• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

08-典型配置举例

目录

34-高可靠性典型配置举例

本章节下载 34-高可靠性典型配置举例  (951.68 KB)

docurl=/cn/Service/Document_Software/Document_Center/Home/Security/00-Public/Configure/Operation_Manual/H3C_WCG(V7)/08/202202/1553547_30005_0.htm

34-高可靠性典型配置举例

高可靠性典型配置举例

简介

 

本文档介绍HAHigh Availability,高可靠性)的典型配置举例。

配置前提

 

本文档不严格与具体软、硬件版本对应,如果使用过程中与产品实际情况有差异,请以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解高可靠性、VRRPTrack等特性。

 

在部署HA功能之前,请先保证主/备设备的硬件环境的一致和软件环境的一致。

硬件环境一致

部署HA前,请先保证主/备设备硬件环境的一致,具体要求如下:

·     /备设备的型号必须一致。

·     /备设备上主控板、业务板、交换网板和接口板的类型、位置和数量必须一致。

·     /备设备上管理接口、业务接口、控制通道接口和数据通道接口需要分别使用相互独立的接口,且所使用的相关接口编号和类型必须一致。

·     /备设备上硬盘的类型、位置和数量建议一致。未安装硬盘的设备日志存储量将远低于安装了硬盘的设备,而且部分日志和报表功能不可用。

软件环境一致

部署HA前,请先保证主/备设备软件环境的一致性,具体要求如下:

·     /备设备的系统软件环境及其版本必须一致,如:Boot包、System包、Feature包和补丁包等等。

·     /备设备上被授权的特征库和特性环境必须一致,如:特征库的种类,每类特征库的版本、授权时间范围、授权的资源数等等。

·     /备设备的接口编号必须一致。

·     /备设备之间建立HA控制通道和数据通道的接口类型、速率和编号等信息必须一致,推荐使用聚合接口。

·     /备设备上聚合接口的编号、成员接口编号必须一致。

·     /备设备相同编号的接口必须加入相同的安全域。

HA与其他特性配合使用

HANAT

HA联动VRRP的组网环境中,必须将NAT相关配置(NAT策略、NAT动态转换、NAT静态转换、NAT内部服务器)与VRRP备份组进行绑定,否则NAT无法正常工作。

HASSL VPN

HA组网环境中,必须在SSL VPN全局配置中配置SSL VPN在高可靠性中传输用户数据的端口,否则SSL VPN功能在HA组网环境中不能正常使用。

SSL VPN功能仅支持在HA主备模式下运行,不支持在HA双主模式下运行。

HA与应用安全

HA透明直连双主的非对称路径组网环境中,需要使用应用安全相关业务时,必须在应用安全的“高级配置”中开启DPI业务支持高可靠性功能。否则,可能会出现应用安全业务无法准确识别和处理报文的问题。

HA联动VRRP三层直连主备组网典型配置举例IPv4

组网需求

-1所示,某公司以Device作为网络边界安全防护设备,连接公司内部网络和Internet。为提高业务稳定性,使用两台Device进行HA组网,Device A作为主设备,Device B作为备设备。当Device A或其链路发生故障时,由Device B接替Device A继续工作,保证业务不中断。

图-1 HA联动VRRP三层直连主备组网图

 

使用版本

本举例是在F1060F9345版本上进行配置和验证的。

配置步骤

此典型配置举例中各设备上的具体配置步骤如下。

配置Switch A

# Switch A上创建VLAN 10,并将连接Device ADevice BRouter的接口设置成工作在二层模式,接口链路类型为Access,并将此接口加入VLAN 10

配置Switch B

# Switch B上创建VLAN 10,并将连接Device ADevice BHost的接口设置成工作在二层模式,接口链路类型为Access,并将此接口加入VLAN 10

配置Router

# 配置接口GigabitEthernet1/0/1IPv4地址为2.1.1.15/24

# 配置路由信息,去往内网流量的下一跳IPv4地址为VRRP备份组1的虚拟IPv4地址2.1.1.3,去往Internet流量的下一跳IPv4地址为出接口对端的IPv4地址。

配置Device A

基础配置

1.     配置接口的IP地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv4地址”页签,配置IP地址/掩码:2.1.1.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     加入到安全域:Trust

·     IP地址/掩码:10.1.1.1/24

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/3,配置如下。

·     IP地址/掩码:10.2.1.1/24

·     其他配置项使用缺省值

2.     配置路由

本举例仅以静态路由为例,若实际组网中需采用动态路由,请配置对应的动态路由协议。

# 选择“网络 > 路由 > 静态路由 > IPv4静态路由”,单击<新建>按钮,进入新建IPv4静态路由页面。

# 新建IPv4静态路由,并进行如下配置:

·     目的IP地址:0.0.0.0

·     掩码长度:0

·     下一跳IP地址:2.1.1.15

·     其他配置项使用缺省值

# 单击<确定>按钮,完成静态路由的配置。

3.     配置安全策略,允许所需的业务报文通过

此部分安全策略只需在主管理设备配置,HA组网完成后,从管理设备会自动同步这些安全策略配置信息。

# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称:trust-untrust

·     源安全域:Trust

·     目的安全域:Untrust

·     类型IPv4

·     动作允许

·     IPv4地址:10.1.1.0/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

4.     配置安全策略,允许VRRP协议报文通过

HA通道断时,使Device ADevice B之间可以交换VRRP报文,进行VRRP角色竞选,保证网络互通。

此部分安全策略只需在主管理设备配置,HA组网完成后,从管理设备会自动同步这些安全策略配置信息。

# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称vrrp1

·     源安全域:Trust

·     目的安全域Local

·     类型IPv4

·     动作允许

·     服务对象组:vrrp

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称vrrp2

·     源安全域:Local

·     目的安全域Trust

·     类型IPv4

·     动作允许

·     服务对象组:vrrp

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称vrrp3

·     源安全域:Untrust

·     目的安全域Local

·     类型IPv4

·     动作允许

·     服务对象组:vrrp

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称vrrp4

·     源安全域:Local

·     目的安全域:Untrust

·     类型IPv4

·     动作允许

·     服务对象组:vrrp

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

配置高可靠性

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-2 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置HA联动VRRP

