网络时代交流中心

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
查看: 2946|回复: 0

juniper防火墙透明模式HA

[复制链接]

281

主题

303

帖子

8万

积分

管理员

Rank: 9Rank: 9Rank: 9

积分
80889
发表于 2014-11-12 23:30:23 | 显示全部楼层 |阅读模式
网络拓扑:

条件要求:
软件
做HA的两台设备软件版本必须相同

Platform
Active/Passive
Active/Active
ISG Series
5.0.0 or above
5.0.0 or above
NS5000 Series
5.0.0 or above
5.0.0 or above
SSG550/550M
5.1.0 or above
5.1.0 or above
SSG520/520M
5.1.0 or above
6.0.0 or above
SSG300 Series
5.4.0 or above
5.4.0 or above
SSG 140
5.4.0 or above
6.0.0 or above
SSG5 & SSG20
5.4.0 or above*
6.0.0 or above*
NS500
5.1.0 or above
5.1.0 or above
NS200 Series
5.1.0 or above
5.1.0 or above
NS50
5.1.0 or above
Not Supported
NS25
5.1.0 or above**
Not Supported
NS5gt
5.1.0 or above***
Not Supported

注:
*   extended license required
**  Supports only NSRP Lite.
*** Supports only NSRP Lite & extended license required.
另外,如果防火墙要做透明模式的HA,那么Active/Active模式要在ScreenOS 6.1.0  or above才支持的;而且是以下平台:the SSG-500 series, NS-ISG-1000, NS-ISG-2000, and all NS-5000 platforms.

许可
两台防火墙必须有想同功能的软件许可;

硬件
两台防火墙必须是相同的硬件,有相同的模块;


网络详情:
这里配置举例使用设备ISG1000,两台做HA,A/S模式,ethernet1/1为信任端口,ethernet1/2为非信任端口,ethernet1/4为HA接口;

详细配置:
1、             配置主设备
set interface "ethernet1/1" zone "V1-Trust"
set interface "ethernet1/2" zone "V1-Untrust"
set interface "ethernet1/4" zone "HA"

set interface vlan1 ip 10.0.0.1/24
set interface vlan1 manage-ip 10.0.0.2

set interface vlan1 ip manageable
set zone V1-Untrust manage ping
set zone V1-Untrust manage web

set policy id 2 from "V1-Trust" to "V1-Untrust" "Any" "Any" "ANY" permit

set route 0.0.0.0/0 interface vlan1 gateway 10.0.0.254

set nsrp cluster id 1
set nsrp rto-mirror sync
set nsrp vsd-group id 0 priority 10
set nsrp vsd-group id 0 preempt
set nsrp vsd-group id 0 monitor interface ethernet1/1
set nsrp vsd-group id 0 monitor interface ethernet1/2

2、             配置备设备
set nsrp cluster id 1
set nsrp rto-mirror sync
set nsrp vsd-group id 0 priority 100
set nsrp vsd-group id 0 monitor interface ethernet1/1
set nsrp vsd-group id 0 monitor interface ethernet1/2

nsisg1000->exec nsrp sync global save
Save global configuration successfully.
Continue to save local configurations ... Save local configuration successfully.


nsisg1000-> reset
nsisg1000-> Configuration modified.  Save? [y] y/n  n
nsisg1000-> System reset? Are you sure? y/n  y


重启后检查配置是否已经同步
exec nsrp sync global-config check-sum

如果已经同步,设置管理地址
set interface vlan1 manage-ip 10.0.0.3

3、             补充:
A、透明模式实现HA以后,如果要管理被设备,默认是管理不到的,可以用以下命令解决此问题:
set interface vlan1 nsrp manage zone  V1-Untrust
此命令要在2台设备上都应用。

B、跟踪IP地址有一些要注意的地方:
这是透明模式正确的配置方式
set nsrp monitor track-ip ip 10.0.0.5 interface vlan1.
如果要跟踪的IP地址是直连交换机的VLAN接口,那么此vlan必须是the native VLAN IP address。

以下命令在透明模式的HA中不生效,因为V1-Trust和V1-Untrust上是没有地址的。
set nsrp monitor track-ip ip 10.0.0.5 zone V1-Trust

关于排错,这里就不写了,太多的方法,大家在项目中自己总结吧;

以上描述的是我之前为客户做的一个配置文档,关于透明模式HA在网上基本没有文档,在这里分享给大家,但是目的不是为了教大家如何配置HA,其实配置很简单。复杂的是关于一个功能配置衍生出的很多问题,这里只是写了一部分,例如还有如何排错,心跳线都传输什么数据,MAC地址是如何生成的……..等等很多,这里还有很多命令没有用上,他们都是做什么用的,希望大家养成一个好的习惯,善于总结,把自己在项目中的经验生成文档,记住,要看的全面,好的工程师是体现在 -----别人不会的而你会。


风不停

QQ:76900998

MAIL:jane.h@genisystem.com

本文出自 “genisystem” 博客,请务必保留此出处http://genisystem.blog.51cto.com/39344/429813


回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

深圳市原创科技有限公司
快速回复 返回顶部 返回列表