网安融合 专业防护更简单,RG-WALL1600-CF系列防火墙线上发布会
预约直播
锐捷睿易 锐捷官方商城

中文

产品
< 返回主菜单
产品中心
产品

交换机

交换机所有产品
< 返回产品
交换机主页
交换机

园区网交换机

园区网交换机所有产品

数据中心与云计算交换机

数据中心与云计算交换机所有产品

行业精选交换系列

行业精选交换系列所有产品

工业交换机

工业交换机所有产品

意图网络指挥官

意图网络指挥官所有产品

SDN

SDN所有产品

配件

配件所有产品

所有技术解决方案

路由器

路由器所有产品
< 返回产品
路由器主页
路由器

核心路由器

核心路由器所有产品

汇聚路由器

汇聚路由器所有产品

接入路由器

接入路由器所有产品

移动路由器

移动路由器所有产品

行业精选路由器系列

行业精选路由器系列所有产品

所有技术解决方案

无线

无线所有产品
< 返回产品
无线主页
无线

放装型无线接入点

放装型无线接入点所有产品

墙面型无线接入点

墙面型无线接入点所有产品

智分无线接入点

智分无线接入点所有产品

室外无线接入点

室外无线接入点所有产品

场景化无线

场景化无线所有产品

无线控制器

无线控制器所有产品

行业精选无线系列

行业精选无线系列所有产品

无线管理与应用

无线管理与应用所有产品

所有技术解决方案

云桌面

云桌面产品方案中心
< 返回产品
云桌面主页
云桌面

云终端系列

云终端系列所有产品
查看云终端选型指导

云主机系列

云主机系列所有产品

云桌面软件系列

云桌面软件系列所有产品

配件系列

配件系列所有产品

所有技术解决方案

安全

安全所有产品
< 返回产品
安全主页
安全

大数据安全平台

大数据安全平台所有产品

下一代防火墙

下一代防火墙所有产品

安全网关

安全网关所有产品

检测管理安全

检测管理安全所有产品

安全服务

安全服务所有产品

安全云

安全云所有产品

所有技术解决方案

软件

软件所有产品
< 返回产品
软件主页
软件

网络管控产品

网络管控产品所有产品

IT运维产品

IT运维产品所有产品

所有技术解决方案

身份管理

身份管理所有产品
< 返回产品
身份管理主页
身份管理

安全管理系列

安全管理系列所有产品

运营管理系列

运营管理系列所有产品

身份中台

身份中台所有产品

服务产品

服务产品所有产品
< 返回产品
服务产品主页
服务产品

基础实施服务

基础实施服务 所有产品

基础维护服务

基础维护服务所有产品

运维管理服务

运维管理服务所有产品

整网服务

整网服务所有产品

安全服务

安全服务所有产品

备件与扩容服务

备件与扩容服务所有产品

培训与认证服务

培训与认证服务所有产品

官方商城

锐捷睿易

体验中心

布尔实验室

网络研讨会
服务支持
< 返回主菜单
服务与支持中心
服务与支持
服务工具
服务平台
技术支持
服务产品
产品服务
教学服务
合作伙伴
< 返回主菜单
合作伙伴中心
合作伙伴
成为锐捷伙伴
售前营销
销售与订单
售后及服务
用户中心
关于锐捷
< 返回主菜单
关于锐捷首页
关于锐捷
公司介绍
公司动态
加入我们
联系我们
营销资料平台
投资者关系
个人中心 个人中心 锐捷商城 锐捷商城 区域/语言 区域/语言
返回主菜单
选择区域/语言
  • Global / English
  • Japan / 日本語
  • Türkiye / Türkçe
  • Vietnam / Việt Nam
  • Indonesia / Indonesian
  • Thailand / ภาษาไทย
  • Spain / Español (España)
  • Portugal / Português
  • France / Français
  • Poland / Polski
  • Kazakhstan / Pусский
  • Germany / Deutsch
  • Italy / Italiano
  • Brazil / Português(Brazil)
  • LATAM / Español (América Latina))

    首页 >服务与支持 >常见问题 >【WALL1600下一代防火墙】下一代防火墙HA主备透明模式基本配置

    【WALL1600下一代防火墙】下一代防火墙HA主备透明模式基本配置

    发布时间：2013-09-15
    点击量：9019

    一、组网需求

    为保证企业内部网络服务的连续性和安全强度，防止网络中由于单个网关产品的设备故障或链路故障导致网络中断，需要一条备用的线路来做备份。

    非抢占模式：如下图拓扑所示，当红色的那条主线断掉后，蓝色的备用线路就能启用，所有的流量都切换到蓝色的线路上；当红色的那条线路恢复正常后，蓝色线路依然作为当前可用的链路，不再做切换，保证网络的稳定。