# 选择“系统 > 高可靠性 > VRRP”,单击<新建>按钮,进入新建VRRP备份组页面。具体配置如下图所示。

图-3 配置HA联动VRRP备份组1

 

图-4 配置HA联动VRRP备份组2

 

# 单击<确定>按钮,完成配置。

配置安全业务

# 以上有关HA的配置部署完成后,可以配置各种安全业务。对于HA支持配置信息备份的功能模块仅需要在此主管理设备上(Device A)进行配置即可。

配置Device B

基础配置

1.     配置接口的IP地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv4地址”页签,配置IP地址/掩码:2.1.1.2/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     加入到安全域:Trust

·     IP地址/掩码:10.1.1.2/24

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/3,配置如下。

·     IP地址/掩码:10.2.1.2/24

·     其他配置项使用缺省值

2.     配置路由

本举例仅以静态路由为例,若实际组网中需采用动态路由,请配置对应的动态路由协议。

# 选择“网络 > 路由 > 静态路由 > IPv4静态路由”,单击<新建>按钮,进入新建IPv4静态路由页面。

# 新建IPv4静态路由,并进行如下配置:

·     目的IP地址:0.0.0.0

·     掩码长度:0

·     下一跳IP地址:2.1.1.15

·     其他配置项使用缺省值

# 单击<确定>按钮,完成静态路由的配置。

3.     配置高可靠性

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-5 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置HA联动VRRP

# 选择“系统 > 高可靠性 > VRRP”,单击<新建>按钮,进入新建VRRP备份组页面。具体配置如下图所示。

图-6 配置HA联动VRRP备份组1

 

图-7 配置HA联动VRRP备份组2

 

# 单击<确定>按钮,完成配置。

配置Host

# 配置Host的默认网关为VRRP备份组2的虚拟IPv4地址10.1.1.3

验证配置

# 在安全域TrustUntrust的域间策略上开启记录日志功能后,当内网HostInternet之间有流量经过时,Device A上会有日志生成,而Device B上没有日志生成。

HA联动VRRP三层直连双主组网典型配置举例(IPv4

组网需求

图-8所示,某公司以Device作为网络边界安全防护设备,连接公司内部网络和Internet。为提高业务稳定性,使用两台Device进行HA组网,需要两台Device同时处理业务,提高业务处理能力。但是当Device A或其链路发生故障时,Device B可以接替Device A继续工作,保证业务不会中断。

图-8 HA联动VRRP三层直连双主组网图

 

使用版本

本举例是在F1060F9345版本上进行配置和验证的。

配置步骤

此典型配置举例中各设备上的具体配置步骤如下。

配置Switch A

# Switch A上创建VLAN 10,并将连接Device ADevice BRouter的接口设置成工作在二层模式,接口链路类型为Access,并将此接口加入VLAN 10

配置Switch B

# Switch B上创建VLAN 10,并将连接Device ADevice BHost的接口设置成工作在二层模式,接口链路类型为Access,并将此接口加入VLAN 10

配置Router

# 配置接口GigabitEthernet1/0/1IPv4地址为2.1.1.15/24

# 配置路由信息,去往一部分内网流量(如Host 1)的下一跳IPv4地址为VRRP备份组1的虚拟IPv4地址2.1.1.3,去往另一部分内网流量(如Host 3)的下一跳IPv4地址为VRRP备份组2的虚拟IPv4地址2.1.1.4,去往Internet流量的下一跳IPv4地址为出接口对端的IPv4地址。

配置Device A

基础配置

1.     配置接口的IP地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv4地址”页签,配置IP地址/掩码:2.1.1.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     加入到安全域:Trust

·     IP地址/掩码:10.1.1.1/24

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/3,配置如下。

·     IP地址/掩码:10.2.1.1/24

·     其他配置项使用缺省值

2.     配置路由

本举例仅以静态路由为例,若实际组网中需采用动态路由,请配置对应的动态路由协议。

# 选择“网络 > 路由 > 静态路由 > IPv4静态路由”,单击<新建>按钮,进入新建IPv4静态路由页面。

# 新建IPv4静态路由,并进行如下配置:

·     目的IP地址:0.0.0.0

·     掩码长度:0

·     下一跳IP地址:2.1.1.15

·     其他配置项使用缺省值

# 单击<确定>按钮,完成静态路由的配置。

3.     配置安全策略,允许所需的业务报文通过

此部分安全策略只需在主管理设备配置,HA组网完成后,从管理设备会自动同步这些安全策略配置信息。

# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称:trust-untrust

·     源安全域:Trust

·     目的安全域:Untrust

·     类型IPv4

·     动作允许

·     IPv4地址:10.1.1.0/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

4.     配置安全策略,允许VRRP协议报文通过

HA通道断时,使Device ADevice B之间可以交换VRRP报文,进行VRRP角色竞选,保证网络互通。

此部分安全策略只需在主管理设备配置,HA组网完成后,从管理设备会自动同步这些安全策略配置信息。

# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称vrrp1

·     源安全域:Trust

·     目的安全域Local

·     类型IPv4

·     动作允许

·     服务对象组:vrrp

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称vrrp2

·     源安全域:Local

·     目的安全域Trust

·     类型IPv4

·     动作允许

·     服务对象组:vrrp

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称vrrp3

·     源安全域:Untrust

·     目的安全域Local

·     类型IPv4

·     动作允许

·     服务对象组:vrrp

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称vrrp4

·     源安全域:Local

·     目的安全域:Untrust

·     类型IPv4

·     动作允许

·     服务对象组:vrrp

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

配置高可靠性

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-9 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置HA联动VRRP

# 选择“系统 > 高可靠性 > VRRP”,单击<新建>按钮,进入新建VRRP备份组页面。具体配置如下图所示。

图-10 配置HA联动VRRP备份组1

 

图-11 配置HA联动VRRP备份组2

 

图-12 配置HA联动VRRP备份组3

 

