09-典型配置舉例

43-雙機熱備典型配置舉例

雙機熱備典型配置舉例

本章包含內容如下：

· 簡介

· 配置前提

· 使用限製

· HA聯動VRRP三層直連主備組網典型配置舉例（IPv4）

· HA聯動VRRP三層直連雙主組網典型配置舉例（IPv4）

· HA聯動路由三層直連主備組網典型配置舉例（IPv4）

· HA聯動路由三層直連雙主組網典型配置舉例（IPv4）

· HA透明直連主備組網典型配置舉例（IPv4）

· HA透明直連雙主組網典型配置舉例（IPv4）

· HA聯動VRRP三層直連主備組網典型配置舉例（IPv6）

· HA聯動路由三層直連雙主組網典型配置舉例（IPv6）

簡介

本文檔介紹HA（High Availability,高可靠性）的典型配置舉例，下文中使用的HA概念無特殊說明的情況下均指雙機熱備（RBM）技術。

配置前提

本文檔不嚴格與具體軟、硬件版本對應，如果使用過程中與產品實際情況有差異，請以設備實際情況為準。

本文檔中的配置均是在實驗室環境下進行的配置和驗證，配置前設備的所有參數均采用出廠時的缺省配置。如果您已經對設備進行了配置，為了保證配置效果，請確認現有配置和以下舉例中的配置不衝突。

本文檔假設您已了解雙機熱備、VRRP、Track等特性。

使用限製

在部署HA功能之前，請先保證主/備設備的硬件環境的一致和軟件環境的一致。

硬件環境一致

部署HA前，請先保證主/備設備硬件環境的一致，具體要求如下：

· 主/備設備的型號必須一致。

· 主/備設備上主控板、業務板、交換網板和接口板的類型、位置和數量必須一致。

· 主/備設備上管理接口、業務接口、控製通道接口和數據通道接口需要分別使用相互獨立的接口，且所使用的相關接口編號和類型必須一致。

· 主/備設備上硬盤的類型、位置和數量建議一致。未安裝硬盤的設備日誌存儲量將遠低於安裝了硬盤的設備，而且部分日誌和報表功能不可用。

軟件環境一致

部署HA前，請先保證主/備設備軟件環境的一致性，具體要求如下：

· 主/備設備的係統軟件環境及其版本必須一致，如：Boot包、System包、Feature包和補丁包等等。

· 主/備設備上被授權的特征庫和特性環境必須一致，如：特征庫的種類，每類特征庫的版本、授權時間範圍、授權的資源數等等。

· 主/備設備的接口編號必須一致。

· 主/備設備之間建立HA控製通道和數據通道的接口類型、速率和編號等信息必須一致，推薦使用靜態聚合接口。

· 主/備設備上聚合接口的編號、成員接口編號必須一致。

· 主/備設備相同編號的接口必須加入相同的安全域。

HA與其他特性配合使用

HA與NAT

在HA聯動VRRP的組網環境中，必須將NAT相關配置（NAT策略、NAT動態轉換、NAT靜態轉換、NAT內部服務器）與VRRP備份組進行綁定，否則NAT無法正常工作。

HA與SSL VPN

在HA組網環境中，必須在SSL VPN的”全局配置”中配置SSL VPN在雙機熱備中傳輸用戶數據的端口，否則SSL VPN功能在HA組網環境中不能正常使用。

SSL VPN功能僅支持在HA+VRR的主備模式下進行可靠性部署，不支持在HA的其他主備和雙主模式下進行可靠性部署。

HA與應用安全

在HA透明直連雙主的非對稱路徑組網環境中，需要使用應用安全相關業務時，必須在應用安全的“高級配置”中開啟DPI業務支持雙機熱備功能。否則，可能會出現應用安全業務無法準確識別和處理報文的問題。

HA聯動VRRP三層直連主備組網典型配置舉例（IPv4）

組網需求

如圖-1所示，某公司以Device作為網絡邊界安全防護設備，連接公司內部網絡和Internet。為提高業務穩定性，使用兩台Device進行HA組網，Device A作為主設備，Device B作為備設備。當Device A或其鏈路發生故障時，由Device B接替Device A繼續工作，保證業務不中斷。

