虚拟机双机热备解决方案（详解防火墙VRRP、双机热备、链路聚合、MSTP综合配置）
三石哥
2022-07-13 14:57:57
358
组网要求：
1. PC1（VLAN10）Server（VLAN20）的网关在FW1及FW2上（VRRP组1及组2的虚拟IP地址）；PC2的网关在FW1及FW2上（VRRP组3的虚拟IP地址）；
2. PC1属于Trust区域；Server属于DMZ区域；PC2属于Untrust区域；
3. 网络中一共存在三组VRRP，VRRP组1的虚拟IP地址作为PC1的网关；VRRP组2的虚拟IP地址作为Server的网关地址；VRRP组3的虚拟IP地址作为PC2的网关；
4. FW1及FW2运行双机热备，FW1为主，FW2为备；两台防火墙的GE0/0/2口为心跳接口，专用于HRP，同时将该接口划分到一个自定义的安全区域ha之中；
5. PC1能够主动访问PC2，但PC2无法主动访问PC1；当PC1访问Server1时，使用源地址NAT，NAT地址池为10.1.1.200到10.1.1.210这个区间的IP。
6. PC2能够访问Server的FTP服务，当其访问时，使用的目的IP地址是10.1.1.211，目的端口号是65111。
一、eNSP详解视频：
重播
播放
00:00/00:00正在直播
00:00
进入全屏
点击按住可拖动视频
二、IP设置：
PC1:192.168.10.100/24，vlan10，网关：192.168.10.1
Server1:192.168.20.100/24，vlan20，网关：192.168.20.1
FW1：ge1/0/0.10:192.168.10.3/24,VRRP 1 virtual-ip:192.168.10.1
ge1/0/0.20:192.168.20.3/24,VRRP 2 virtual-ip:192.168.20.1
ge1/0/3:10.1.1.3/24,VRRP 3 virtual-ip:10.1.1.1
FW2：ge1/0/0.10:192.168.10.2/24,VRRP 1 virtual-ip:192.168.10.1
ge1/0/0.20:192.168.20.2/24,VRRP 2 virtual-ip:192.168.20.1
ge1/0/3:10.1.1.2/24,VRRP 3 virtual-ip:10.1.1.1
三、SW3的主要配置文件：
#
sysname SW3
#
vlan batch 10 20
#
interface GigabitEthernet0/0/1
port link-type access
port default vlan 10
#
interface GigabitEthernet0/0/2
port link-type access
port default vlan 20
#
interface GigabitEthernet0/0/21
port link-type trunk
port trunk allow-pass vlan 10 20
#
interface GigabitEthernet0/0/22
port link-type trunk
port trunk allow-pass vlan 10 20
#
return
四、SW1的主要配置文件：
#
sysname SW1
#
vlan batch 10 20
#
stp instance 0 root primary
#
interface Eth-Trunk1
port link-type trunk
port trunk allow-pass vlan 10 20
mode lacp-static
#
interface GigabitEthernet0/0/20
port link-type trunk
port trunk allow-pass vlan 10 20
#
interface GigabitEthernet0/0/21
port link-type trunk
port trunk allow-pass vlan 10 20
#
interface GigabitEthernet0/0/22
#
interface GigabitEthernet0/0/23
eth-trunk 1
#
interface GigabitEthernet0/0/24
eth-trunk 1
#
Return
五、SW2的主要配置文件：
#
sysname SW2
#
vlan batch 10 20
#
stp instance 0 root secondary
#
interface Eth-Trunk1
port link-type trunk
port trunk allow-pass vlan 10 20
mode lacp-static
#
interface GigabitEthernet0/0/20
port link-type trunk
port trunk allow-pass vlan 10 20
#
interface GigabitEthernet0/0/21
#
interface GigabitEthernet0/0/22
port link-type trunk
port trunk allow-pass vlan 10 20
#
interface GigabitEthernet0/0/23
eth-trunk 1
#
interface GigabitEthernet0/0/24
eth-trunk 1
#
return
六、FW1的主要配置文件：
#
sysname FW1
#
hrp enable
hrp interface GigabitEthernet1/0/2 remote 1.1.1.2
#
interface GigabitEthernet1/0/0
undo shutdown
undo service-manage enable
#
interface GigabitEthernet1/0/0.10
vlan-type dot1q 10
