防火墙双机热备实验

实验拓扑：

实验目的：

企业的两台防火墙的业务接口都工作在三层，上下行分别连接二层交换机。

上行交换机连接运营商的接入点，运营商为企业分配的IP地址为1.1.1.1。

现在希望两台防火墙以主备备份方式工作。

正常情况下，流量通过FW1转发。当FW1出现故障时，流量通过FW2转发，保证业务不中断。

配置过程：

1.配置接口IP地址

R1:

interface GigabitEthernet0/0/0 ip address 1.1.1.254 255.255.255.0

FW1:

interface GigabitEthernet1/0/0 ip address 10.10.1.1 255.255.255.0 interface GigabitEthernet1/0/1 ip address 10.10.2.1 255.255.255.0 interface GigabitEthernet1/0/2 ip address 10.10.100.1 255.255.255.0

FW2:

interface GigabitEthernet1/0/0 ip address 10.10.1.2 255.255.255.0 interface GigabitEthernet1/0/1 ip address 10.10.2.2 255.255.255.0 interface GigabitEthernet1/0/2 ip address 10.10.100.2 255.255.255.0

2.查看ip地址 display ip interface brief

3.将各接口加入安全区域

FW1:

firewall zone trust set priority 85 add interface GigabitEthernet0/0/0 add interface GigabitEthernet1/0/1 # firewall zone untrust set priority 5 add interface GigabitEthernet1/0/0 # firewall zone dmz set priority 50 add interface GigabitEthernet1/0/2

FW2:

firewall zone trust set priority 85 add interface GigabitEthernet0/0/0 add interface GigabitEthernet1/0/1 # firewall zone untrust set priority 5 add interface GigabitEthernet1/0/0 # firewall zone dmz set priority 50 add interface GigabitEthernet1/0/2

4.查看区域是否添加成功 display zone

5.配置缺省路由 ip route-static 0.0.0.0 0.0.0.0 1.1.1.254

FW1:

FW2:

6.配置vrrp备份组

FW1:

在防火墙FW1上行业务接口GE1/0/0上配置VRRP备份组1，并设置其状态为Active。

在防火墙FW1上行业务接口GE1/0/1上配置VRRP备份组2，并设置其状态为Active。

FW2:

在防火墙FW1上行业务接口GE1/0/0上配置VRRP备份组1，并设置其状态为Standby。

在防火墙FW1上行业务接口GE1/0/1上配置VRRP备份组2，并设置其状态为Standby。

7.指定心跳

分别在防火墙FW1和FW2上指定心跳，然后启用双机热备功能。

FW1:

FW2:

8.配置安全策略，允许内网用户访问internet

PS: 这里只需在防火墙FW1上配置安全策略。双机热备状态成功建立后，FW1的安全策略配置会自动备份到FW2上。

FW1:

9.配置nat策略

在防火墙FW1上配置NAT策略。双机热备状态成功建立后，FW1的NAT策略配置会自动备份到FW2上。

FW1:

10.外网路由器配置：

在AR1上配置到防火墙的等价路由，路由下一跳指向VRRP备份组1的虚拟IP地址。

[R1]ip route-static 10.10.2.0 255.255.255.0 1.1.1.1

验证：

1.执行display vrrp命令，检查VRRP组内接口的状态信息

FW1:

FW2:

以上信息表示VRRP组建立成功。

2.执行display hrp state verbose命令，检查当前VGMP组的状态：

FW1:

FW2:

3.查看防火墙会话状态：:

FW1:

FW2:

4.测试连通性：