【正文】 修訂記錄課程編碼適用產(chǎn)品產(chǎn)品版本課程版本ISSUEDS002104EudemonALL開發(fā)/優(yōu)化者時間審核人開發(fā)類型（新開發(fā)/優(yōu)化）盧希2009515凃昭新開發(fā)27 / 34Eudemon防火墻雙機(jī)熱備業(yè)務(wù)上機(jī)指導(dǎo)書目 錄實(shí)驗(yàn)說明 1實(shí)驗(yàn)說明 1版本介紹 1實(shí)驗(yàn)?zāi)康?1實(shí)驗(yàn)任務(wù) 1相關(guān)資料 1第1章 路由模式+主備組網(wǎng)方式的雙機(jī)熱備技術(shù)在Eudemon防火墻上的部署 2 組網(wǎng)及業(yè)務(wù)描述 2 命令行列表 3 配置流程圖 4 配置步驟 4 具體配置及實(shí)驗(yàn)結(jié)果驗(yàn)證 4第2章 路由模式+負(fù)載分擔(dān)方式的雙機(jī)熱備技術(shù)在Eudemon防火墻上的部署 12 組網(wǎng)及業(yè)務(wù)描述 12 命令行列表 13 配置流程圖 14 配置步驟 14 具體配置及實(shí)驗(yàn)結(jié)果驗(yàn)證 14第3章 混合模式+主備組網(wǎng)方式的雙機(jī)熱備份技術(shù)在Eudemon防火墻上的部署 23 組網(wǎng)及業(yè)務(wù)描述 23 命令行列表 24 配置流程圖 24 配置步驟 24 具體配置及實(shí)驗(yàn)結(jié)果驗(yàn)證 25實(shí)驗(yàn)說明實(shí)驗(yàn)說明本實(shí)驗(yàn)指導(dǎo)書本主要介紹了Eudemon防火墻雙機(jī)熱備技術(shù)的常見組網(wǎng)方式及配置流程，涵蓋了VRRP、VGMP和HRP等防火墻雙機(jī)熱備的主要技術(shù)。希望您能通過本指導(dǎo)書了解并掌握Eudemon防火墻雙機(jī)熱備技術(shù)的部署。版本介紹實(shí)驗(yàn)?zāi)康膌 掌握Eudemon防火墻雙機(jī)熱備的基本原理l 熟悉路由模式+主備組網(wǎng)方式的防火墻雙機(jī)熱備技術(shù)l 熟悉路由模式+負(fù)載分擔(dān)組網(wǎng)方式的防火墻雙機(jī)熱備技術(shù)l 熟悉混合模式+主備組網(wǎng)方式的防火墻雙機(jī)熱備技術(shù)實(shí)驗(yàn)任務(wù)l 完成Eudemon防火墻的基本配置l 配置VRRP備份組l 配置HRP相關(guān)資料l Eudemon防火墻產(chǎn)品手冊 配置指南l Eudemon防火墻產(chǎn)品手冊 命令參考第1章 路由模式+主備組網(wǎng)方式的雙機(jī)熱備技術(shù)在Eudemon防火墻上的部署 組網(wǎng)及業(yè)務(wù)描述路由模式+主備組網(wǎng)方式Eudemon作為安全設(shè)備被部署在業(yè)務(wù)節(jié)點(diǎn)上。其中上下行設(shè)備均是交換機(jī)，Eudemon A、Eudemon B分別充當(dāng)主用設(shè)備和備用設(shè)備，且均工作在路由模式下。網(wǎng)絡(luò)規(guī)劃如下：，與防火墻的GigabitEthernet 0/0/0接口相連，部署在Trust區(qū)域。 外部網(wǎng)絡(luò)與防火墻的GigabitEthernet 0/0/2接口相連，部署在Untrust區(qū)域。 兩臺防火墻的HRP備份通道接口GigabitEthernet 0/0/1部署在DMZ區(qū)域。 兩臺防火墻分別通過交換機(jī)連接各個安全區(qū)域。其中，各安全區(qū)域?qū)?yīng)的備份組虛擬IP地址如下：。 。 。防火墻和PC地址規(guī)劃如下：Eudemon A：GE0/0/0：；GE0/0/1：；GE0/0/2：Eudemon B：GE0/0/0：；GE0/0/1：；GE0/0/2：PC1：~PC2：~實(shí)驗(yàn)要求：完成防火墻雙機(jī)熱備配置，使PC1可以ping通PC2，PC2無法ping通PC1。宕掉主用防火墻的一個HRP備份通道接口，主用防火墻管理組優(yōu)先級發(fā)生變化，導(dǎo)致主備倒換。查看主備防火墻倒換對于從PC1發(fā)往PC2的數(shù)據(jù)包的影響。 命令行列表操作版本命令配置VRRP備份組的虛擬IP地址并指定備份組所屬的管理組。