HC120119004 USG防火墻雙機(jī)熱備業(yè)務(wù)特性與配置

1、Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. USG防火墻雙機(jī)熱備業(yè)務(wù)特性與配置Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 前 言在當(dāng)前的組網(wǎng)應(yīng)用中，用戶對(duì)網(wǎng)絡(luò)可靠性的要求越來越高，特別是在一些重要的業(yè)務(wù)入口或接入點(diǎn)上需要保證網(wǎng)絡(luò)不間斷運(yùn)行。對(duì)于這些重要的業(yè)務(wù)點(diǎn)如何保證網(wǎng)絡(luò)的不間斷傳輸，成為必須解決的一個(gè)問題。本膠片主要介紹防火墻的雙機(jī)熱備份技術(shù)原理和具體配置，以及在USG防火墻上實(shí)施雙機(jī)熱備份技術(shù)所使用的三種協(xié)議：VRR

2、P、VGMP和HRP。Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 培訓(xùn)目標(biāo)學(xué)完本課程后，您應(yīng)該能：l掌握雙機(jī)熱備份技術(shù)原理l掌握VRRP，VGMP和HRP之間的關(guān)系l掌握典型雙機(jī)組網(wǎng)的配置Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 目 錄雙機(jī)熱備份技術(shù)原理雙機(jī)熱備份技術(shù)原理USG防火墻雙機(jī)熱備份技術(shù)雙機(jī)熱備份技術(shù)在防火墻上的實(shí)施Copyright 2012 Huawei Technologies Co., Ltd. Al

3、l rights reserved. 雙機(jī)熱備份技術(shù)產(chǎn)生的原因傳統(tǒng)的組網(wǎng)方式如圖所示，內(nèi)部用戶和外部用戶的交互報(bào)文全部通過Firewall A。如果Firewall A出現(xiàn)故障，內(nèi)部網(wǎng)絡(luò)中所有以Firewall A作為默認(rèn)網(wǎng)關(guān)的主機(jī)與外部網(wǎng)絡(luò)之間的通訊將中斷，通訊可靠性無法保證。Firewall A10.100.10.1/24InternetPC服務(wù)器內(nèi)部網(wǎng)絡(luò)10.100.10.0/24Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 傳統(tǒng)雙機(jī)熱備份技術(shù)在路由器上的部署RouterA10.100.10.2Mast

4、erRouterBBackup10.100.10.3RouterC10.100.10.4Backup備份組Virtual IP Address10.100.10.1InternetPC服務(wù)器內(nèi)部網(wǎng)絡(luò)10.100.10.0/24路由器組網(wǎng)中通過路由器組網(wǎng)中通過VRRP協(xié)議實(shí)現(xiàn)雙機(jī)熱備份協(xié)議實(shí)現(xiàn)雙機(jī)熱備份Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. VRRP在多區(qū)域防火墻組網(wǎng)中的應(yīng)用

5、DMZTrustUntrustUSG A10.100.20.0/24MasterUSG BBackup10.100.10.0/24備份組1Virtual IP Address10.100.10.1備份組2Virtual IP Address10.100.20.1備份組3Virtual IP Address202.38.10.1為防火墻上多個(gè)區(qū)域提供雙機(jī)備份功能時(shí)，需要在為防火墻上多個(gè)區(qū)域提供雙機(jī)備份功能時(shí)，需要在每一臺(tái)防火墻上配置多個(gè)每一臺(tái)防火墻上配置多個(gè)VRRP備份組。備份組。Copyright 2012 Huawei Technologies Co., Ltd. All rights re

6、served. VRRP在防火墻應(yīng)用中存在的缺陷USG AMasterUSG BBackupTrustDMZUntrustPC1PC2(1)(2)(3)(4)(7)會(huì)話表項(xiàng)Server(5)(6)(8)實(shí)際連線報(bào)文流徑(9)傳統(tǒng)傳統(tǒng)VRRP方式無法實(shí)現(xiàn)方式無法實(shí)現(xiàn)主、備主、備用用USG防防火墻火墻狀態(tài)的一狀態(tài)的一致性。致性。Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 目 錄雙機(jī)

7、熱備份技術(shù)原理USG防防火墻雙機(jī)熱備份技術(shù)火墻雙機(jī)熱備份技術(shù)雙機(jī)熱備份技術(shù)在防火墻上的實(shí)施Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 防火墻雙機(jī)熱備份技術(shù)分析防火墻雙擊熱備份技術(shù)的特征l控制主、備用防火墻的切換l狀態(tài)信息的備份USG防火墻的雙機(jī)熱備份技術(shù)依靠三種協(xié)議實(shí)現(xiàn)：lVRRP（虛擬路由冗余協(xié)議）lVGMP（VRRP組管理協(xié)議）lHRP（華為冗余協(xié)議）Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 防火墻主備狀態(tài)切換的實(shí)

