙双机热备配置及组网指导防火墙双机热备，主要是提供冗余备份的功能，在网络发生故障的时候避免业务出现中断。
防火墙双机热备组网根据防火墙的模式，分路由模式下的双机热备组网和透明模式下的双机热备组网，下面分别根据防火墙的不同模式下的组网提供组网说明及典型配置。
1 1：防火墙双机热备命令行说明防火墙的双机热备的配置主要涉及到HRP的配置，VGMP的配置，以及VRRP的配置，防火墙的双机热备组网配置需要根据现网的业务和用户的需求来进行调整，下面就防火墙的双机热备配置涉及到的命令行做一个解释说明。
1.1 1.1 HRP命令行配置说明HRP是华为的冗余备份协议，Eudemon 防火墙使用此协议进行备份组网，达到链路状态备份的目的，从而保证在设备发生故障的时候业务正常。
HRP协议是华为自己开发的协议，主要是在VGMP协议的基础上进行扩展得到的；VGMP是华为的私有协议，主要是用来管理VRRP的，VGMP也是华为的私有协议，是在VRRP的基础上进行扩展得到的。
不管是VGMP的报文，还是HRP的报文，都是VRRP的报文，只是防火墙在识别这些报文的时候能根据自己定义的字段能判断出是VGMP的报文，HRP的报文，或者是普通的VRRP的报文。
在Eudemon防火墙上，hrp的作用主要是备份防火墙的会话表，备份防火墙的servermap 表，备份防火墙的黑名单，备份防火墙的配置，以及备份ASPF模块中的公私网地址映射表和上层会话表等。
两台防火墙正确配置VRRP，VGMP，以及HRP之后，将会形成主备关系，这个时候防火墙的命令行上会自动显示防火墙状态是主还是备，如果命令行上有HRP_M的标识，表示此防火墙和另外一台防火墙进行协商之后抢占为主防火墙，如果命令行上有HRP_S的标识，表示此防火墙和另外一台防火墙进行协商之后抢占为备防火墙。
防火墙的主备状态只能在两台防火墙之间进行协商，并且协商状态稳定之后一定是一台为主状态另外一台为备状态，不可能出现两台都为主状态或者都是备状态的。
在防火墙的HRP形成主备之后，我们称HRP的主备状态为HRP主或者是HRP备状态，在形成HRP的主备状态之后默认是一部分配置在主防火墙上配置之后能自动同步到备防火墙上的，而这些命令将不能在备防火墙的命令行上执行，这些命令包括ACL，接口加入域等，但其中一些命令行是不会从主防火墙上备份到备防火墙上。
HRP的配置命令的功能和使用介绍如下：★ hrp enable ：HRP使能命令，使能HRP之后防火墙将形成主备状态。
★ hrp configuration check acl ：检查主备防火墙两端的ACL的配置是否一致。
执行此命令之后，主备防火墙会进行交互，执行完之后可以通过命令行display hrp configuration check acl来查看两边的配置是否一致。
★ hrp configuration check hrp ：检查主备防火墙两端的HRP的配置是否一致。
执行此命令之后，主备防火墙会进行交互，执行完之后可以通过命令行display hrp configuration check acl来查看两边的配置是否一致。
★hrp interface Ethernet/ GigabitEthernet ：添加防火墙配置会话备份通道。
通常就是指防火墙心跳口，此接口用来备份防火墙的会话的。
★ hrp interface Ethernet 1/0/0 high-availability ：配置防火墙的高可用性接口。
主要是用来实现防火墙的会话快速备份，如果不配置high-availability，会话快速备份的命令将不能使能，配置此命令之后，此接口会被有限选择作为防火墙会话备份的接口。
在防火墙上配置了hrp interface之后，防火墙选择备份通道的接口为：先选择配置的时候带了high-availability的接口，如果配置了多个带high-availability的接口，先选择槽位号和端口号比较小的接口，然后在选择槽位号和端口号比较小的不带high-availability的接口。
接口发生故障导致接口上的VRRP处于初始化状态或者是接口上的VRRP所属的VGMP没有使能的时候，防火墙会重新选择备份通道。
★ hrp mirror session enable ：会话快速备份使能命令，此命令使能之后防火墙上对新建的会话或者是刷新的会话立即备份到对端防火墙上，在配置high-availability之后才能配置此命令。
★ hrp mirror packet enable ：报文搬迁使能命令，此命令使能之后，如果ICMP的应答报文或者是TCP的ACK报文在其中一台防火墙上找不到会话，会把报文搬迁到另外一台防火墙上，如果在另外一台防火墙上找到会话，报文根据会话转发，如果找不到会话，直接丢弃。
此功能现在保留，但是基本上不再使用，因为防火墙会话快速备份使能之后会话在建立或者是刷新的时候马上就能备份到对端防火墙上，并且报文搬迁占用比较多的带宽，所以这个命令推荐不使用。
★ hrp ospf-cost adjust-enable ：这个命令是在防火墙和路由器组网的时候使用的，在防火墙上配置这个命令后，防火墙发布OSPF的路由的时候，会判断是主防火墙或者是备防火墙，如果是主防火墙，防火墙把学习到的路由直接发布出去，如果是备防火墙，防火墙把学习到的路由加上一个COST值再发布出去，这个COST值默认是65535，可以根据需要进行调整，这样和防火墙相连的路由器在计算路由的时候，路由就都能指到主防火墙上，路由器把报文转发到主防火墙上。