图-13 配置HA联动VRRP备份组4

 

# 单击<确定>按钮,完成配置。

配置安全业务

# 以上有关HA的配置部署完成后,可以配置各种安全业务。对于HA支持配置信息备份的功能模块仅需要在此主管理设备上(Device A)进行配置即可。

配置Device B

基础配置

1.     配置接口的IP地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv4地址”页签,配置IP地址/掩码:2.1.1.2/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     加入到安全域:Trust

·     IP地址/掩码:10.1.1.2/24

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/3,配置如下。

·     IP地址/掩码:10.2.1.2/24

·     其他配置项使用缺省值

2.     配置路由

本举例仅以静态路由为例,若实际组网中需采用动态路由,请配置对应的动态路由协议。

# 选择“网络 > 路由 > 静态路由 > IPv4静态路由”,单击<新建>按钮,进入新建IPv4静态路由页面。

# 新建IPv4静态路由,并进行如下配置:

·     目的IP地址:0.0.0.0

·     掩码长度:0

·     下一跳IP地址:2.1.1.15

·     其他配置项使用缺省值

# 单击<确定>按钮,完成静态路由的配置。

3.     配置高可靠性

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-14 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置HA联动VRRP

# 选择“系统 > 高可靠性 > VRRP”,单击<新建>按钮,进入新建VRRP备份组页面。具体配置如下图所示。

图-15 配置HA联动VRRP备份组1

 

图-16 配置HA联动VRRP备份组2

 

图-17 配置HA联动VRRP备份组3

 

图-18 配置HA联动VRRP备份组4

 

# 单击<确定>按钮,完成配置。

配置Host

# 配置一部分Host(如Host 1)的默认网关为VRRP备份组3的虚拟IPv4地址10.1.1.3,配置另一部分Host(如Host 3)的默认网关为VRRP备份组4的虚拟IPv4地址10.1.1.4

验证配置

# 在安全域TrustUntrust的域间策略上开启记录日志功能后,当内网Host 1Host 2Internet之间有流量经过时,Device A上会有日志生成,而Device B上没有日志生成。当内Host 3Internet之间有流量经过时,Device B上会有日志生成,而Device A上没有日志生成。

HA联动路由三层直连主备组网典型配置举例(IPv4

组网需求

图-19所示,某公司以Device作为网络边界安全防护设备,连接公司内部网络和InternetDevice的上、下行业务接口均为三层接口,上下行连接路由器,Device与路由器之间运行OSPFv2协议。为提高业务稳定性,使用两台Device进行HA组网,Device A作为主设备,Device B作为备设备。当Device A或其链路发生故障时,由Device B接替Device A继续工作,保证业务不中断。

图-19 HA联动路由三层直连主备组网图

 

使用版本

本举例是在F1060F9345版本上进行配置和验证的。

配置步骤

此典型配置举例中各设备上的具体配置步骤如下。

配置Router A

# 配置接口GigabitEthernet1/0/1IPv4地址为2.1.1.2/24

# 配置接口GigabitEthernet1/0/2IPv4地址为2.1.10.2/24

# 配置OSPF路由协议,保证路由可达,具体步骤略。

配置Router B

# 配置接口GigabitEthernet1/0/1IPv4地址为10.1.1.2/24

# 配置接口GigabitEthernet1/0/2IPv4地址为10.1.10.2/24

# 配置OSPF路由协议,保证路由可达,具体步骤略。

配置Device A

基础配置

1.     配置接口的IP地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv4地址”页签,配置IP地址/掩码:2.1.1.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     加入到安全域:Trust

·     IP地址/掩码:10.1.1.1/24

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/3,配置如下。

·     IP地址/掩码:10.2.1.1/24

·     其他配置项使用缺省值

2.     配置路由

本举例仅以OSPF为例,若实际组网中需采用其他动态路由,请配置对应的动态路由协议。

# 选择“网络 > 路由 > OSPF”,进入OSPF配置页面。

# OSPF配置页面,单击<新建>按钮,创建OSPF实例,并进行如下配置:

·     版本:OSPFv2

·     实例名称:1

·     路由器标识:2.1.1.1

·     其他配置项使用缺省值

# 单击<确定>按钮,完成OSPF实例创建。

# OSPF配置页面,单击目标OSPF实例“OSPF区域数目”列中的数字,跳转至OSPF区域配置页面,单击<新建>按钮,配置OSPF区域,并进行如下配置:

·     区域ID0.0.0.0

·     网络:添加网段2.1.1.0/2410.1.1.0/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成OSPF区域配置。

3.     配置安全策略,允许所需的业务报文通过

此部分安全策略只需在主管理设备配置,HA组网完成后,从管理设备会自动同步这些安全策略配置信息。

# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称:trust-untrust

·     源安全域:Trust

·     目的安全域:Untrust

·     类型IPv4

·     动作允许

·     IPv4地址:20.1.1.0/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

4.     配置安全策略,允许OSPF协议报文通过

此部分安全策略只需在主管理设备配置,HA组网完成后,从管理设备会自动同步这些安全策略配置信息。

# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称ospf1

·     源安全域:Trust

·     目的安全域Local

·     类型IPv4

·     动作允许

·     服务对象组:ospf

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称ospf2

·     源安全域:Local

·     目的安全域Trust

·     类型IPv4

·     动作允许

·     服务对象组:ospf

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称ospf3

·     源安全域:Untrust

·     目的安全域Local

·     类型IPv4

·     动作允许

·     服务对象组:ospf

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称ospf4

·     源安全域:Local

·     目的安全域:Untrust

·     类型IPv4

·     动作允许

·     服务对象组:ospf

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

配置高可靠性

# 选择“系统 > 高可靠性 > Track”,单击<新建>按钮,进入新建Track项页面,并进行如下配置:

·     Track项:1

·     监测模块:接口

·     监测接口:GE1/0/1

·     其他配置项使用缺省值

# 按照以上同样的步骤创建Track2,监测接口GE1/0/2的状态,具体配置步骤略。

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-20 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置安全业务