    抢占模式下：如下图拓扑所示，当红色的那条主线断掉后，蓝色的备用线路就能启用，所有的流量都切换到蓝色的线路上；当红色的那条线路恢复正常后，所有的流量又会重新切换到这条线路上。

     

    二、组网拓扑

    以下拓扑中，两台核心的防火墙以透明模式串接在网络中，1600CC-1和1600CC-2的GE4和GE5口组成一对桥；内网用户的网段是192.168.10.0  ；

    S3750的F0/11、F0/12与两台防火墙的桥管理IP地址处于同一个网段内：192.168.1.0（本案例中F0/11与F0/12同属于VLan 1）；

    S3750上配置默认路由，下一跳地址配置为EG 路由器的内网口G0/0的IP:192.168.1.3

    两台防火墙之间用GE3口作为HA心跳线；

    在如下的拓扑接线中，建议在未完成HA主备同步配置之前，先不要连接GE4和GE5口的网线，防止网络数据跑到该条线路上。

     

    三、相关名词简介

    1、HA接口：HA接口是主机和备机之间同步信息的接口，HA口不用配IP地址，采用二层报文方式通讯。两设备间的HA口用网线直连作为心跳线。

    2、被监控接口：被监控接口为正常业务网口，HA启动后会实时监视这些接口的状态。当被监控接口的down后会触发HA主备状态的切换。配置时可以选择多个接口作为监控接口。

    3、备机管理地址：即设备的Lookback口地址，无论设备为主还是备，此地址均可以用来管理设备。当设备作为备时，不会转发数据，但使用lop地址仍可以管理到此设备。 4、监控地址：配置后HA会定期向监控地址发探测报文（如ping此地址），当监测地址不可达时，会触发HA主备状态的切换。

     

    四、配置注意要点

    配置HA主备的前提工作：

    1、做主备HA的两台NGFW设备需要型号相同、软件版本相同。

    2、两台设备的HA接口必须采用相同的物理接口（例如都采用GE0口），监控口也必须是相同接口（例如都监控GE6和GE8口）。

    3、建议先导出配置文件，以防HA配置失败导致旧配置丢失而恢复不了网络。

    启用HA时的注意事项：

    1、开启HA功能时NGFW会清除所有已存在的流连接，如果设备有人在上网的情况下开启HA功能会造成所有业务暂时中断。

    2、两台设备之间的心跳线一定要用好的网线，不要随意插拔心跳线，否则主备切换就会出问题。

    3、HA主备切换的条件：被监控接口shutdown、网线断开、监控地址探测失败、设备重启、3秒内备份设备没有收到主设备心跳报文的情况下会切换。

    HA配置后不生效后的排查点：

    1、NGFW设备只能自动同步通过Web配置的命令，所以如果从命令行（CONSOLE或TELNET）配置了主设备，就需再次从主设备同步配置到备设备来使配置相同。

    2、两台设备型号或版本不同，不同型号的设备接口数目可能不一样，这样配置永远不相同。

    3、未开启自动同步功能，导致主备NGFW设备配置不同。

     

    五、实施步骤

         1、配置S3750核心交换机

         a、划分vlan

         b、给接口划分vlan，设置vlan的网关地址

         c、配置默认路由

          2、配置S2150（空配置即可）

          3、配置出口EG路由器

         a、配置内网接口

         b、配置外网接口

         c、配置NAT地址转换

         d、配置默认路由和静态路由

          4、配置1600CC-1防火墙的基本上网功能

         a、配置桥组接口及桥管理IP地址

         b、配置默认路由和静态路由

         配置默认路由的作用：当开启HA配置的“监控地址”探测功能的时候，如果探测的目标地址是互联网上的某个公网地址（如运营商DNS）时需要路由可达。

         配置静态路由：配置去往内网用户网段（本案例是192.168.10.0网段）的路由，使管理员可以在内网跨网段来管理防火墙。

         c、配置安全策略：允许内、外网的网络数据经过防火墙

         本案例中，1600CC-1先是做主设备，1600CC-2做备机，后续做了HA配置后，主设备会把自己的配置同步给备机，所以这里无需为1600CC-2配置多余的上网功能。

