SANGFOR_NGAF_V5.8_2015年度渠道高级认证培训05_高可用性_经典1范例.pptx

SANGFOR NGAF双机部署 路由模式-单VRRP部署方案 学习目的 掌握NGAF路由模式下单组VRRP场景的部署 掌握此部署方式的实施过程及注意事项 掌握此部署方式的优缺点分析能够给客户提供更优方案 原始环境描述： 客户原有防火墙做主备路由模式部署在企业网络出口 正常情况下数据从经由图中左侧【三层交换A】→【防火墙A】路径上网 当左侧链路出现故障时能够及时切换到右侧链路从【三层交换B】→【防火墙B】上网 防火墙A 防火墙B 三层交换A 三层交换B 单vrrp主/备 单vrrp主/备 1 2 1 2 1 1 2 2 原始环境介绍 Internet 切换过程 正常情况下数据从经由图中左侧【三层交换A】→【防火墙A】路径上网 当防火墙和交换机之间的链路出现故障导致【防火墙A】的【2】或者【三层交换A】的【1】口接口状态为down时防火墙和三层交换均切换到右侧链路 切换后数据流经由图中右侧【三层交换B】→【防火墙B】路径上网 防火墙A 防火墙B 三层交换A 三层交换B 单vrrp主/备 单vrrp主/备 1 2 1 2 1 1 2 2 原始环境切换过程 Internet 故障切换 故障切换 数据流方向 最终拓扑需要替换原防火墙位置，实现原有防火墙功能 最终双机切换条件需和替换前一致，即当左侧链路出现故障时能够及时切换到右侧链路从【三层交换B】→【防火墙B】上网 防火墙A 防火墙B 三层交换A 三层交换B 单vrrp主/备 单vrrp主/备 1 2 1 2 1 1 2 2 部署方案分析 Internet 防火墙A 防火墙B 三层交换A 三层交换B 单vrrp主/备 单vrrp主/备 1 2 1 2 1 1 2 2 部署方案切换过程 Internet 切换过程和原始环境一致 故障切换 故障切换 数据流方向 防火墙A 防火墙B 三层交换A 三层交换B 单vrrp主/备 单vrrp主/备 1 2 1 2 1 1 2 2 部署方案和原始环境对比 Internet 实现原有防火墙路由部署及相关安全防护功能 实现原有的双机功能（切换条件不变） 故障切换 故障切换 数据流方向 防火墙A（主） 防火墙B（备） 三层交换A（主） 三层交换B（备） 单vrrp主/备 单vrrp主/备 1 2 1 2 1 1 2 2 部署方案准备 Internet WAN：183.37.240.41 LAN：10.10.10.1 心跳主：2.2.2.1 心跳备：2.2.2.2 3SW：10.10.10.2 3SW：10.10.10.2 LAN：10.10.10.1 WAN：183.37.240.41 部署方案配置概要 主防火墙A配置思路概要 备防火墙B配置思路概要 配置基础网络配置，心跳口使用-HA，配置接口链路检测 仅配置心跳口使用-HA 配置NAT、路由、安全策略等 上线后同步主防火墙A配置 配置双机（基本信息、双机热备、配置同步） 基本配置：选择本端地址，填写对端地址，测试通信 双机热备：虚拟路由组100，优先级50，非抢占，网口监视接口【1】【2】 配置同步（启用并勾选会话表、配置同步） 配置双机（基本信息、双机热备、配置同步） 基本配置：选择本端地址，填写对端地址，测试通信 双机热备：虚拟路由组100，优先级40，非抢占，网口监视接口【1】【2】 配置同步（启用但不勾选同步内容） 断电、上架、接线先开机 断电、上架、接线待主机完全开机后开机 检查双机状态 检查双机状态，是否配置同步 部署方案配置过程 配置前需确认：①主备机网口数量一致 ②主备机序列号保持一致 ③主备机/app/appversion文件的md5一致 配置主防火墙接口配置 ：【网络配置】-【接口/区域】-【物理接口】 ① ② ③ 心跳口IP地址后加-HA 部署方案配置过程 2. 配置主防火墙默认路由：【网络配置】-【路由】-【静态路由】 新增 默认路由、回包路由等 3. 配置主防火墙地址转换（略） 4.配置主防火墙应用控制、安全策略等（略） 部署方案配置过程 5. 配置主防火墙双机配置： 【系统】-【高可用性】 【基本信息】选择本机地址（心跳口2.2.2.1），填写对端地址 2.2.2.2，点击【保存】 【双机热备】启用双机热备，配置如右图 【配置同步】启用配置同步，配置如下图 部署方案配置过程 配置备机 配置备机防火墙接口配置 ：【网络配置】-【接口/区域】-【物理接口】 备机仅配置心跳口，其他接口配置后续上架从 主设备同步 心跳口IP地址后加-HA 部署方案配置过程 2. 配置备机防火墙双机配置： 【系统】-【高可用性】 【基