8、現(xiàn)VGMP（VRRP Group Management Protocol) 提出VRRP管理組的概念，將同一臺(tái)防火墻上的多個(gè)VRRP備份組都加入到一個(gè)VRRP管理組，由管理組統(tǒng)一管理所有VRRP備份組。通過統(tǒng)一控制各VRRP備份組狀態(tài)的切換，來保證管理組內(nèi)的所有VRRP備份組狀態(tài)都是一致的。VGMP的作用：防火墻主備狀態(tài)控制切換VRRP管理組的功能：l狀態(tài)一致性管理（管理組內(nèi)VRRP備份組同步狀態(tài)切換）l搶占管理（屏蔽VRRP備份組搶占）l通道管理（trans-only）Copyright 2012 Huawei Technologies Co., Ltd. All rights reserv

9、ed. Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. VGMP實(shí)現(xiàn)原理USG AMasterUSG BBackupTrustDMZUntrust備份組1備份組2備份組3A1A2A3B2B1B3管理組管理組備份組4Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. VGMP數(shù)據(jù)通道USG AMasterUSG BBackupTrustDMZUntrustA1A2A3B2B1B3A4B4A4-B4A3-B3A1-B1A2-B2Copy

10、right 2012 Huawei Technologies Co., Ltd. All rights reserved. 防火墻狀態(tài)信息的備份 VGMP可以保證報(bào)文來回路徑通過同一臺(tái)防火墻。當(dāng)主防火墻出現(xiàn)故障時(shí)，所有流量都將切換到備防火墻。但USG防火墻是狀態(tài)防火墻，如果備防火墻上沒有原來主防火墻上的連接狀態(tài)數(shù)據(jù)，則切換到備防火墻的很多流量將無法通過，造成現(xiàn)有的連接中斷，此時(shí)用戶必須重新發(fā)起連接。為了實(shí)現(xiàn)主用設(shè)備出現(xiàn)故障時(shí)能由備用設(shè)備平滑地接替工作，需要在主、備用設(shè)備之間備份關(guān)鍵配置命令和會(huì)話表狀態(tài)等關(guān)鍵信息。Copyright 2012 Huawei Technologies Co., L

11、td. All rights reserved. HRPHRP（Huawei Redundancy Protocol ）華為冗余協(xié)議華為公司冗余協(xié)議HRP（Huawei Redundancy Protocol）是承載在VGMP報(bào)文上進(jìn)行傳輸?shù)?。HRP用于在主用設(shè)備和備用設(shè)備之間備份關(guān)鍵配置命令和會(huì)話表狀態(tài)等關(guān)鍵信息。 Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. HRP/VGMP/VRRP之間的關(guān)系VRRP備份組VGMP管理組VGMP報(bào)文HRP模塊HRP報(bào)文接口VRRP報(bào)文Copyright 2012 Hua

12、wei Technologies Co., Ltd. All rights reserved. 目 錄雙機(jī)熱備份技術(shù)原理USG防火墻雙機(jī)熱備份技術(shù)雙機(jī)熱備份技術(shù)在防火墻上的實(shí)施雙機(jī)熱備份技術(shù)在防火墻上的實(shí)施Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 防火墻雙機(jī)熱備份組網(wǎng)方式USG的雙機(jī)熱備份，可以工作在路由模式和混合模式兩種模式下：l路由模式是指USG的業(yè)務(wù)端口和HRP備份通道接口均工作在路由模式下。 l混合模式是指USG的業(yè)務(wù)端口工作在透明模式下，而HRP備份通道接口工作在路由模式下。路由模式和混合模式都

13、包含兩種組網(wǎng)方式：l主備組網(wǎng)方式l負(fù)載分擔(dān)組網(wǎng)方式Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 路由模式-主備組網(wǎng)方式防火墻設(shè)備管理組成員優(yōu)先級(jí)狀態(tài)會(huì)話量AMaster備份組1，2，3高主用100%BSlave備份組1，2，3低備用0USG ATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USG BGE1/0/0GE3/0/0GE2/0/0PC1PC2Copyright 2012 Huawei Technologies Co., L

14、td. All rights reserved. Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 路由模式-主備組網(wǎng)方式配置參考1USG ATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USG BGE1/0/0GE3/0/0GE2/0/0USG2100 interface GigabitEthernet 1/0/0 USG2100-GigabitEthernet1/0/0 ip address 10.100.10.2 24 USG21

