神州数码防火墙 1800 15-双机HA冗余协议

合集下载
  1. 1、下载文档前请自行甄别文档内容的完整性,平台不提供额外的编辑、内容补充、找答案等附加服务。
  2. 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
  3. 3、如文档侵犯您的权益,请联系客服反馈,我们会尽快为您处理(人工客服工作时间:9:00-18:30)。

安全网关B hostname(config)# ha group 0 hostname(config-ha-group)# priority 100 hostname(config-ha-group)# exit hostname(config)#
配置A/P模式HA(WebUI)
第二步:配置安全网关A的监测对象。监控主设备ethernet0/0的工作状态 一旦发现接口工作失败,则进行主备切换。 安全网关A/B: 访问网页“对象>监控对象”点击新建 输入名称和警戒值后点击应用 然后设置监控类型、选择监控接口及接口权值
HA同步
• HA同步 • 为保证备份设备能够在主设备失效时代替主设备工作,主 设备需要与备用设备进行同步。同步的信息类型有三种: 配置信息、文件以及RDO(Runtime Dynamic Object)。 RDO的具有内容主要包括:
– 会话信息(以下类型会话信息不会同步:to self到设备本身的会话 、tunnel隧道会话、deny session、ICMP会话以及tentative会话) – IPSec VPN信息 – SCVPN信息 – DNS缓存映射条目 – ARP表 – PKI信息 – DHCP信息 – MAC表 – Web认证信息
第五步:配置HA簇开启HA功能
安全网关A hostname(config)# ha cluster 1 安全网关B hostname(config)# ha cluster 1
选择HA心跳接口 指定HA接口IP 选择集群
配置A/P模式HA
第六步:主设备同步完成后,配置主设备与备份设备的管理 IP。
HA工作模式(Active-Passive)
神州数码多核防火墙支持HA的两种工作模式:Active-Passive(A/P)模式 和Active-Active(A/A)模式: Active-Passive(A/P)模式:在HA簇中配置两台设备组成一个HA组, 组内只有一台主设备。主设备处于活动状态,转发报文,同时将所有 网络和配置信息以及当前会话信息传递给备份设备。当主设备出现故 障时,备份设备接替主设备工作,转发报文。这种A/P模式具有较强 冗余性,而且其网络结构简单,便于维护管理。
双机HA冗余协议
讲解人:朱建英 2010、07
章节目标 • 通过完成此章节课程,您将可以:
- 理解HCMP协议 - 配置HA集群
议程:双机HA冗余协议
双机HA基本概念
• 配置HA
高可用靠性(High Availability)
• 高可靠性(High Availablity),简称HA,能 够在通信线路或者设备产生故障时提供备 用方案,从而保证数据通信的畅通,有效 增强网络的可靠性。 • 实现HA功能,用户需要配置两台设备型号 软件版本、VRouter、功能许可证以及功能 状态配置均相同的安全设备,组成HA簇
配置A/A模式HA
第一步:配置安全网关A接口及策略 安全网关A
• • • • • • • • • • • • • DCFW-A(config)# int ethernet0/2 DCFW-A(config-if-eth0/2)# zone untrust DCFW-A(config-if-eth0/2)# ip address 200.0.0.1/24 DCFW-A(config-if-eth0/2)# exit DCFW-A(config)# interface ethernet0/0 DCFW-A(config-if-eth0/0)# zone trust DCFW-A(config-if-eth0/0)# ip address 192.168.1.1/24 DCFW-A(config-if-eth0/0)# exit DCFW-A(config)# policy from trust to trust DCFW-A(config-policy)# rule from any to any service any permit Rule id 2 is created DCFW-A(config-policy)# exit DCFW-A(config)#
配置A/P模式HA(CLI)
第二步:配置安全网关A的监测对象。监控主设备ethernet0/0的工作状态 一旦发现接口工作失败,则进行主备切换。
hostname(config)# track trackobj1 hostname(config-trackip)# interface ethernet0/0 weight 255 hostname(config-trackip)# exit hostname(config)#
网关:192.168.1.1
网关:192.168.1.2
PC
PC
A/A模式HA配置步骤
• 使用A/A模式高可用性功能,用户需要按照以下步骤进行 配置: – 第一步,配置0、1两个HA组。HA组的配置包括是定设 备优先级(选举使用)以及设备HA报文相关参数等。 – 第二步,配置HA组的接口。 – 第三步,配置HA连接。包括HA连接接口和连接接口IP 的配置。用于设备同步以及传输HA报文。 – 第四步,配置HA簇。为设备指定HA簇ID,并且开启设 备的HA功能。
A/A模式HA案例
※ 实例拓扑如下:两台多核防火墙组成Active/Active冗余模式,A设备为 Group0主设备Group1备设备,B设备为Group0备设备Group1主设备。 内网PC分别通过配置不同网关手工分配流量到2个HA组。
Internet
网关 200.0.0.254/24
Eth0/1 200.0.0.1/24 Eth0/0:1 200.0.0.2/24
A ( Active A ( Active ) )
HA Link
Eth0/1 200.0.0.1/24 Eth0/0:1 200.0.0.2/24