圖-1 HA聯動VRRP三層直連主備組網圖

使用版本

本舉例是在F1000-AI-55的R8860版本上進行配置和驗證的。

配置步驟

此典型配置舉例中各設備上的具體配置步驟如下。

配置Switch A

# 在Switch A上創建VLAN 10，並將連接Device A、Device B和Router的接口設置成工作在二層模式，接口鏈路類型為Access，並將此接口加入VLAN 10。

配置Switch B

# 在Switch B上創建VLAN 10，並將連接Device A、Device B和Host的接口設置成工作在二層模式，接口鏈路類型為Access，並將此接口加入VLAN 10。

配置Router

# 配置接口GigabitEthernet1/0/7的IPv4地址為2.1.1.15/24。

# 配置路由信息，去往內網流量的下一跳IPv4地址為VRRP備份組1的虛擬IPv4地址2.1.1.3，去往Internet流量的下一跳IPv4地址為出接口對端的IPv4地址。

配置Device A

基礎配置

1. 配置接口的IP地址

# 選擇“網絡 > 接口 > 接口”，進入接口配置頁麵。

# 單擊接口GE1/0/1右側的<編輯>按鈕，配置如下。

· 安全域：Untrust

· 選擇“IPv4地址”頁簽，配置IP地址/掩碼：2.1.1.1/24

· 其他配置項使用缺省值

# 單擊<確定>按鈕，完成接口IP地址和安全域的配置。

# 按照同樣的步驟配置接口GE1/0/2，配置如下。

· 加入到安全域：Trust

· IP地址/掩碼：10.1.1.1/24

· 其他配置項使用缺省值

# 按照同樣的步驟配置接口GE1/0/3，配置如下。

· IP地址/掩碼：10.2.1.1/24

· 其他配置項使用缺省值

2. 配置路由

本舉例僅以靜態路由為例，若實際組網中需采用動態路由，請配置對應的動態路由協議。

# 選擇“網絡 > 路由 > 靜態路由 > IPv4靜態路由”，單擊<新建>按鈕，進入新建IPv4靜態路由頁麵。

# 新建IPv4靜態路由，並進行如下配置：

· 目的IP地址：0.0.0.0

· 掩碼長度：0

· 下一跳IP地址：2.1.1.15

· 其他配置項使用缺省值

# 單擊<確定>按鈕，完成靜態路由的配置。

3. 配置安全策略，允許所需的業務報文通過

此部分安全策略隻需在主管理設備配置，HA組網完成後，從管理設備會自動同步這些安全策略配置信息。

# 選擇“策略 > 安全策略 > 安全策略”，單擊<新建>按鈕，選擇新建策略，進入新建安全策略頁麵。

# 新建安全策略，並進行如下配置：

· 名稱：trust-untrust

· 源安全域：Trust

· 目的安全域：Untrust

· 類型：IPv4

· 動作：允許

· 源IPv4地址：10.1.1.0/24

· 其他配置項使用缺省值

# 單擊<確定>按鈕，完成安全策略的配置。

4. 配置安全策略，允許VRRP協議報文通過

當HA通道斷開時，使Device A與Device B之間可以交換VRRP報文，進行VRRP角色競選，保證網絡互通。

此部分安全策略隻需在主管理設備配置，HA組網完成後，從管理設備會自動同步這些安全策略配置信息。

# 選擇“策略 > 安全策略 > 安全策略”，單擊<新建>按鈕，選擇新建策略，進入新建安全策略頁麵。

# 新建安全策略，並進行如下配置：

· 名稱：vrrp1

· 源安全域：Trust

· 目的安全域：Local

· 類型：IPv4

· 動作：允許

· 服務對象組：vrrp

· 其他配置項使用缺省值

# 單擊<確定>按鈕，完成安全策略的配置。

# 新建安全策略，並進行如下配置：

· 名稱：vrrp2

· 源安全域：Local

· 目的安全域：Trust

· 類型：IPv4

· 動作：允許

· 服務對象組：vrrp

· 其他配置項使用缺省值

# 單擊<確定>按鈕，完成安全策略的配置。

# 新建安全策略，並進行如下配置：

· 名稱：vrrp3

