华为防火墙热备的案例.doc

在核心交换机不做堆叠的情况下防火墙热备的案例 需求分析 数据中心建设高可用的网络架构，但是考虑到成本和运维，想选择一种经济实惠但是稳定可靠的架构 设计思路 1.为了节约公网IP地址所以在防火墙接口上面配置IP地址为内网地址，同时将公网IP地址设置成为VRRP组中的虚拟地址 2.在防火墙A和防火墙B上使用双链路做聚合，再将聚合端口配置好IP地址加入到HRP安全域中并指为HRP心跳检测端口 3.核心交换机A和核心交换机B使用多链路做聚合，再将聚合端口配置为trunk属性透传业务vlan，在核心交换机A上配置业务VLAN的网关并为VRRP组中的master 在核心交换机B上配置vlan的网关并作为VRRP组中的slave同时交换机上的DHCP分配都采用全局地址池的方式并指定虚拟IP地址为业务网关。 4.核心交换机与接入交换机之间采用多链路互联，并部署MSTP保证二层链路的冗余（如果考虑到业务的负载均衡可以将不同的vlan划分到不同的mstp实例中去，这里就按单实例部署） 正常情况下流量由核心交换机A和防火墙A做处理，当防火墙故障或者核心交换机故障都会触发主备的切换 防火墙A上通过配置IP-link监控外网链路或者端口状态同时与HRP主备进行联动（防火墙上的业务端口down了或者失效的情况触发HRP主备切换） 核心交换机A上通过配置vrrp组与上行端口进行联动（一旦与防火墙互联的端口down掉或者失效将会触发vrrp主备切换） 三、设计拓扑 实验拓扑 主备切换测试 1.正常情况下的流量走向  2.主防火墙故障的情况 内网一台主机ping外网的测试（掉了几个包，真实情况收敛速度会快点） 备防火墙替代主防火墙的业务，快速会话同步 防火墙B上的日志（主防火墙down掉，备防火墙承担业务） ------------------------------------------------------------------------------------------------------------------------ %2015-12-23 14:24:27 FW-B %%01IFNET/4/LINK_STATE(l): Line protocol on interface G igabitEthernet0/0/2 has turned into DOWN state. %2015-12-23 14:24:25 FW-B %%01VRRP/4/STATEWARNING(l): Interface: GigabitEthernet0 /0/0, Virtual Router 1 : BACKUP changed to MASTER! %2015-12-23 14:24:25 FW-B %%01VRRP/4/STATEWARNING(l): Interface: GigabitEthernet0 /0/1, Virtual Router 2 : BACKUP changed to MASTER! %2015-12-23 14:24:25 FW-B %%01VGMP/4/STATE(l): Virtual Router Management Group SL AVE : SLAVE -- MASTER ------------------------------------------------------------------------------------------------------------------------- 防火墙B上的HRP状态 ------------------------------------------------------------------------------------------------------------------------ HRP_MFW-Bdisplay hrp state 14:29:10 2015/12/23 The firewalls config state is: MASTER Current state of virtual routers configured as slave: GigabitEthernet0/0/1 vrid 2 : master (peer down) GigabitEthernet0/0/0 vrid 1 : master (peer down) -----------------------------------------------------------------------------------