华为Eudemon 系列防火墙用服培训胶片(HRP).ppt

Eudemon 系列防火墙用服培训 主要内容 防火墙双机热备份 VRRP基本原理介绍 VRRP基本原理介绍（续） VRRP用于防火墙多区域的备份 VGMP的引入与基本原理 VRRP管理组之间的通讯 VRRP管理组状态切换 VRRP管理组优先级计算 VRRP管理组优先级计算（续） 双机热备份－HRP 连接状态数据的热备份 关键配置命令的热备份 数据备份的通道 基本配置介绍－VRRP 基本配置介绍－VGMP 基本配置介绍－VGMP（续） 基本配置介绍－HRP 典型组网应用（1） ——使用二层交换模块与静态路由的主备备份组网 典型组网应用（1） ——使用二层交换模块与静态路由的主备备份组网（续） 典型组网应用（1） ——使用二层交换模块与静态路由的主备备份组网（续） 典型组网应用（1） ——使用二层交换模块与静态路由的主备备份组网（续） 典型组网应用（2） ——使用三层交换模块与动态路由协议的组网 典型组网应用（2） ——使用三层交换模块与动态路由协议的组网（续） 典型组网应用（2） ——使用三层交换模块与动态路由协议的组网（续） 典型组网应用（3） ——使用二层交换模块的透明模式的组网 典型组网应用（3） ——使用二层交换模块的透明模式的组网（续） 典型组网应用（3） ——使用二层交换模块的透明模式的组网（续） 典型组网应用（4） ——使用三层交换模块的透明模式的组网（续） 典型组网应用（4） ——使用三层交换模块的透明模式的组网（续） 典型组网应用（5） ——支持负载分担的双机热备份组网 典型组网应用（5） ——支持负载分担的双机热备份组网（续） 典型组网应用（5） ——支持负载分担的双机热备份组网（续） 典型组网应用（5） ——支持负载分担的双机热备份组网（续） 双机热备份配置注意事项 双机热备份配置注意事项（续） 双机热备份配置注意事项（续） 双机热备份配置注意事项（续） 双机热备份配置注意事项（续） Eudemon200与Eudemon500/1000配置上的差异 Eudemon200与Eudemon500/1000配置上的差异（续） 组网分析 由于防火墙上下行业务端口工作在透明模式，无法配置IP地址，所以无法在业务端口上配置VRRP备份组，因此我们采用在心跳接口上配置VRRP备份组来监视业务端口的办法，并让VRRP管理组优先级根据组成员优先级来计算。 由于防火墙上下行设备运行动态路由协议，需要建立邻居关系，因此要求备防火墙也能转发报文，否则动态路由协议报文不能通过而无法正常建立邻居关系。 由于两台防火墙都工作在透明模式，且都能转发报文，为了防止产生二层转发环路，因此在上下行设备上与主备防火墙相连的端口需要配置在不同的vlan中进行隔离。 在这种组网下，在端口出现故障时由动态路由协议来引导流量切换，因此防火墙双机热备份模块只承担备份数据的功能。 防火墙配置 注：这里以Eudemon200配置为例进行说明，具体配置差别详见后续总结。 防火墙的绝大部分配置都与“典型组网应用（3）——使用二层交换模块的透明模式的组网”相同，唯一不同的地方是在配置防火墙工作的混合模式时，允许备防火墙转发报文。主备防火墙都要如此配置。 [Eudemon] firewall mode composite permit-backupforward 组网需求 具体组网需求与“典型组网应用（1）——使用二层交换模块与静态路由的主备备份组网”类似，区别在于要求两防火墙既作双机热备份，又支持负载分担。 组网分析 要实现负载分担，则要求两台防火墙上都有VRRP管理组为主状态，这样可以考虑在每台设备上都配置两个VRRP管理组，其中一个管理组状态为主，另一个为备；而在另外一台设备上两个管理组的主备状态则恰好相反。 在每个业务端口上配置两个VRRP备份组对应两个个虚拟IP地址，然后将这两个VRRP备份组分别添加到两个VRRP管理组中，这样使得在一台防火墙上其中一个VRRP备份组为主状态，而在另一台防火墙上另一个VRRP备份组为主状态。 在防火墙