山石防火墻雙機(jī)熱備模式配置案例

1. 需求分析

配置HA Active- Active[1]工作模式，以提高網(wǎng)絡(luò)可靠性，保證業(yè)務(wù)不中斷。

本案例將分別演示W(wǎng)ebUI和CLI兩種配置方式。

2. 案例說(shuō)明

2.1 環(huán)境說(shuō)明

在配置之前，確認(rèn)搭建成HA典型組網(wǎng)模式的兩臺(tái)Hillstone設(shè)備采用完全相同的硬件平臺(tái)、固件版本和安裝相同的許可證，并且兩臺(tái)設(shè)備使用同樣的接口連接到網(wǎng)絡(luò)。

2.2 軟硬件信息

2.3 組網(wǎng)拓?fù)?/p>

3. 功能配置

3.1 WebUI配置步驟

FW1接口配置，ethernet0/1為外網(wǎng)出接口，ethernet0/3為內(nèi)網(wǎng)口。

配置安全策略。

配置檢測(cè)對(duì)象，建議同時(shí)監(jiān)測(cè)內(nèi)網(wǎng)口和外網(wǎng)口（本案例只監(jiān)測(cè)外網(wǎng)口）。

配置FW1，group0為主，group1為備（配置 ha link 和 HA group并調(diào)用檢測(cè)對(duì)象）。(系統(tǒng)->HA)

配置FW2，group0為備，group1為主。

配置FW1上為group 1所生成的VFI接口。

配置FW1的SNAT和目的路由。

FW1，F(xiàn)W2分別配置HA簇，開(kāi)啟HA功能。

配置完成后，點(diǎn)擊“系統(tǒng) > 系統(tǒng)信息”，兩臺(tái)設(shè)備的HA狀態(tài)分別如下顯示：

FW1：

FW2：

3.2 CLI配置步驟

? 配置FW1 ，group 0 為 主， group 1 為備。

FW1(config)#interfaceethernet0/1
FW1(config-if-eth0/2)#zoneuntrust
FW1(config-if-eth0/2)#ipaddress100.0.1.1/24
FW1(config-if-eth0/2)#exit
FW1(config)#interfaceethernet0/3
FW1(config-if-eth0/0)#zonetrust
FW1(config-if-eth0/0)#ipaddress192.168.10.1/24
FW1(config-if-eth0/0)#exit
FW1(config)#policy-global
FW1(config-policy)#rulefromanytoanyserviceanypermit
FW1(config-policy)#exit
FW1(config)#
配置track
FW1(config)#tracktrackobj1
FW1(config-trackip)#interfaceethernet0/3weight255
FW1(config-trackip)#interfaceethernet0/1weight255
FW1(config-trackip)#exit
FW1(config)#
FW1(config)#tracktrackobj2
FW1(config-trackip)#interfaceethernet0/3weight255
FW1(config-trackip)#interfaceethernet0/1weight255
FW1(config-trackip)#exit
FW1(config)#
配置halink和HAgroup
FW1(config)#halinkinterfaceethernet0/4
FW1(config)#halinkip1.1.1.1/24
FW1(config)#hagroup0
FW1(config-ha-group)#priority50
FW1(config-ha-group)#preempt5
FW1(config-ha-group)#monitortracktrackobj1
FW1(config-ha-group)#exit
FW1(config)#hagroup1
FW1(config-ha-group)#priority100
FW1(config-ha-group)#monitortracktrackobj2
FW1(config-ha-group)#exit

? 配置 FW2 ， group 0為 備 ，group 1 為 主 。

FW1(config)#halinkinterfaceethernet0/4
FW1(config)#halinkip1.1.1.2/24
FW2(config)#hagroup0
FW2(config-ha-group)#priority100
FW2(config-ha-group)#exit
FW2(config)#hagroup1
FW2(config-ha-group)#priority50
FW2(config-ha-group)#exit

? 配置 FW1 上為 group 1 所生成的 VFI 接口。

VFI(VirtualForwardInterface)接口就是專(zhuān)為HAgroup1所用
FW1(config)#interfaceethernet0/3:1
FW1(config-if-eth0/1:1)#zonetrust
FW1(config-if-eth0/1:1)#ipaddress192.168.20.1/24
FW1(config-if-eth0/1:1)#exit
FW1(config)#interfaceethernet0/1:1
FW1(config-if-eth0/3:1)#zoneuntrust
FW1(config-if-eth0/3:1)#ipaddress100.0.1.2/24
FW1(config-if-eth0/3:1)#exit
FW1(config)#ipvroutertrust-vr
FW1(config-vrouter)#snatrulefromanytoanyeifethernet0/1trans-toeif-ipmodedynamicport
FW1(config-vrouter)#snatrulefromanytoanyeifethernet0/1:1trans-toeif-ipmodedynamicportgroup1
FW1(config-vrouter)#iproute0.0.0.0/0ethernet0/1100.0.1.10
FW1(config-vrouter)#iproute0.0.0.0/0ethernet0/1:1100.0.1.10
FW1(config-vrouter)#exit

? 配置 HA 簇開(kāi)啟HA 功能，等待配置同步。

FW1(config)#hacluster1
FW2(config)#hacluster1

? 查看HA協(xié)商結(jié)果。

FW1#showhagroup0
FW1#showhagroup1
FW2#showhagroup0
FW2#showhagroup1

審核編輯：湯梓紅