防火墙双机热备实验
实验拓扑实验目的企业的两台防火墙的业务接口都工作在三层上下行分别连接二层交换机。上行交换机连接运营商的接入点运营商为企业分配的IP地址为1.1.1.1。现在希望两台防火墙以主备备份方式工作。正常情况下流量通过FW1转发。当FW1出现故障时流量通过FW2转发保证业务不中断。配置过程1.配置接口IP地址R1:interface GigabitEthernet0/0/0 ip address 1.1.1.254 255.255.255.0FW1:interface GigabitEthernet1/0/0 ip address 10.10.1.1 255.255.255.0 interface GigabitEthernet1/0/1 ip address 10.10.2.1 255.255.255.0 interface GigabitEthernet1/0/2 ip address 10.10.100.1 255.255.255.0FW2:interface GigabitEthernet1/0/0 ip address 10.10.1.2 255.255.255.0 interface GigabitEthernet1/0/1 ip address 10.10.2.2 255.255.255.0 interface GigabitEthernet1/0/2 ip address 10.10.100.2 255.255.255.02.查看ip地址 display ip interface brief3.将各接口加入安全区域FW1:firewall zone trust set priority 85 add interface GigabitEthernet0/0/0 add interface GigabitEthernet1/0/1 # firewall zone untrust set priority 5 add interface GigabitEthernet1/0/0 # firewall zone dmz set priority 50 add interface GigabitEthernet1/0/2FW2:firewall zone trust set priority 85 add interface GigabitEthernet0/0/0 add interface GigabitEthernet1/0/1 # firewall zone untrust set priority 5 add interface GigabitEthernet1/0/0 # firewall zone dmz set priority 50 add interface GigabitEthernet1/0/24.查看区域是否添加成功 display zone5.配置缺省路由 ip route-static 0.0.0.0 0.0.0.0 1.1.1.254FW1:FW2:6.配置vrrp备份组FW1:在防火墙FW1上行业务接口GE1/0/0上配置VRRP备份组1并设置其状态为Active。在防火墙FW1上行业务接口GE1/0/1上配置VRRP备份组2并设置其状态为Active。FW2:在防火墙FW1上行业务接口GE1/0/0上配置VRRP备份组1并设置其状态为Standby。在防火墙FW1上行业务接口GE1/0/1上配置VRRP备份组2并设置其状态为Standby。7.指定心跳分别在防火墙FW1和FW2上指定心跳然后启用双机热备功能。FW1:FW2:8.配置安全策略允许内网用户访问internetPS: 这里只需在防火墙FW1上配置安全策略。双机热备状态成功建立后FW1的安全策略配置会自动备份到FW2上。FW1:9.配置nat策略在防火墙FW1上配置NAT策略。双机热备状态成功建立后FW1的NAT策略配置会自动备份到FW2上。FW1:10.外网路由器配置在AR1上配置到防火墙的等价路由路由下一跳指向VRRP备份组1的虚拟IP地址。[R1]ip route-static 10.10.2.0 255.255.255.0 1.1.1.1验证1.执行display vrrp命令检查VRRP组内接口的状态信息FW1:FW2:以上信息表示VRRP组建立成功。2.执行display hrp state verbose命令检查当前VGMP组的状态FW1:FW2:3.查看防火墙会话状态:FW1:FW2:4.测试连通性