15、00-GigabitEthernet1/0/0 vrrp vrid 1 virtual-ip 10.100.10.1 master USG2100 interface GigabitEthernet 3/0/0 USG2100-GigabitEthernet3/0/0 ip address 202.38.10.2 24 USG2100-GigabitEthernet3/0/0 vrrp vrid 2 virtual-ip 202.38.10.1 master # #將將GE1/0/0和和GE3/0/0加入到對(duì)應(yīng)的加入到對(duì)應(yīng)的VRRP備份組中。備份組中。Copyright 2012 Huawei

16、 Technologies Co., Ltd. All rights reserved. 路由模式-主備組網(wǎng)方式配置參考2USG ATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USG BGE1/0/0GE3/0/0GE2/0/0USG2100 interface GigabitEthernet 2/0/0USG2100-GigabitEthernet2/0/0 ip address 10.100.20.2 24 USG2100-GigabitEthernet2/0/0 vrrp vrid 3 virtual-ip

17、10.100.20.1 master# #將將GE2/0/0加入到對(duì)應(yīng)的加入到對(duì)應(yīng)的VRRPVRRP備份組中。備份組中。 USG2100 hrp interface GigabitEthernet 2/0/0 USG2100 hrp enable # #指定指定HRP的備份通道并使能的備份通道并使能HRP功能。功能。Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 路由模式-主備組網(wǎng)方式配置參考3USG ATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Maste

18、r管理組備份組3USG BGE1/0/0GE3/0/0GE2/0/0HRP_MUSG2100 hrp auto-sync config HRP_MUSG2100 policy interzone trust untrust outboundHRP_MUSG2100-policy-interzone-trust-untrust-outbound policy 1HRP_MUSG2100-policy-interzone-trust-untrust-outbound-1 action permitHRP_MUSG2100-policy-interzone-trust-untrust-outboun

19、d-1 policy source 10.100.10.0 mask 24# #使能配置命令自動(dòng)備份功能并添加區(qū)域間包過濾規(guī)則。使能配置命令自動(dòng)備份功能并添加區(qū)域間包過濾規(guī)則。 Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 路由模式-主備組網(wǎng)方式配置驗(yàn)證USG ATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave管理組Master管理組備份組3USG BGE1/0/0GE3/0/0GE2/0/0HRP_MUSG2100 display hrp state The fi

20、rewalls config state is: MASTER Current state of virtual routers configured as master: GigabitEthernet1/0/0 vrid 1 : master GigabitEthernet3/0/0 vrid 2 : master GigabitEthernet2/0/0 vrid 3 : master # #在在USG A上執(zhí)行上執(zhí)行display hrp state命令，檢查當(dāng)前命令，檢查當(dāng)前HRP的狀態(tài)，顯示以上信息表示的狀態(tài)，顯示以上信息表示HRP建立成功。建立成功。 Copyright 2012

21、 Huawei Technologies Co., Ltd. All rights reserved. Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 路由模式-負(fù)載分擔(dān)組網(wǎng)方式防火墻設(shè)備管理組備份組優(yōu)先級(jí)狀態(tài)會(huì)話量AMaster備份組1，2，3高主用部分BSlave備份組1，2，3低備用0ASlave備份組4，5，6低備用0BMaster備份組4，5，6高主用部分Master/Slave管理組USG ATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管

22、理組備份組3USG BGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5PC1PC2Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. USG ATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組Master/Slave管理組備份組3USG BGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5

23、路由模式-負(fù)載分擔(dān)組網(wǎng)方式配置參考1USG2100 interface GigabitEthernet 1/0/0 USG2100-GigabitEthernet1/0/0 ip address 10.100.10.3 24 USG2100-GigabitEthernet1/0/0 vrrp vrid 1 virtual-ip 10.100.10.1 master USG2100-GigabitEthernet1/0/0 vrrp vrid 4 virtual-ip 10.100.10.2 slave USG2100 interface GigabitEthernet 3/0/0 USG210

24、0-GigabitEthernet3/0/0 ip address 202.38.10.3 24 USG2100-GigabitEthernet3/0/0 vrrp vrid 2 virtual-ip 202.38.10.1 master USG2100-GigabitEthernet3/0/0 vrrp vrid 5 virtual-ip 202.38.10.2 slave 將接口GE1/0/0和GE3/0/0加入到對(duì)應(yīng)的VRRP備份組中Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 路由模式-負(fù)載分擔(dān)組網(wǎng)方

25、式配置參考2USG ATrustUntrust備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組Master/Slave管理組備份組3USG BGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5USG2100 interface GigabitEthernet 2/0/0 USG2100-GigabitEthernet2/0/0 ip address 10.100.20.3 24 USG2100-GigabitEthernet2/0/0 vrrp vrid 3 virtual-ip 10.100.20.1 master USG2100-Gi