# 以上有关HA的配置部署完成后,可以配置各种安全业务。对于HA支持配置信息备份的功能模块仅需要在此主管理设备上(Device A)进行配置即可。

配置Device B

基础配置

1.     配置接口的IP地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv4地址”页签,配置IP地址/掩码:2.1.10.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     加入到安全域:Trust

·     IP地址/掩码:10.1.10.1/24

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/3,配置如下。

·     IP地址/掩码:10.2.1.2/24

·     其他配置项使用缺省值

2.     配置路由

本举例仅以OSPF为例,若实际组网中需采用其他动态路由,请配置对应的动态路由协议。

# 选择“网络 > 路由 > OSPF”,进入OSPF配置页面。

# OSPF配置页面,单击<新建>按钮,创建OSPF实例,并进行如下配置:

·     版本:OSPFv2

·     实例名称:1

·     路由器标识:2.1.10.1

·     其他配置项使用缺省值

# 单击<确定>按钮,完成OSPF实例创建。

# OSPF配置页面,单击目标OSPF实例“OSPF区域数目”列中的数字,跳转至OSPF区域配置页面,单击<新建>按钮,配置OSPF区域,并进行如下配置:

·     区域ID0.0.0.0

·     网络:添加网段2.1.10.0/2410.1.10.0/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成OSPF区域配置。

3.     配置高可靠性

# 选择“系统 > 高可靠性 > Track”,单击<新建>按钮,进入新建Track项页面,并进行如下配置:

·     Track项:1

·     监测模块:接口

·     监测接口:GE1/0/1

·     其他配置项使用缺省值

# 按照以上同样的步骤创建Track2,监测接口GE1/0/2的状态,具体配置步骤略。

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-21 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置Host

# 配置Host的默认网关为20.1.1.1

验证配置

# 在安全域TrustUntrust的域间策略上开启记录日志功能后,当内网HostInternet之间有流量经过时,Device A上会有日志生成,而Device B上没有日志生成。

HA联动路由三层直连双主组网典型配置举例(IPv4

组网需求

图-22所示,某公司以Device作为网络边界安全防护设备,连接公司内部网络和InternetDevice的上、下行业务接口均为三层接口,上下行连接路由器,Device与路由器之间运行OSPFv2协议。为提高业务稳定性,使用两台Device进行HA组网,需要两台Device同时处理业务,提高业务处理能力。但是当Device A或其链路发生故障时,Device B可以接替Device A继续工作,保证业务不会中断。

图-22 HA联动路由三层直连双主组网图

 

使用版本

本举例是在F1060F9345版本上进行配置和验证的。

配置步骤

此典型配置举例中各设备上的具体配置步骤如下。

配置Router A

# 配置接口GigabitEthernet1/0/1IPv4地址为2.1.1.2/24

# 配置接口GigabitEthernet1/0/2IPv4地址为2.1.10.2/24

# 配置OSPF路由协议,保证路由可达,具体步骤略。

# 配置IP转发模式为逐流的负载分担方式。

配置Router B

# 配置接口GigabitEthernet1/0/1IPv4地址为10.1.1.2/24

# 配置接口GigabitEthernet1/0/2IPv4地址为10.1.10.2/24

# 配置OSPF路由协议,保证路由可达,具体步骤略。

# 配置IP转发模式为逐流的负载分担方式。

配置Device A

基础配置

1.     配置接口的IP地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv4地址”页签,配置IP地址/掩码:2.1.1.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     加入到安全域:Trust

·     IP地址/掩码:10.1.1.1/24

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/3,配置如下。

·     IP地址/掩码:10.2.1.1/24

·     其他配置项使用缺省值

2.     配置路由

本举例仅以OSPF为例,若实际组网中需采用其他动态路由,请配置对应的动态路由协议。

# 选择“网络 > 路由 > OSPF”,进入OSPF配置页面。

# OSPF配置页面,单击<新建>按钮,创建OSPF实例,并进行如下配置:

·     版本:OSPFv2

·     实例名称:1

·     路由器标识:2.1.1.1

·     其他配置项使用缺省值

# 单击<确定>按钮,完成OSPF实例创建。

# OSPF配置页面,单击目标OSPF实例“OSPF区域数目”列中的数字,跳转至OSPF区域配置页面,单击<新建>按钮,配置OSPF区域,并进行如下配置:

·     区域ID0.0.0.0

·     网络:添加网段2.1.1.0/2410.1.1.0/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成OSPF区域配置。

3.     配置安全策略,允许所需的业务报文通过

此部分安全策略只需在主管理设备配置,HA组网完成后,从管理设备会自动同步这些安全策略配置信息。

# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称:trust-untrust

·     源安全域:Trust

·     目的安全域:Untrust

·     类型IPv4

·     动作允许

·     IPv4地址:20.1.1.0/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

4.     配置安全策略,允许OSPF协议报文通过

此部分安全策略只需在主管理设备配置,HA组网完成后,从管理设备会自动同步这些安全策略配置信息。

# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称ospf1

·     源安全域:Trust

·     目的安全域Local

·     类型IPv4

·     动作允许

·     服务对象组:ospf

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称ospf2

·     源安全域:Local

·     目的安全域Trust

·     类型IPv4

·     动作允许

·     服务对象组:ospf

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称ospf3

·     源安全域:Untrust

·     目的安全域Local

·     类型IPv4

·     动作允许

·     服务对象组:ospf

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称ospf4

·     源安全域:Local

·     目的安全域:Untrust

·     类型IPv4

·     动作允许

·     服务对象组:ospf

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

配置高可靠性

# 选择“系统 > 高可靠性 > Track”,单击<新建>按钮,进入新建Track项页面,并进行如下配置:

·     Track项:1

·     监测模块:接口

·     监测接口:GE1/0/1

·     其他配置项使用缺省值

# 按照以上同样的步骤创建Track2,监测接口GE1/0/2的状态,具体配置步骤略。

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-23 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置安全业务

# 以上有关HA的配置部署完成后,可以配置各种安全业务。对于HA支持配置信息备份的功能模块仅需要在此主管理设备上(Device A)进行配置即可。

配置Device B

基础配置

1.     配置接口的IP地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv4地址”页签,配置IP地址/掩码:2.1.10.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     加入到安全域:Trust