ip address 192.168.10.3 255.255.255.0
vrrp vrid 1 virtual-ip 192.168.10.1 active
service-manage ping permit
#
interface GigabitEthernet1/0/0.20
vlan-type dot1q 20
ip address 192.168.20.3 255.255.255.0
vrrp vrid 2 virtual-ip 192.168.20.1 active
service-manage ping permit
#
interface GigabitEthernet1/0/1
undo shutdown
#
interface GigabitEthernet1/0/2
undo shutdown
ip address 1.1.1.1 255.255.255.0
#
interface GigabitEthernet1/0/3
undo shutdown
ip address 10.1.1.3 255.255.255.0
vrrp vrid 3 virtual-ip 10.1.1.1 active
#
firewall zone local
set priority 100
#
firewall zone trust
set priority 85
add interface GigabitEthernet1/0/0.10
#
firewall zone untrust
set priority 5
add interface GigabitEthernet1/0/3
detect ftp
#
firewall zone dmz
set priority 50
add interface GigabitEthernet1/0/0.20
#
firewall zone name ha id 4
set priority 90
add interface GigabitEthernet1/0/2
#
firewall detect ftp
#
nat server 0 zone untrust protocol tcp global 10.1.1.211 65111 inside 192.168.2
0.100 ftp
#
nat address-group 1 0
mode pat
section 0 10.1.1.200 10.1.1.210
#
security-policy
rule name TtoU
source-zone trust
destination-zone untrust
source-address 192.168.10.0 mask 255.255.255.0
action permit
rule name UtoD
source-zone untrust
destination-zone dmz
destination-address 192.168.20.100 mask 255.255.255.255
action permit
rule name TtoD
source-zone trust
destination-zone dmz
destination-address 192.168.20.100 mask 255.255.255.255
action permit
#
nat-policy
rule name TtoD
source-zone trust
destination-zone dmz
source-address 192.168.10.0 mask 255.255.255.0
destination-address 192.168.20.100 mask 255.255.255.255
action source-nat address-group 1
#
return
七、FW2的主要配置文件：
#
sysname FW2
#
hrp enable
hrp interface GigabitEthernet1/0/2 remote 1.1.1.1
#
interface GigabitEthernet1/0/0.10
vlan-type dot1q 10
ip address 192.168.10.2 255.255.255.0
vrrp vrid 1 virtual-ip 192.168.10.1 standby
#
interface GigabitEthernet1/0/0.20
vlan-type dot1q 20
ip address 192.168.20.2 255.255.255.0
vrrp vrid 2 virtual-ip 192.168.20.1 standby
#
interface GigabitEthernet1/0/1
undo shutdown
#
interface GigabitEthernet1/0/2
undo shutdown
ip address 1.1.1.2 255.255.255.0
#
interface GigabitEthernet1/0/3
undo shutdown
ip address 10.1.1.2 255.255.255.0
vrrp vrid 3 virtual-ip 10.1.1.1 standby
#
firewall zone local
set priority 100
#
firewall zone trust
set priority 85
add interface GigabitEthernet1/0/0.10
#
firewall zone untrust
set priority 5
add interface GigabitEthernet1/0/3
detect ftp
#
firewall zone dmz
set priority 50
add interface GigabitEthernet1/0/0.20
#
firewall zone name ha id 4
set priority 90