          5、配置1600CC-1和1600CC-2的HA功能

    以下先介绍非抢占模式下的配置方式

    a、配置1600CC-1的HA

    （1）为了区分主机和备机，将该设备名称更改为一个明确的标识：1600CC-1。

    （2）启用HA主备功能，选择主备模式，并开启各项同步功能。此时建议导出配置文件备用。

    （3）保存配置。点击“存盘”按钮保存当前的配置，否则防火墙意外重启后，之前做的配置会丢失，HA主备切换的功能也就失效了。

    （4）重启设备。

    b、配置1600CC-2的HA

    （1）将该设备名称更改为一个明确的标识：1600CC-2。

    （2）启用HA主备功能，选择主备模式，并开启各项同步功能。此时建议导出配置文件备用。

    （3）保存备份NGFW设备配置并重启设备（点击“存盘”按钮保存当前的配置，否则防火墙意外重启后，之前做的配置会丢失，HA主备切换的功能也就失效了）。

    （4）重启设备。

    c、同步配置

    （1）用网线将备份NGFW设备的HA接口和主NGFW设备的HA接口相连，确保接口协商正确，各指示灯显示正常。

     

    以下先介绍抢占模式下的配置方式

    1、抢占模式的操作步骤和非抢占模式下的步骤完全一样，唯一的区别是：一台要设置为主，另外一台要设置为备，不可以一边设置抢占，另一边设置为非抢占；

    其他配置同非抢占模式。

     

    六、配置详细步骤

    1、配置S3750核心交换机

    a、划分vlan

    vlan 1

    vlan 10

    b、给接口划分vlan，设置vlan的网关地址

    interface FastEthernet 0/10

      switchport access vlan 10

    interface FastEthernet 0/11

      switchport access vlan 1

    interface FastEthernet 0/12

    switchport access vlan 1

    interface VLAN 10

      ip address 192.168.10.1 255.255.255.0

    interface VLAN    1

      ip address 192.168.1.4 255.255.255.0

    c、配置默认路由

    ip route 0.0.0.0 0.0.0.0 192.168.1.3    //配置默认路由，192.1681.3是EG的内网接口IP地址

     

    2、配置S2150（由于S2150是作为汇聚交换机使用，所以是空配置）

     

    3、配置出口EG路由器

    配置内网口IP地址：           

    interface GigabitEthernet 0/0

      ip nat inside

      ip address 192.168.1.3 255.255.255.0

    配置外网口IP地址：

    interface GigabitEthernet 0/1

      ip nat outside

      ip address 192.168.33.51 255.255.255.0

    配置NAT地址池ruijie及NAT转换：

    access-list 1 permit any

    ip nat pool ruijie prefix-length 24

      address 192.168.33.51 192.168.33.51 match interface GigabitEthernet 0/1

    ip nat inside source list 1 pool ruijie 

    若想外网用户能管理NGFW，可将NGFW的443端口映射到公网上：

    ip nat inside source static tcp 192.168.1.1  443  192.168.33.51 443  permit-inside     //192.168.1.1是1600CC-1的桥管理IP地址

    配置默认路由：

    ip route 0.0.0.0 0.0.0.0 192.168.33.1

    配置回指静态路由：

    ip route  192.168.10.0 255.255.255.0   192.168.1.4   //192.168.1.4是S3750的VLan 1的网关地址

     

    4、配置1600CC-1防火墙的基本上网功能

    a、配置桥组接口及桥管理IP地址：GE4和GE5划分到同一个桥组里，桥组标号为1，桥管理IP:192.168.1.1/24，开启基本的管理访问的功能

     

    b、配置默认路由和静态路由

    配置默认路由的作用：当开启HA配置的“监控地址”探测功能的时候，探测的目标地址是互联网上的某个公网地址（如运营商DNS）

    配置静态路由：配置去往内网用户网段（本案例是192.168.10.0网段）的路由，使管理员可以在跨网段来管理防火墙

           

     

    c、配置安全策略：允许内、外网的网络数据经过防火墙

     

    配置完以后，记得把勾选“启用”按钮，否则该策略不生效

     

    本案例中，1600CC-1先是做主设备，1600CC-2做备机，后续做了HA配置后，主设备会把自己的配置同步给备机，所以这里无需为1600CC-2配置多余的上网功能。

    以下是非抢占模式下的配置：

    A、1600CC-主的配置：

    a、配置1600CC-1的HA

    （1）为了方便区分主机和备机，我们将该设备名称更改为一个明确的标识：1600CC-1。

     