B ( Active ) B ( Active )
Eth0/0 192.168.1.1/24 Eth0/0:1 192.168.1.2/24
Eth0/0 192.168.1.1/24 Eth0/0:1 192.168.1.2/24
HA工作模式(Active-Active)
Active-Active(A/A)模式:当安全设备处于NAT模式、路由模式或两 者的组合时,可以将HA簇中的两台设备都配置成主动,使两台设备同 时运行各自的工作,且相互监测对方的情况。当其中一台设备发生故 障时,另外一台设备运行其自身的工作并接管故障设备的工作,以保 证工作不间断,该模式称为Active-Active模式。这种A/A模式具有高性 能以及负载均衡的优点。 如下图所示,设备A充当HA组0的主设备和HA组1的备份设备。设备B充 当HA组1的主设备和HA组0的备份设备,如其中一台设备出现故障, 另一台设备同时接管两个HA组。
安全网关A hostname(config)# ha cluster 1 安全网关B hostname(config)# ha cluster 1
以上配置完成后,系统会将安全网关A选举为主设备,进行 流量转发,。安全网关B为备份设备。安全网关A会将其配 置信息以及状态数据同步到安全网关B。安全网关A出现故 障不能正常转发数据流量或安全网关A的eth0/0接口断开 时,安全网关B会在不影响用户通信的状态下切换为主设 备,继续转发流量。
高可用靠性(High Availability)
• HA簇
HA簇是实现HA功能的设备组合。对于外部网络设备而言 一个HA簇是一个单一的设备,处理网络流量和提供安全服 务。HA簇通过簇ID进行标识。为设备指定HA簇ID后,设备 进入HA状态,执行HA功能。
• HA组
系统会对HA簇中共相同HA组ID的设备,按照HCMP协议, 根据设备的HA配置,进行主备选举。主设备处于活动状态 处理网络流量,而主设备出现故障时,其他设备代替主设 备继续工作。当为安全设备设置簇ID时,组ID为0的HA组 会自动创建,在Active-Passive(A/P)模式中,设备仅具有 HA组0。在Active-Active(A/A)模式中,目前的版本支持用户 创建2个HA组,组0和组1。
VFI、VMAC、HA组选举
• HA组接口(VFI)和虚拟MAC(VMAC) • 在HA环境中,每个HA组具有接口,流量通过接口 进行传输。每个HA组的主设备维护对应接口的虚 拟MAC(VMAC)地址,流量通过这些具有VMAC 地址的接口进行转发。HA簇中不同HA组之间不相 互转发数据。VMAC地址有簇ID、HA组ID以及物理 接口索引确定。 • HA选举 • HA簇中,拥有同样HA组ID的具有高优先级的设备 会被选举为HA组的主设备。
配置A/A模式HA
第二步:配置安全网关A的监控对象。监控主设备eth0/2的工 作状态,一旦发现接口工作失败,则进行主备切换。 安全网关A/B
A/P模式HA
第一步:配置安全网关A的接口及Fra Baidu bibliotek略。
安全网关A hostname(config)# interface ethernet0/0 hostname(config-if-eth0/0)# zone untrust hostname(config-if-eth0/0)# ip address 100.1.1.4/29 hostname(config-if-eth0/0)# exit hostname(config)# interface ethernet0/1 hostname(config-if-eth0/1)# zone trust hostname(config-if-eth0/1)# ip address 192.168.1.4/29 hostname(config-if-eth0/1)# exit hostname(config)# policy from trust to untrust hostname(config-policy)# rule from any to any service any permit Rule id 7 is created hostname(config-policy)# exit hostname(config)#
第三步:配置HA组。
安全网关A hostname(config)# ha group hostname(config-ha-group)# hostname(config-ha-group)# hostname(config-ha-group)# hostname(config)#
0 priority 50 monitor track trackobj1 exit
配置A/P模式HA(WebUI)
第三步:配置HA组
安全网关A
安全网关B
配置A/P模式HA
第四步:配置HA组
安全网关A hostname(config)# ha link interface ethernet0/2 hostname(config)# ha link interface ethernet0/3 hostname(config)# ha link ip 1.1.1.1/24 安全网关B hostname(config)# ha link interface ethernet0/2 hostname(config)# ha link interface ethernet0/3 hostname(config)# ha link ip 1.1.1.2/24
议程:双机HA冗余协议
• 双机HA基本概念
配置HA
配置A/P模式HA
※ 实例拓扑如下:两台多核防火墙采用完全相同的硬件平台 和固件版本,组成Active/Passive冗余模式,并且两台设备 使用同样的接口连接到网络。
A/P模式HA配置步骤
• 使用高可靠性功能,用户需要按照以下步骤进行配置: – 第一步,配置HA组。HA组的配置包括指定设备优先级 (选举使用)以及设备HA报文相关参数等。 – 第二步,配置HA组的接口。 – 第三步,配置HA连接。包括HA连接接口和连接接口IP 的配置。用于设备同步以及传输HA报文。 – 第四步,配置HA簇。为设备指定HA簇ID,并且开启设 备的HA功能。
相关文档
最新文档