·     IP地址/掩码:10.1.10.1/24

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/3,配置如下。

·     IP地址/掩码:10.2.1.2/24

·     其他配置项使用缺省值

2.     配置路由

本举例仅以OSPF为例,若实际组网中需采用其他动态路由,请配置对应的动态路由协议。

# 选择“网络 > 路由 > OSPF”,进入OSPF配置页面。

# OSPF配置页面,单击<新建>按钮,创建OSPF实例,并进行如下配置:

·     版本:OSPFv2

·     实例名称:1

·     路由器标识:2.1.10.1

·     其他配置项使用缺省值

# 单击<确定>按钮,完成OSPF实例创建。

# OSPF配置页面,单击目标OSPF实例“OSPF区域数目”列中的数字,跳转至OSPF区域配置页面,单击<新建>按钮,配置OSPF区域,并进行如下配置:

·     区域ID0.0.0.0

·     网络:添加网段2.1.10.0/2410.1.10.0/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成OSPF区域配置。

3.     配置高可靠性

# 选择“系统 > 高可靠性 > Track”,单击<新建>按钮,进入新建Track项页面,并进行如下配置:

·     Track项:1

·     监测模块:接口

·     监测接口:GE1/0/1

·     其他配置项使用缺省值

# 按照以上同样的步骤创建Track2,监测接口GE1/0/2的状态,具体配置步骤略。

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-24 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置Host

# 配置Host的默认网关为20.1.1.1

验证配置

# 在安全域TrustUntrust的域间策略上开启记录日志功能后,当内网HostInternet之间有流量经过时,Device ADevice B上均会有日志生成。

HA透明直连主备组网典型配置举例(IPv4

组网需求

图-25所示,某公司以Device作为网络边界安全防护设备,连接公司内部网络和InternetDevice的上、下行业务接口均为二层接口。为提高业务稳定性,使用两台Device进行HA组网,Device A作为主设备,Device B作为备设备。当Device A或其链路发生故障时,由Device B接替Device A继续工作,保证业务不中断。

图-25 HA透明直连主备组网图

 

使用版本

本举例是在F1060F9345版本上进行配置和验证的。

配置步骤

此典型配置举例中各设备上的具体配置步骤如下。

配置Switch A

# Switch A上创建VLAN 10,并将连接Device ADevice BRouter的接口设置成工作在二层模式,接口链路类型为Access,并将接口加入VLAN 10

配置Switch B

# Switch B上创建VLAN 10,并将连接Device ADevice BHost的接口设置成工作在二层模式,接口链路类型为Access,并将此接口加入VLAN 10

配置Device A

基础配置

1.     配置二层业务接口

# 选择“网络 > 链路 > VLAN”,进入VLAN配置页面。

# 单击<新建>按钮,进入新建VLAN页面,并进行如下配置。

·     VLAN列表10

·     其他配置项使用缺省值

# 单击<确定>按钮,完成相关配置。

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     首先将此接口的工作模式设置为:二层模式

·     安全域:Untrust

·     选择“VLAN地址”页签,进行如下配置:

○          链路类型Acess

○          PVID10

·     其他配置项使用缺省值

# 单击<确定>按钮,完成相关配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     首先将此接口的工作模式设置为:二层模式

·     安全域:Trust

·     选择“VLAN地址”页签,进行如下配置:

○          链路类型Acess

○          PVID10

·     其他配置项使用缺省值

2.     配置接口的IP地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/3右侧的<编辑>按钮,配置如下。

·     选择“IPv4地址”页签,配置IP地址/掩码:10.2.1.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

3.     配置安全策略,允许所需的业务报文通过

此部分安全策略只需在主管理设备配置,HA组网完成后,从管理设备会自动同步这些安全策略配置信息。

# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称:trust-untrust

·     源安全域:Trust

·     目的安全域:Untrust

·     类型IPv4

·     动作允许

·     IPv4地址:10.1.1.0/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

4.     配置高可靠性

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-26 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置安全业务

# 以上有关HA的配置部署完成后,可以配置各种安全业务。对于HA支持配置信息备份的功能模块仅需要在此主管理设备上(Device A)进行配置即可。

配置Device B

基础配置

1.     配置二层业务接口

# 选择“网络 > 链路 > VLAN”,进入VLAN配置页面。

# 单击<新建>按钮,进入新建VLAN页面,并进行如下配置。

·     VLAN列表10

·     其他配置项使用缺省值

# 单击<确定>按钮,完成相关配置。

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     首先将此接口的工作模式设置为:二层模式

·     安全域:Untrust

·     选择“VLAN地址”页签,进行如下配置:

○          链路类型Acess

○          PVID10

·     其他配置项使用缺省值

# 单击<确定>按钮,完成相关配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     首先将此接口的工作模式设置为:二层模式

·     安全域:Trust

·     选择“VLAN地址”页签,进行如下配置:

○          链路类型Acess

○          PVID10

·     其他配置项使用缺省值

2.     配置接口的IP地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/3右侧的<编辑>按钮,配置如下。

·     选择“IPv4地址”页签,配置IP地址/掩码:10.2.1.2/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

3.     配置高可靠性

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-27 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置Host

# 配置Host的默认网关为10.1.1.1

验证配置

# 在安全域TrustUntrust的域间策略上开启记录日志功能后,当内网HostInternet之间有流量经过时,Device A上会有日志生成,而Device B上没有日志生成。

HA透明直连双主组网典型配置举例(IPv4

组网需求

图-28所示,某公司以Device作为网络边界安全防护设备,连接公司内部网络和InternetDevice的上、下行业务接口均为二层接口。为提高业务稳定性,使用两台Device进行HA组网,需要两台Device同时处理业务,提高业务处理能力。但是当Device A或其链路发生故障时,Device B可以接替Device A继续工作,保证业务不会中断。

图-28 HA透明直连双主组网图

 