26、gabitEthernet2/0/0 vrrp vrid 6 virtual-ip 10.100.20.2 slave USG2100 hrp interface GigabitEthernet 2/0/0 USG2100 hrp enable # #將將GE1/0/0和和GE3/0/0加入對(duì)應(yīng)的備份組；指定加入對(duì)應(yīng)的備份組；指定HRPHRP備份通道并使能備份通道并使能HRPHRP功能。功能。 Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 路由模式-負(fù)載分擔(dān)組網(wǎng)方式配置參考3USG ATrustUntrust

27、備份組1備份組2GE1/0/0GE2/0/0GE3/0/0Slave/Master管理組Master/Slave管理組備份組3USG BGE1/0/0GE3/0/0GE2/0/0備份組4備份組6備份組5lHRP_MUSG2100 hrp auto-sync configlHRP_MUSG2100 policy interzone trust untrust outboundlHRP_MUSG2100-policy-interzone-trust-untrust-outbound policy 1lHRP_MUSG2100-policy-interzone-trust-untrust-outbo

28、und-1 action permitlHRP_MUSG2100-policy-interzone-trust-untrust-outbound-1 policy source 10.100.10.0 mask 24 # #使能配置命令自動(dòng)備份功能并添加區(qū)域間包過濾規(guī)則。使能配置命令自動(dòng)備份功能并添加區(qū)域間包過濾規(guī)則。Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 路由模式-負(fù)載分擔(dān)組網(wǎng)方式配置驗(yàn)證HRP_MUSG2100 dis hrp state The firewalls config state is:

29、 MASTER Current state of virtual routers configured as master: GigabitEthernet3/0/0 vrid 2 : master GigabitEthernet2/0/0 vrid 3 : master GigabitEthernet1/0/0 vrid 1 : master Current state of virtual routers configured as slave: GigabitEthernet3/0/0 vrid 5 : slave GigabitEthernet2/0/0 vrid 6 : slave

30、GigabitEthernet1/0/0 vrid 4 : slave #在在USG A上執(zhí)行上執(zhí)行display hrp state命令，檢查當(dāng)前命令，檢查當(dāng)前HRP的狀態(tài)。從以的狀態(tài)。從以上顯示信息可以看出，上顯示信息可以看出，在在USG A上，上，VRRP備份組備份組1、2、3屬于屬于Master管理組；管理組；VRRP備份組備份組4、5、6屬于屬于Slave管理組。管理組。Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. Copyright 2012 Huawei Technologies Co., Lt

31、d. All rights reserved. Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 混合模式-主備組網(wǎng)方式上圖組網(wǎng)方式可以實(shí)現(xiàn)負(fù)載分擔(dān)嗎？上圖組網(wǎng)方式可以實(shí)現(xiàn)負(fù)載分擔(dān)嗎？G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USG AUSG BSwitch 1Switch 2Switch 3Switch 4trustuntrust備份組1PC1PC2Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 混

32、合模式-主備組網(wǎng)方式配置參考1G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USG AUSG BSwitch 1Switch 2Switch 3Switch 4trustuntrust備份組1USG2100 interface GigabitEthernet 0/0/1 USG2100-GigabitEthernet0/0/1 ip address 10.100.20.2 24 USG2100-GigabitEthernet0/0/1 vrrp vrid 1 virtual-ip 10.100.20.1 master USG2100 firewall zone dmz

33、 USG2100-zone-dmz add interface gigabitethernet 0/0/1 # #配置配置GE0/0/1所屬的所屬的VRRP備份組和虛擬備份組和虛擬IP地址，并將其加入地址，并將其加入DMZ區(qū)域區(qū)域 Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 混合模式-主備組網(wǎng)方式配置參考2G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USG AUSG BSwitch 1Switch 2Switch 3Switch 4trustuntrust備份組1USG2100

34、interface gigabitethernet 0/0/0 USG2100-GigabitEthernet 0/0/0 portswitch USG2100 interface gigabitethernet 0/0/2 USG2100-GigabitEthernet 0/0/2 portswitch # #配置配置GE0/0/0和和GE0/0/2工作在透明模式。工作在透明模式。 Copyright 2012 Huawei Technologies Co., Ltd. All rights reserved. 混合模式-主備組網(wǎng)方式配置參考3G0/0/0G0/0/0G0/0/2G0/0/2G0/0/1G0/0/1USG AUSG BSwitch 1Switch 2Switch 3Switch 4trustuntrust備份組1USG2100 vlan 2 USG2100-vlan-2 port GigabitEthernet 0/0/0 USG2100-vlan-2 port GigabitEthernet 0/0/2 USG2100-vlan-2 hrp track master # #建立建立VLAN 2，將接口，將接口GE0/0/0和和GE0/0/2加入加入VLAN 2并指定由并指定由Master管理組