    （2）启用HA主备功能，选择主备模式，并开启各项同步功能。（建议先导出配置文件，以防HA配置失败导致旧配置丢失而恢复不了网络）

     

    配置备机管理IP地址，接口类型选择为lo(虚拟环回口），配置与桥管理接口同网段的IP:192.168.1.5/32（32表示掩码为255.255.255.255）

    如果上图中配置了监控地址，且监控地址是个公网地址，那么在防火墙上就必须配置相应的路由

     

    （3）保存配置。点击“存盘”按钮保存当前的配置，否则防火墙意外重启后，之前做的配置会丢失，HA主备切换的功能也就失效了。

    保存后需要重启设备：

     

    b、配置1600CC-2的HA

    （1）将该设备名称更改为一个明确的标识：1600CC-2。

    （2）采用WEB方式，通过默认IP地址配置备份NGFW设备，此时备份NGFW设备应与网络及主NGFW设备没有任何连接。。

     

    配置备机管理IP地址，接口类型选择为lo(虚拟环回口），配置与1600CC-1的桥管理接口同网段的IP:192.168.1.2/32（32表示掩码为255.255.255.255）

     

    （3）保存配置。点击“存盘”按钮保存当前的配置，否则防火墙意外重启后，之前做的配置会丢失，HA主备切换的功能也就失效了。

    （4）重启设备。

     

    c、同步配置

    （1）、用网线将备份NGFW设备的HA接口和主NGFW设备的HA接口相连，确保接口协商正确，各指示灯显示正常。

    （2）、在主设备上通过web界面观察HA状态，当备份NGFW设备重启后约5分钟，在WEB界面可观察到如下画面。

    （3）点击同步配置，设备会把主NGFW设备的配置立刻同步到备份NGFW设备，此时备份NGFW设备会重启动一次。（因为会重启，所以之前的操作必须先对配置”存盘“）

     

     

    5、将1600CC-2其他网络接口正常连接即可完成整个HA配置。此时去查看1600CC-1上监视器的HA状态

     

    同步配置：当为主设备时，点击同步配置将手工同步主设备配置到备份设备。 

    停止：当为主设备时，点击将暂停HA协商功能，设备维持当前状态不变。如果两台设备都为主模式，则不支持该功能） 

    主备倒换：当为主设备时，点击将使状态切换，即原主状态变成备份状态，原备份状态变成主状态。（如果两台设备都为主模式，则不支持该功能） 

     

     

    抢占模式下操作说明：

    抢占“主”模式和“备”模式需成对配置，即一台设备抢占为“主”，则另一台须抢占为“备”。仅在一台设备上启用抢占模式，或者两台设备均抢占为“主”或者“备”都会 导致该功能不正常。HA主备抢占模式在透明组网时的注意事项与主备透明模式非抢占模式一样。

    以下是1600CC-1开启抢占模式，并设置为“主”的配置

     

     

    以下是1600CC-2开启抢占模式，并设置为“备”的配置

    其它的配置都与非抢占模式下的一致，这里不再赘述。

     

    六、配置验证

    从客户端电脑去ping 出口路由器的内网口地址：192.168.1.3，测试能通，当把1600CC-1的GE4口（或GE5口），此时进行主备切换的过程中，会丢一个包（本测试是在实验环境下，具体环境中可能效果会有差别）

     

    此时查看主备状态，1600CC-1会变成“备机状态”，1600CC-2变成“主状态”

     

