- 1、本文档共10页,可阅读全部内容。
- 2、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
- 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
查看更多
在核心交换机不做堆叠的情况下防火墙热备的案例
需求分析
数据中心建设高可用的网络架构,但是考虑到成本和运维,想选择一种经济实惠但是稳定可靠的架构
设计思路
1.为了节约公网IP地址所以在防火墙接口上面配置IP地址为内网地址,同时将公网IP地址设置成为VRRP组中的虚拟地址
2.在防火墙A和防火墙B上使用双链路做聚合,再将聚合端口配置好IP地址加入到HRP安全域中并指为HRP心跳检测端口
3.核心交换机A和核心交换机B使用多链路做聚合,再将聚合端口配置为trunk属性透传业务vlan,在核心交换机A上配置业务VLAN的网关并为VRRP组中的master 在核心交换机B上配置vlan的网关并作为VRRP组中的slave同时交换机上的DHCP分配都采用全局地址池的方式并指定虚拟IP地址为业务网关。
4.核心交换机与接入交换机之间采用多链路互联,并部署MSTP保证二层链路的冗余(如果考虑到业务的负载均衡可以将不同的vlan划分到不同的mstp实例中去,这里就按单实例部署)
正常情况下流量由核心交换机A和防火墙A做处理,当防火墙故障或者核心交换机故障都会触发主备的切换
防火墙A上通过配置IP-link监控外网链路或者端口状态同时与HRP主备进行联动(防火墙上的业务端口down了或者失效的情况触发HRP主备切换)
核心交换机A上通过配置vrrp组与上行端口进行联动(一旦与防火墙互联的端口down掉或者失效将会触发vrrp主备切换)
三、设计拓扑
实验拓扑
主备切换测试
1.正常情况下的流量走向
2.主防火墙故障的情况
内网一台主机ping外网的测试(掉了几个包,真实情况收敛速度会快点)
备防火墙替代主防火墙的业务,快速会话同步
防火墙B上的日志(主防火墙down掉,备防火墙承担业务)
------------------------------------------------------------------------------------------------------------------------
%2015-12-23 14:24:27 FW-B %%01IFNET/4/LINK_STATE(l): Line protocol on interface G
igabitEthernet0/0/2 has turned into DOWN state.
%2015-12-23 14:24:25 FW-B %%01VRRP/4/STATEWARNING(l): Interface: GigabitEthernet0
/0/0, Virtual Router 1 : BACKUP changed to MASTER!
%2015-12-23 14:24:25 FW-B %%01VRRP/4/STATEWARNING(l): Interface: GigabitEthernet0
/0/1, Virtual Router 2 : BACKUP changed to MASTER!
%2015-12-23 14:24:25 FW-B %%01VGMP/4/STATE(l): Virtual Router Management Group SL
AVE : SLAVE -- MASTER
-------------------------------------------------------------------------------------------------------------------------
防火墙B上的HRP状态
------------------------------------------------------------------------------------------------------------------------
HRP_MFW-Bdisplay hrp state
14:29:10 2015/12/23
The firewalls config state is: MASTER
Current state of virtual routers configured as slave:
GigabitEthernet0/0/1 vrid 2 : master (peer down)
GigabitEthernet0/0/0 vrid 1 : master (peer down)
-----------------------------------------------------------------------------------
文档评论(0)