實驗目的
了解防火墻雙機熱備份配置，提供部署防火墻可靠性。
網絡拓撲
左側為trust域，右側為untrust域。防火墻之間配置雙機熱備份。
配置內容
master
- VRRP
由于防火墻是基于會話表匹配回程流量，流量去向和回程必須通過同一個防火墻。因此防火墻的入和出端口都要配置VRRP組
在VRRP的配置中隱含了VGMP即VRRP組的組的概念，用于保證配置在同一防火墻上的VRRP接口狀態相同。
#
interface GigabitEthernet0/0/0ip address 192.168.55.100 255.255.255.0# 虛擬IPvrrp vrid 1 virtual-ip 192.168.55.254 master# 與虛擬IP對應的虛擬MAC,基于固定前綴和vrid生成vrrp virtual-mac enable
#
interface GigabitEthernet0/0/1ip address 10.20.30.40 255.255.255.0vrrp vrid 2 virtual-ip 10.20.30.254 mastervrrp virtual-mac enable#
interface GigabitEthernet0/0/2ip address 192.168.56.2 255.255.255.0
配置效果如下：
HRP_M<F1>display vrrp
13:21:33 2025/05/11GigabitEthernet0/0/1 | Virtual Router 2VRRP Group : Master state : Master Virtual IP : 10.20.30.254Virtual MAC : 0000-5e00-0102Primary IP : 10.20.30.40PriorityRun : 120PriorityConfig : 100MasterPriority : 120Preempt : YES Delay Time : 0Advertisement Timer : 1Auth Type : NONECheck TTL : YESGigabitEthernet0/0/0 | Virtual Router 1VRRP Group : Master state : Master Virtual IP : 192.168.55.254Virtual MAC : 0000-5e00-0101Primary IP : 192.168.55.100PriorityRun : 120PriorityConfig : 100MasterPriority : 120Preempt : YES Delay Time : 0Advertisement Timer : 1Auth Type : NONECheck TTL : YES- 域間策略
#
firewall zone trustadd interface GigabitEthernet0/0/0
#
firewall zone untrustadd interface GigabitEthernet0/0/1
#
firewall zone dmzadd interface GigabitEthernet0/0/2
#
policy interzone trust untrust outboundpolicy 10action permitpolicy source 192.168.55.0 0.0.0.255
- hrp備份
通過使能hrp, master防火墻同步會話表等配置到backup防火墻。當master防火墻路徑出問題，切換原backup為master后，流量就可以正常通過。
#hrp enablehrp interface GigabitEthernet0/0/2
hrp配置成功后可看到提示符切換為master-HRP_M<F1>或slave-HRP_S<F2>
slave
- vrrp配置
#
interface GigabitEthernet0/0/0alias GE0/MGMTip address 192.168.55.200 255.255.255.0vrrp vrid 1 virtual-ip 192.168.55.254 slavevrrp virtual-mac enable
#
interface GigabitEthernet0/0/1ip address 10.20.30.50 255.255.255.0vrrp vrid 2 virtual-ip 10.20.30.254 slavevrrp virtual-mac enable
#
interface GigabitEthernet0/0/2ip address 192.168.56.200 255.255.255.0
- 域間策略
通過hrp自動同步
- hrp
#hrp enablehrp interface GigabitEthernet0/0/2
可靠性測試
trust域PC ping untrust域PC成功。抓包發現backup防火墻trust域和untrust域接口沒有icmp流量與預期一致。
shutdown左側交換機接口后，PC1仍可以ping通PC2。
防火墻的行為：
HRP_M<F1>
2025-05-11 13:26:33 F1 %%01IFNET/4/LINK_STATE(l): Line protocol on interface Gig
abitEthernet0/0/1 has turned into DOWN state.
2025-05-11 13:26:33 F1 %%01VRRP/4/STATEWARNING(l): Interface: GigabitEthernet0/0
/1, Virtual Router 2 : MASTER changed to INITIALIZE!
2025-05-11 13:26:33 F1 %%01VGMP/4/STATE(l): Virtual Router Management Group MAST
ER : MASTER --> MASTER_TO_SLAVE2025-05-11 13:26:33 F1 %%01VGMP/4/STATE(l): Virtual Router Management Group MAST
ER : MASTER_TO_SLAVE --> SLAVE2025-05-11 13:26:33 F1 %%01VRRP/4/STATEWARNING(l): Interface: GigabitEthernet0/0
/0, Virtual Router 1 : MASTER changed to BACKUP!
HRP_S<F1>
對應的F2變為master。
看state變為master, VRRP組名為Slave
HRP_M<F2>display vrrp
13:30:46 2025/05/11GigabitEthernet0/0/1 | Virtual Router 2VRRP Group : Slave state : Master Virtual IP : 10.20.30.254Virtual MAC : 0000-5e00-0102Primary IP : 10.20.30.50PriorityRun : 120PriorityConfig : 100MasterPriority : 120Preempt : YES Delay Time : 0Advertisement Timer : 1Auth Type : NONECheck TTL : YESGigabitEthernet0/0/0 | Virtual Router 1VRRP Group : Slave state : Master Virtual IP : 192.168.55.254Virtual MAC : 0000-5e00-0101Primary IP : 192.168.55.200PriorityRun : 120PriorityConfig : 100MasterPriority : 120Preempt : YES Delay Time : 0Advertisement Timer : 1Auth Type : NONECheck TTL : YES
由于默認激活了搶占模式，且延時時間為0。恢復接口狀態為up后，原master防火墻可以切換狀態為master。
HRP_S<F1>
2025-05-11 13:34:37 F1 %%01VGMP/4/STATE(l): Virtual Router Management Group MAST
ER : SLAVE --> SLAVE_TO_MASTER
2025-05-11 13:34:37 F1 %%01VGMP/4/STATE(l): Virtual Router Management Group MAST
ER : SLAVE_TO_MASTER --> MASTER
2025-05-11 13:34:37 F1 %%01VRRP/4/STATEWARNING(l): Interface: GigabitEthernet0/0
/1, Virtual Router 2 : BACKUP changed to MASTER!
2025-05-11 13:34:37 F1 %%01VRRP/4/STATEWARNING(l): Interface: GigabitEthernet0/0
/0, Virtual Router 1 : BACKUP changed to MASTER!
HRP_M<F1>
)