· 源安全域：Untrust

· 目的安全域：Local

· 類型：IPv4

· 動作：允許

· 服務對象組：vrrp

· 其他配置項使用缺省值

# 單擊<確定>按鈕，完成安全策略的配置。

# 新建安全策略，並進行如下配置：

· 名稱：vrrp4

· 源安全域：Local

· 目的安全域：Untrust

· 類型：IPv4

· 動作：允許

· 服務對象組：vrrp

· 其他配置項使用缺省值

# 單擊<確定>按鈕，完成安全策略的配置。

配置雙機熱備

# 選擇“係統 > 高可靠性 > 雙機熱備”，單擊<配置>按鈕，進入配置雙機熱備頁麵。具體配置如下圖所示。

圖-2 配置雙機熱備

# 單擊<確定>按鈕，完成配置。

配置HA聯動VRRP

# 選擇“係統 > 高可靠性 > VRRP”，單擊<新建>按鈕，進入新建VRRP備份組頁麵。具體配置如下圖所示。

圖-3 配置HA聯動VRRP備份組1

圖-4 配置HA聯動VRRP備份組2

# 單擊<確定>按鈕，完成配置。

配置安全業務

# 以上有關HA的配置部署完成後，可以配置各種安全業務。對於HA支持配置信息備份的功能模塊僅需要在此主管理設備上（Device A）進行配置即可。

配置Device B

基礎配置

1. 配置接口的IP地址

# 選擇“網絡 > 接口 > 接口”，進入接口配置頁麵。

# 單擊接口GE1/0/1右側的<編輯>按鈕，配置如下。

· 安全域：Untrust

· 選擇“IPv4地址”頁簽，配置IP地址/掩碼：2.1.1.2/24

· 其他配置項使用缺省值

# 單擊<確定>按鈕，完成接口IP地址和安全域的配置。

# 按照同樣的步驟配置接口GE1/0/2，配置如下。

· 加入到安全域：Trust

· IP地址/掩碼：10.1.1.2/24

· 其他配置項使用缺省值

# 按照同樣的步驟配置接口GE1/0/3，配置如下。

· IP地址/掩碼：10.2.1.2/24

· 其他配置項使用缺省值

2. 配置路由

本舉例僅以靜態路由為例，若實際組網中需采用動態路由，請配置對應的動態路由協議。

# 選擇“網絡 > 路由 > 靜態路由 > IPv4靜態路由”，單擊<新建>按鈕，進入新建IPv4靜態路由頁麵。

# 新建IPv4靜態路由，並進行如下配置：

· 目的IP地址：0.0.0.0

· 掩碼長度：0

· 下一跳IP地址：2.1.1.15

· 其他配置項使用缺省值

# 單擊<確定>按鈕，完成靜態路由的配置。

配置雙機熱備

# 選擇“係統 > 高可靠性 > 雙機熱備”，單擊<配置>按鈕，進入配置雙機熱備頁麵。具體配置如下圖所示。

圖-5 配置雙機熱備

# 單擊<確定>按鈕，完成配置。

配置HA聯動VRRP

# 選擇“係統 > 高可靠性 > VRRP”，單擊<新建>按鈕，進入新建VRRP備份組頁麵。具體配置如下圖所示。

圖-6 配置HA聯動VRRP備份組1

圖-7 配置HA聯動VRRP備份組2

# 單擊<確定>按鈕，完成配置。

配置Host

# 配置Host的默認網關為VRRP備份組2的虛擬IPv4地址10.1.1.3。

驗證配置

# 在安全域Trust與Untrust的安全策略上開啟記錄日誌功能後，當內網Host與Internet之間有流量經過時，Device A上會有日誌生成，而Device B上沒有日誌生成。

HA聯動VRRP三層直連雙主組網典型配置舉例（IPv4）

組網需求

如圖-8所示，某公司以Device作為網絡邊界安全防護設備，連接公司內部網絡和Internet。為提高業務穩定性，使用兩台Device進行HA組網，需要兩台Device同時處理業務，提高業務處理能力。但是當Device A或其鏈路發生故障時，Device B可以接替Device A繼續工作，保證業務不會中斷。

圖-8 HA聯動VRRP三層直連雙主組網圖

使用版本

本舉例是在F1000-AI-55的R8860版本上進行配置和驗證的。