add interface GigabitEthernet1/0/2
#
firewall detect ftp
#
nat server 0 zone untrust protocol tcp global 10.1.1.211 65111 inside 192.168.20.100 ftp
#
nat address-group 1 0
mode pat
section 0 10.1.1.200 10.1.1.210
#
security-policy
rule name TtoU
source-zone trust
destination-zone untrust
source-address 192.168.10.0 mask 255.255.255.0
action permit
rule name UtoD
source-zone untrust
destination-zone dmz
destination-address 192.168.20.100 mask 255.255.255.255
action permit
rule name TtoD
source-zone trust
destination-zone dmz
destination-address 192.168.20.100 mask 255.255.255.255
action permit
#
nat-policy
rule name TtoD
source-zone trust
destination-zone dmz
source-address 192.168.10.0 mask 255.255.255.0
destination-address 192.168.20.100 mask 255.255.255.255
action source-nat address-group 1
#
return
八、验证结果
1、PC1能正常ping通PC2。
PC>ping 10.1.1.100 -t
Ping 10.1.1.100: 32 data bytes, Press Ctrl_C to break
From 10.1.1.100: bytes=32 seq=1 ttl=126 time=78 ms
From 10.1.1.100: bytes=32 seq=2 ttl=126 time=62 ms
From 10.1.1.100: bytes=32 seq=3 ttl=126 time=78 ms
--- 10.1.1.100 ping statistics ---
3 packet(s) transmitted
3 packet(s) received
0.00% packet loss
round-trip min/avg/max = 62/72/78 ms
2、在SW3——SW1——FW1——FW4的链路上断开，PC1能够正常Ping通PC2。
3、PC2可以通过ftp 10.1.1.211:65111访问Server1的ftp服务。
4、PC1访问Server1时是转换成10.1.1.200至10.1.1.210的ip地址后访问server1的
HRP_M[FW2]dis firewall session table
2021-01-22 05:15:08.660
Current Total Sessions : 9
icmp VPN: public --> public 192.168.10.100:24671[10.1.1.208:2056]--> 192.168
.20.100:2048
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 3561739510@qq.com 举报，一经查实，本站将立刻删除。
转载请注明来自专注SEO技术,教程,推广 - 8848SEO，本文标题：《虚拟机双机热备解决方案（详解防火墙VRRP、双机热备、链路聚合、MSTP综合配置）》
标签：防火墙
- 搜索
- 最新文章
-
- 华为Pura80Ultra首销售罄 新增XMAGE个性色卡水印
- 269起，小米AI眼镜等多款智能穿戴新品开售 看看你喜欢哪款？
- 小米YU7价格25.35万元起，雷军黑衬衫造型出圈，健身效果显著
- 小米 MIX Flip 2 首发评测：是性能最强小折叠，也是小米拍立得
- 千呼万唤始出来！米哈游《原神》鸿蒙版测试招募正式开启
- 索尼宣布PS Plus订阅价再度上涨，索尼：订的人越来越多
- 魔兽怀旧服：新饰品测试结果，提升最大职业确定，这些专精可无视
- 华为最成功的5台手机，你用过吗？
- 小米刚刚曝光的新品小米手环多功能桌搭，我有点心动了亓言纪语：
- 3分钟破20万单！只比SU7贵3万，售价25.35万元起的小米YU7谁在买
- 热门文章
-
- 抖音视频剪辑如何提升画质？有哪些技巧可以实现极致画质？
- 抖音猫视频剪辑教程？如何快速制作有趣猫视频？
- 抖音视频剪辑技巧有哪些？如何编辑出高质量内容？
- 美食剪辑抖音怎么做的？有哪些技巧和步骤？
- 华为突然官宣降价：机型、影响全解析，在数码圈激起千层浪
- 抖音剪辑切片怎么操作？视频切片的正确步骤是什么？
- 促销活动无人问津怎么办？如何吸引顾客？
- 网站推广计划如何制定？有效策略有哪些？
- 抖音音频剪辑真实收入怎么算？如何计算收益？
- 小红书视频剪辑合成技巧有哪些？如何快速完成视频编辑？
- 怎么在网站上搜索关键词？搜索技巧和常见问题解答？
- 小红书视频拍摄与剪辑技巧有哪些？如何快速上手？
- 怎么剪辑抖音歌曲作品视频？视频剪辑新手指南是什么？
- 小红书不会剪辑怎么办呢？视频编辑技巧大公开！
- 抖音热点视频剪辑怎么做？如何快速掌握热点视频制作技巧？
- 小红书视频剪辑技巧？剪映编辑功能如何使用？
- 抖音如何剪辑电视剧片段？剪辑技巧和步骤是什么？
- 剪映抖音里面的音乐怎么剪辑？操作步骤和技巧是什么？
- 抖音汽车销售剪辑视频怎么做？如何制作吸引人的汽车销售视频？
- 抖音实录歌曲怎么剪辑的？剪辑步骤和技巧是什么？
- 热门tag