使用版本

本举例是在F1060F9345版本上进行配置和验证的。

配置步骤

此典型配置举例中各设备上的具体配置步骤如下。

配置Router A

# Router A上配置OSPF功能使流量可以到达Internet和内网主机,同时保证Router A到达内网主机的流量可以在两条链路上进行负载分担。

配置Router B

# Router B上配置OSPF功能使流量可以到达Internet和内网主机,同时保证Router B到达Internet的流量可以在两条链路上进行负载分担。

配置Device A

基础配置

1.     配置二层业务接口

# 选择“网络 > 链路 > VLAN”,进入VLAN配置页面。

# 单击<新建>按钮,进入新建VLAN页面,并进行如下配置。

·     VLAN列表10

·     其他配置项使用缺省值

# 单击<确定>按钮,完成相关配置。

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     首先将此接口的工作模式设置为:二层模式

·     安全域:Untrust

·     选择“VLAN地址”页签,进行如下配置:

○          链路类型Acess

○          PVID10

·     其他配置项使用缺省值

# 单击<确定>按钮,完成相关配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     首先将此接口的工作模式设置为:二层模式

·     安全域:Trust

·     选择“VLAN地址”页签,进行如下配置:

○          链路类型Acess

○          PVID10

·     其他配置项使用缺省值

2.     配置接口的IP地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/3右侧的<编辑>按钮,配置如下。

·     选择“IPv4地址”页签,配置IP地址/掩码:10.2.1.1/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

3.     配置安全策略,允许所需的业务报文通过

此部分安全策略只需在主管理设备配置,HA组网完成后,从管理设备会自动同步这些安全策略配置信息。

# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称:trust-untrust

·     源安全域:Trust

·     目的安全域:Untrust

·     类型IPv4

·     动作允许

·     IPv4地址:10.1.1.0/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

4.     配置安全策略,允许OSPF协议报文通过

此部分安全策略只需在主管理设备配置,HA组网完成后,从管理设备会自动同步这些安全策略配置信息。

# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称ospf1

·     源安全域:Trust

·     目的安全域Untrust

·     类型IPv4

·     动作允许

·     服务对象组:ospf

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称ospf2

·     源安全域:Untrust

·     目的安全域Trust

·     类型IPv4

·     动作允许

·     服务对象组:ospf

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

配置高可靠性

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-29 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置安全业务

# 以上有关HA的配置部署完成后,可以配置各种安全业务。对于HA支持配置信息备份的功能模块仅需要在此主管理设备上(Device A)进行配置即可。

配置Device B

基础配置

1.     配置二层业务接口

# 选择“网络 > 链路 > VLAN”,进入VLAN配置页面。

# 单击<新建>按钮,进入新建VLAN页面,并进行如下配置。

·     VLAN列表10

·     其他配置项使用缺省值

# 单击<确定>按钮,完成相关配置。

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     首先将此接口的工作模式设置为:二层模式

·     安全域:Untrust

·     选择“VLAN地址”页签,进行如下配置:

○          链路类型Acess

○          PVID10

·     其他配置项使用缺省值

# 单击<确定>按钮,完成相关配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     首先将此接口的工作模式设置为:二层模式

·     安全域:Trust

·     选择“VLAN地址”页签,进行如下配置:

○          链路类型Acess

○          PVID10

·     其他配置项使用缺省值

2.     配置接口的IP地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/3右侧的<编辑>按钮,配置如下。

·     选择“IPv4地址”页签,配置IP地址/掩码:10.2.1.2/24

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IP地址和安全域的配置。

3.     配置高可靠性

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-30 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置Host

# 配置Host的默认网关为10.1.1.1

验证配置

# 在安全域TrustUntrust的域间策略上开启记录日志功能后,当内网HostInternet之间有流量经过时,Device ADevice B上均会有日志生成。

HA联动VRRP三层直连主备组网典型配置举例(IPv6

组网需求

图-31所示,某公司以Device作为网络边界安全防护设备,连接公司内部网络和Internet。为提高业务稳定性,使用两台Device进行HA组网,Device A作为主设备,Device B作为备设备。当Device A或其链路发生故障时,由Device B接替Device A继续工作,保证业务不中断。

图-31 HA联动VRRP三层直连主备组网图

 

使用版本

本举例是在F1060F9345版本上进行配置和验证的。

配置步骤

此典型配置举例中各设备上的具体配置步骤如下。

配置Switch A

# Switch A上创建VLAN 10,并将连接Device ADevice BRouter的接口设置成工作在二层模式,接口链路类型为Access,并将此接口加入VLAN 10

配置Switch B

# Switch B上创建VLAN 10,并将连接Device ADevice BHost的接口设置成工作在二层模式,接口链路类型为Access,并将此接口加入VLAN 10

配置Router

# 配置接口GigabitEthernet1/0/1IPv6地址为3003::15/64

# 配置路由信息,去往内网流量的下一跳IPv6地址为VRRP备份组1的虚拟IPv6地址3003::3/64,去往Internet流量的下一跳IPv6地址为出接口对端的IPv6地址。

配置Device A

基础配置

1.     配置接口的IPv6地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv6地址”页签,配置内容如下:

○          全球单播地址:地址为3003::1,前缀长度为64

○          链路本地地址:fe80::3:1

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IPv6地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     加入到安全域:Trust

·     选择“IPv6地址”页签,配置内容如下:

○          全球单播地址:地址为3001::1,前缀长度为64

○          链路本地地址:fe80::1:1

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/3,配置如下。

·     选择“IPv6地址”页签,配置内容如下:

○          全球单播地址:地址为3005::1,前缀长度为64

○          链路本地地址:选择自动方式生成

·     其他配置项使用缺省值

2.     配置路由

本举例仅以静态路由为例,若实际组网中需采用动态路由,请配置对应的动态路由协议。

# 选择“网络 > 路由 > 静态路由 > IPv6静态路由”,单击<新建>按钮,进入新建IPv6静态路由页面。

# 新建IPv6静态路由,并进行如下配置:

·     目的IPv6地址:0::0

·     前缀长度:0

·     下一跳IPv6地址:3003::15

·     其他配置项使用缺省值

# 单击<确定>按钮,完成静态路由的配置。

3.     配置安全策略,允许所需的业务报文通过

此部分安全策略只需在主管理设备配置,HA组网完成后,从管理设备会自动同步这些安全策略配置信息。

# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称:trust-untrust

·     源安全域:Trust

·     目的安全域:Untrust

·     类型IPv6

·     动作允许

·     IPv6地址:3001::0/64

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

4.     配置安全策略,允许VRRP协议报文通过

HA通道断时,使Device ADevice B之间可以交换VRRP报文,进行VRRP角色竞选,保证网络互通。

此部分安全策略只需在主管理设备配置,HA组网完成后,从管理设备会自动同步这些安全策略配置信息。

# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称vrrp1

·     源安全域:Trust

·     目的安全域Local

·     类型IPv6

·     动作允许

·     服务对象组:vrrp

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称vrrp2

·     源安全域:Local

·     目的安全域Trust

·     类型IPv6

·     动作允许

·     服务对象组:vrrp

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称vrrp3

·     源安全域:Untrust

·     目的安全域Local

·     类型IPv6

·     动作允许

·     服务对象组:vrrp

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称vrrp4

·     源安全域:Local

·     目的安全域:Untrust

·     类型IPv6

·     动作允许

·     服务对象组:vrrp

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

配置高可靠性

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-32 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置HA联动VRRP

# 选择“系统 > 高可靠性 > VRRP”,单击<新建>按钮,进入新建VRRP备份组页面。具体配置如下图所示。

图-33 配置HA联动VRRP备份组1

 

图-34 配置HA联动VRRP备份组2

 

# 单击<确定>按钮,完成配置。

配置安全业务

# 以上有关HA的配置部署完成后,可以配置各种安全业务。对于HA支持配置信息备份的功能模块仅需要在此主管理设备上(Device A)进行配置即可。

配置Device B

基础配置

1.     配置接口的IPv6地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv6地址”页签,配置内容如下:

○          全球单播地址:地址为3003::2,前缀长度为64

○          链路本地地址:fe80::3:2

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IPv6地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     加入到安全域:Trust

·     选择“IPv6地址”页签,配置内容如下:

○          全球单播地址:地址为3001::2,前缀长度为64

○          链路本地地址:fe80::1:2

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/3,配置如下。

·     选择“IPv6地址”页签,配置内容如下:

○          全球单播地址:地址为3005::2,前缀长度为64

○          链路本地地址:选择自动方式生成

·     其他配置项使用缺省值

2.     配置路由

本举例仅以静态路由为例,若实际组网中需采用动态路由,请配置对应的动态路由协议。

# 选择“网络 > 路由 > 静态路由 > IPv6静态路由”,单击<新建>按钮,进入新建IPv6静态路由页面。

# 新建IPv6静态路由,并进行如下配置:

·     目的IPv6地址:0::0

·     前缀长度:0

·     下一跳IPv6地址:3003::15

·     其他配置项使用缺省值

# 单击<确定>按钮,完成静态路由的配置。

3.     配置高可靠性

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-35 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置HA联动VRRP

# 选择“系统 > 高可靠性 > VRRP”,单击<新建>按钮,进入新建VRRP备份组页面。具体配置如下图所示。

图-36 配置HA联动VRRP备份组1

 

图-37 配置HA联动VRRP备份组2

 

# 单击<确定>按钮,完成配置。

配置Host

# 配置Host的默认网关为VRRP备份组2的虚拟IPv6地址3003::3

验证配置

# 在安全域TrustUntrust的域间策略上开启记录日志功能后,当内网HostInternet之间有流量经过时,Device A上会有日志生成,而Device B上没有日志生成。

HA联动路由三层直连双主组网典型配置举例(IPv6

组网需求

图-38所示,某公司以Device作为网络边界安全防护设备,连接公司内部网络和InternetDevice的上、下行业务接口均为三层接口,上下行连接路由器,Device与路由器之间运行OSPFv3协议。为提高业务稳定性,使用两台Device进行HA组网,需要两台Device同时处理业务,提高业务处理能力。但是当Device A或其链路发生故障时,Device B可以接替Device A继续工作,保证业务不会中断。

图-38 HA联动路由三层直连双主组网图

 

使用版本

本举例是在F1060F9345版本上进行配置和验证的。

配置步骤

此典型配置举例中各设备上的具体配置步骤如下。

配置Router A

# 配置接口GigabitEthernet1/0/1IPv6地址为3003::2/64

# 配置接口GigabitEthernet1/0/2IPv6地址为3004::2/64

# 配置OSPFv3路由协议,保证路由可达,具体步骤略。

# 配置IP转发模式为逐流的负载分担方式。

配置Router B

# 配置接口GigabitEthernet1/0/1IPv6地址为3001::2/64

# 配置接口GigabitEthernet1/0/2IPv6地址为3002::2/64

# 配置OSPFv3路由协议,保证路由可达,具体步骤略。

# 配置IP转发模式为逐流的负载分担方式。

配置Device A

基础配置

1.     配置接口的IPv6地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv6地址”页签,配置内容如下:

○          全球单播地址:地址为3003::1,前缀长度为64

○          链路本地地址:选择自动方式生成

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IPv6地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     加入到安全域:Trust

·     选择“IPv6地址”页签,配置内容如下:

○          全球单播地址:地址为3001::1,前缀长度为64

○          链路本地地址:选择自动方式生成

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/3,配置如下。

·     选择“IPv6地址”页签,配置内容如下:

○          全球单播地址:地址为3005::1,前缀长度为64

○          链路本地地址:选择自动方式生成

·     其他配置项使用缺省值

2.     配置路由

本举例仅以OSPF为例,若实际组网中需采用其他动态路由,请配置对应的动态路由协议。

# 选择“网络 > 路由 > OSPF”,进入OSPF配置页面。

# OSPF配置页面,单击<新建>按钮,创建OSPFv3实例,并进行如下配置:

·     版本:OSPFv3

·     实例名称:1

·     路由器标识:2.1.1.1

·     其他配置项使用缺省值

# 单击<确定>按钮,完成OSPFv3实例创建。

# OSPF配置页面,单击目标OSPFv3实例“OSPF区域数目”列中的数字,跳转至OSPFv3区域配置页面,单击<新建>按钮,配置OSPFv3区域,并进行如下配置:

·     区域ID0.0.0.0

·     其他配置项使用缺省值

# OSPF配置页面,单击目标OSPFv3实例“已启用接口数目”列中的数字,跳转至0SPFv3接口实例配置页面,单击<新建>按钮,并进行如下配置:

·     区域ID0.0.0.0

·     接口名称:GE1/0/1

·     接口实例ID1

# 单击<确定>按钮,完成OSPF接口实例配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     区域ID0.0.0.0

·     接口名称:GE1/0/2

·     接口实例ID1

3.     配置安全策略,允许所需的业务报文通过

此部分安全策略只需在主管理设备配置,HA组网完成后,从管理设备会自动同步这些安全策略配置信息。

# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称:trust-untrust

·     源安全域:Trust

·     目的安全域:Untrust

·     类型IPv6

·     动作允许

·     IPv4地址:2001::0/64

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

4.     配置安全策略,允许OSPF协议报文通过

此部分安全策略只需在主管理设备配置,HA组网完成后,从管理设备会自动同步这些安全策略配置信息。

# 选择“策略 > 安全策略 > 安全策略”,单击<新建>按钮,选择新建策略,进入新建安全策略页面。

# 新建安全策略,并进行如下配置:

·     名称ospf1

·     源安全域:Trust

·     目的安全域Local

·     类型IPv6

·     动作允许

·     服务对象组:ospf

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称ospf2

·     源安全域:Local

·     目的安全域Trust

·     类型IPv6

·     动作允许

·     服务对象组:ospf

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称ospf3

·     源安全域:Untrust

·     目的安全域Local

·     类型IPv6

·     动作允许

·     服务对象组:ospf

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

# 新建安全策略,并进行如下配置:

·     名称ospf4

·     源安全域:Local

·     目的安全域:Untrust

·     类型IPv6

·     动作允许

·     服务对象组:ospf

·     其他配置项使用缺省值

# 单击<确定>按钮,完成安全策略的配置。

配置高可靠性

# 选择“系统 > 高可靠性 > Track”,单击<新建>按钮,进入新建Track项页面,并进行如下配置:

·     Track项:1

·     监测模块:接口

·     监测接口:GE1/0/1

·     其他配置项使用缺省值

# 按照以上同样的步骤创建Track2,监测接口GE1/0/2的状态,具体配置步骤略。

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-39 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置安全业务

# 以上有关HA的配置部署完成后,可以配置各种安全业务。对于HA支持配置信息备份的功能模块仅需要在此主管理设备上(Device A)进行配置即可。

配置Device B

基础配置

1.     配置接口的IPv6地址

# 选择“网络 > 接口 > 接口”,进入接口配置页面。

# 单击接口GE1/0/1右侧的<编辑>按钮,配置如下。

·     安全域:Untrust

·     选择“IPv6地址”页签,配置内容如下:

○          全球单播地址:地址为3002::1,前缀长度为64

○          链路本地地址:选择自动方式生成

·     其他配置项使用缺省值

# 单击<确定>按钮,完成接口IPv6地址和安全域的配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     加入到安全域:Trust

·     选择“IPv6地址”页签,配置内容如下:

○          全球单播地址:地址为3004::1,前缀长度为64

○          链路本地地址:选择自动方式生成

·     其他配置项使用缺省值

# 按照同样的步骤配置接口GE1/0/3,配置如下。

·     选择“IPv6地址”页签,配置内容如下:

○          全球单播地址:地址为3005::2,前缀长度为64

○          链路本地地址:选择自动方式生成

·     其他配置项使用缺省值

2.     配置路由

本举例仅以OSPF为例,若实际组网中需采用其他动态路由,请配置对应的动态路由协议。

# 选择“网络 > 路由 > OSPF”,进入OSPF配置页面。

# OSPF配置页面,单击<新建>按钮,创建OSPFv3实例,并进行如下配置:

·     版本:OSPFv3

·     实例名称:1

·     路由器标识:2.1.10.1

·     其他配置项使用缺省值

# 单击<确定>按钮,完成OSPFv3实例创建。

# OSPF配置页面,单击目标OSPFv3实例“OSPF区域数目”列中的数字,跳转至OSPFv3区域配置页面,单击<新建>按钮,配置OSPFv3区域,并进行如下配置:

·     区域ID0.0.0.0

·     其他配置项使用缺省值

# 单击<确定>按钮,完成OSPv3F区域配置。

# OSPF配置页面,单击目标OSPFv3实例“已启用接口数目”列中的数字,跳转至0SPFv3接口实例配置页面,单击<新建>按钮,并进行如下配置:

·     区域ID0.0.0.0

·     接口名称:GE1/0/1

·     接口实例ID1

# 单击<确定>按钮,完成OSPF接口实例配置。

# 按照同样的步骤配置接口GE1/0/2,配置如下。

·     区域ID0.0.0.0

·     接口名称:GE1/0/2

·     接口实例ID1

3.     配置高可靠性

# 选择“系统 > 高可靠性 > Track”,单击<新建>按钮,进入新建Track项页面,并进行如下配置:

·     Track项:1

·     监测模块:接口

·     监测接口:GE1/0/1

·     其他配置项使用缺省值

# 按照以上同样的步骤创建Track2,监测接口GE1/0/2的状态,具体配置步骤略。

# 选择“系统 > 高可靠性 > 高可靠性”,单击<配置>按钮,进入配置高可靠性页面。具体配置如下图所示。

图-40 配置高可靠性

 

# 单击<确定>按钮,完成配置。

配置Host

# 配置Host的默认网关为2002::1

验证配置

# 在安全域TrustUntrust的域间策略上开启记录日志功能后,当内网HostInternet之间有流量经过时,Device ADevice B上均会有日志生成,。

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们