    相关产品
    RG-MF2920系列，2口千兆电，千兆上行，一机双网

    RG-MF2920系列，2口千兆电，千兆上行，一机双网
    RG-S5310-E系列，24口千兆电，万兆上行，接入层

    RG-S5310-E系列，24口千兆电，万兆上行，接入层
    RG-S5310-E系列，24口千兆光，万兆上行，接入层

    RG-S5310-E系列，24口千兆光，万兆上行，接入层
    RG-S5310-E系列，48口千兆电，万兆上行，接入层

    RG-S5310-E系列，48口千兆电，万兆上行，接入层
    RG-S5310-E系列，48口千兆光，万兆上行，接入层

    RG-S5310-E系列，48口千兆光，万兆上行，接入层
    RG-S5310-E系列新一代千兆交换机

    RG-S5310-E系列新一代千兆交换机
    RG-S5310-E系列，PoE+，48口千兆电，万兆上行，接入层

    RG-S5310-E系列，PoE+，48口千兆电，万兆上行，接入层
    RG-S7800C系列融合核心交换机

    RG-S7800C系列融合核心交换机
    RG-S7800C-X系列新一代融合核心交换机

    RG-S7800C-X系列新一代融合核心交换机
    RG-N18006-X，6槽机箱，核心层，零背板

    RG-N18006-X，6槽机箱，核心层，零背板
    RG-S6120系列，24口万兆光，25G上行，汇聚层

    RG-S6120系列，24口万兆光，25G上行，汇聚层
    RG-S6120系列，48口万兆光，100G上行，汇聚层

    RG-S6120系列，48口万兆光，100G上行，汇聚层
    RG-S6120系列融合万兆交换机

    RG-S6120系列融合万兆交换机
    RG-EG3250新一代多业务安全网关

    RG-EG3250新一代多业务安全网关
    RG-EG3230新一代多业务安全网关

    RG-EG3230新一代多业务安全网关
    RG-EG3220新一代多业务安全网关

    RG-EG3220新一代多业务安全网关
    RG-EG3210 V2新一代多业务安全网关

    RG-EG3210 V2新一代多业务安全网关
    RG-EG3210新一代多业务安全网关

    RG-EG3210新一代多业务安全网关
    RG-AP820-L(V3)双射频Wi-Fi 6无线AP

    RG-AP820-L(V3)双射频Wi-Fi 6无线AP
    RG-WS7005-A多业务无线AC

    RG-WS7005-A多业务无线AC
    RG-AP850-AR(V2)四射频Wi-Fi 6无线AP

    RG-AP850-AR(V2)四射频Wi-Fi 6无线AP
    RG-AP180-L双射频Wi-Fi 6无线AP

    RG-AP180-L双射频Wi-Fi 6无线AP
    RG-AP880(TR)三射频Wi-Fi 6无线AP

    RG-AP880(TR)三射频Wi-Fi 6无线AP
    RG-WS7208-A多业务无线AC

    RG-WS7208-A多业务无线AC
    RG-AP880-I双射频Wi-Fi 6无线AP

    RG-AP880-I双射频Wi-Fi 6无线AP
    RG-WS7880高性能无线AC

    RG-WS7880高性能无线AC
    RG-EG2100-P V2全能PoE网关

    RG-EG2100-P V2全能PoE网关
    RG-N18000-X系列

    RG-N18000-X系列
    RG-N18010-X，10槽机箱，核心层，零背板

    RG-N18010-X，10槽机箱，核心层，零背板
    RG-EG3000XE新一代高性能综合网关

    RG-EG3000XE新一代高性能综合网关
    RG-EG3000UE新一代高性能综合网关

    RG-EG3000UE新一代高性能综合网关
    RG-WS6816高性能无线AC

    RG-WS6816高性能无线AC
    RG-WS6108高性能无线AC

    RG-WS6108高性能无线AC
    RG-EG3000GE新一代高性能综合网关

    RG-EG3000GE新一代高性能综合网关
    RG-EG3000ME新一代高性能综合网关

    RG-EG3000ME新一代高性能综合网关
    RG-EG3000SE新一代高性能综合网关

    RG-EG3000SE新一代高性能综合网关
    RG-EG3000CE新一代高性能综合网关

    RG-EG3000CE新一代高性能综合网关
    RG-EG2000F

    RG-EG2000F
    RG-S2900G-E V3系列千兆交换机

    RG-S2900G-E V3系列千兆交换机
    RG-S2952G-E V3，48口千兆电，千兆上行，接入层

    RG-S2952G-E V3，48口千兆电，千兆上行，接入层
    您可能还关注的问题

    返回顶部

    收起
    请选择服务项目
    关闭咨询页
    售前咨询 售前咨询
    售前咨询
    售后服务 售后服务
    售后服务
    意见反馈 意见反馈
    意见反馈
    更多联系方式
    是否找到您想要的内容？
    是
    否
    您遇到了什么问题？
    找不到想要的信息
    筛选功能不好用
    加载速度太慢
    页面体验差
    提交
    您是否找到了与产品相关的文档
    是
    否
    筛选功能是否帮助您更快找到所需的文档？
    有帮助
    一般
    没有帮助
    没用过
    请问您遇到了什么问题？
    需要填写的内容太多
    有些信息不懂怎么填
    页面有问题/错误
    其他
    确定
    这些客户案例是否对您有帮助？
    非常有帮助
    比较有帮助
    没有帮助
    请您对这个客户案例进行评价
    兴趣度
    相关性
    可信度
    确定
    感谢您的反馈！
    感谢您的反馈！