在使用防火墙和路由器进行组网起OSPF协议的时候，尽量保证OSPF的域小一些，这样在防火墙发生主备倒换的时候，OSPF的路由能尽快收敛，保证业务很快恢复。
★ hrp auto-sync connection-status ：防火墙连接状态备份命令。
防火墙会话备份不分防火墙是主防火墙或者是备防火墙，使能了次命令后，防火墙都能把自己建立的会话或者是刷新的会话备份到对端防火墙上。
此命令行在防火墙hrp enable执行之后就默认使能了。
★ hrp auto-sync config：防火墙配置备份命令。
防火墙上使能此命令后，在主防火墙上配置的命令行如ACL，域等都可以自动备份到备防火墙上，保证命令行能实时同步。
此命令行在hrp enable之后就默认使能了，此时在备防火墙上是默认不能配置ACL等配置的，但是如果需要单独配置，执行undo hrp auto-sync config就可以在备防火墙上配置此命令行了，主防火墙上执行ACL等配置发送到备防火墙上不会备执行，如果在主防火墙上执行此命令，主防火墙上将不把配置发送到备防火墙上执行。
★ hrp auto-sync config batch-backup ：防火墙配置批量备份使能命令。
使能此命令，在防火墙发生主备倒换之后，新的主防火墙备自动把配置备份到新的备防火墙上。
此命令默认是不使能的，现在也不推荐使用，因为批量备份将消耗大量的CPU资源，可能在执行批量备份的时候影响某些业务。
★ hrp sync config：防火墙配置批量备份命令。
执行此命令后主防火墙能把自己的配置发送到备防火墙上执行，此命令行在用户视图下使用，在使能了hrp之后才能使用。
此命令默认是也不推荐使用，因为批量备份将消耗大量的CPU资源，可能在执行批量备份的时候影响某些业务。
★ hrp sync connection-status：手工同步连接状态信息命令，会进行会话，黑名单，地址转换表，以及ARP表等的备份等，同时对于Eudemon 1000来说还会刷新备份的通道。
★ display hrp：显示当前HRP的状态信息，主要包括HRP的备份通道，HRP的状态，hrp 是否使能快速备份，为MASTER状态的VGMP信息。
★ display hrp verbose：显示当前HRP的详细状态信息。
1.2 1.2 VGMP配置说明VGMP（vrrp group management protocol）是VRRP的组管理协议，同样VGMP协议也是华为私有的协议。
VGMP通过把VRRP加入到一个组中进行管理，通过VGMP报文和对端进行协商，确定自己和对端的VGMP的状态，根据VGMP的状态的主备，把VGMP组下面的VRRP的状态改成和VGMP的状态一致。
VGMP状态也分Master和Slave，同样VGMP 报文是在VRRP报文的基础上进行封装的，它通过VRRP报文通知对端自己的状态以及和对端进行协商。
防火墙的VGMP功能现在支持两台防火墙之间的VGMP协商，通过协商，在两台防火墙上形成一主一备的状态，当其中主防火墙发生故障或者其他原因导致VGMP的优先级降低的时候，备防火墙的VGMP会抢占为主，原来的主防火墙的VGMP会变成备，同时VGMP 组里面的VRRP也跟随这VGMP的状态的变化发生变化。
通过VGMP来管理VRRP，使VGMP为主的防火墙对外发布VGMP组下面的所有的VRRP的虚地址，而VGMP为备的防火墙不对外发布VRRP虚地址，形成VRRP的冗余备份。
VGMP的配置命令的功能和使用介绍如下：★ vrrp group <1-16>：创建VGMP管理组。
执行此命令行之后，创建一个VGMP管理组，并进入此管理组视图，所有的VGMP的配置都在VGMP视图下进行配置。
★ add interface Ethernet 1/0/7 vrrp vrid 1 ：把接口Ethernet1/0/7下配置的VRRP 1加入到此管理组进行管理。
★ add interface Ethernet 1/0/7 vrrp vrid 1 data ：把接口Ethernet1/0/7下配置的VRRP 1加入到此管理组进行管理，并且把接口Ethernet1/0/7作为发送VGMP数据报文的通道。
配置了发送VGMP的数据通道之后，VGMP才能使能。
防火墙的配置同步是通过VGMP的数据通道进行发送的。
★add interface Ethernet 1/0/7 vrrp vrid 1 data transfer-only ：把接口Ethernet1/0/7下配置的VRRP 1加入到此管理组进行管理，并且把接口Ethernet1/0/7作为发送VGMP数据报文的通道，并且此接口下的VRRP的或者优先级发生变化的时候不参与到VGMP优先级的计算。
通常在防火墙上下行都是交换机组网的情况，心跳口上的VRRP可以以此种方式加入到VGMP组中。
★ add interface Ethernet1/0/7 vrrp vrid 1 data ip-link 1：把接口Ethernet1/0/7下配置的VRRP 1加入到此管理组进行管理，并且把接口Ethernet1/0/7作为发送VGMP 数据报文的通道，同时在VGMP上绑定ip-link功能。