VRP vrrp vrid virtualrouterID virtualip virtualaddress [ ipmask | ipmasklength ] { slave | master }使能HRP功能。VRP hrp enable創(chuàng)建備份會話表的通道接口。VRP hrp interface interfacetype interfacenumber transferonly使能配置命令和連接狀態(tài)的自動備份。VRP hrp autosync [ config [ batchbackup ] | connectionstatus ]編寫提示：通過表格的形式列舉實(shí)驗(yàn)中要使用到的主要的，典型的命令行列?？梢詤⒖济钚惺謨?。主要數(shù)通采用。印刷時上段話刪除。 配置流程圖防火墻基本配置配置VRRP備份組配置HRP 配置步驟(1) 基本配置：配置接口的IP地址；將接口分別添加到對應(yīng)的區(qū)域；配置區(qū)域間包過濾規(guī)則。(2) 配置VRRP備份組并制定備份組所屬的管理組。(3) 創(chuàng)建備份會話表的通道接口并使能HRP功能。(4) 使能配置命令和連接狀態(tài)的自動備份功能。 具體配置及實(shí)驗(yàn)結(jié)果驗(yàn)證 Eudemon A的基本配置：配置主機(jī)名Eudemonsystemview[Eudemon]sysname Eudemon A配置接口IP地址[Eudemon A]interface GigabitEthernet 0/0/0[Eudemon A GigabitEthernet0/0/0]ip address 24[Eudemon A GigabitEthernet0/0/0]quit[Eudemon A]interface GigabitEthernet 0/0/1[Eudemon A GigabitEthernet0/0/1]ip address 24[Eudemon A GigabitEthernet0/0/1]quit[Eudemon A]interface GigabitEthernet 0/0/2[Eudemon AEthernet0/0/2]ip address 24[Eudemon AEthernet0/0/2]quit添加接口至對應(yīng)區(qū)域[Eudemon A]firewall zone trust[Eudemon Azonetrust]add interface GigabitEthernet 0/0/0[Eudemon Azonetrust]quit[Eudemon A]firewall zone dmz[Eudemon Azonedmz]add interface GigabitEthernet 0/0/1[Eudemon Azonedmz]quit[Eudemon A]firewall zone untrust[Eudemon Azoneuntrust]add interface GigabitEthernet 0/0/2[Eudemon Azoneuntrust]quit配置VRRP備份組，并指定備份組所屬的管理組。[Eudemon A]interface GigabitEthernet 0/0/0[Eudemon AGigabitEthernet0/0/0]vrrp vrid 1 virtualip master[Eudemon A]quit[Eudemon A]interface GigabitEthernet 0/0/1[Eudemon AGigabitEthernet0/0/1]vrrp vrid 2 virtualip master[Eudemon A]quit[Eudemon A]interface GigabitEthernet 0/0/2[Eudemon AGigabitEthernet0/0/2]vrrp vrid 3 virtualip master配置local區(qū)域和dmz區(qū)域的域間包過濾規(guī)則，以便VRRP報文、VGMP報文和HRP報文能夠通過心跳接口正常交互。[Eudemon A]acl 2000[Eudemon Aaclbasic2000]rule permit source [Eudemon Aaclbasic2000]quit[Eudemon A]firewall interzone local dmz[Eudemon Ainterzonelocaldmz]packetfilter 2000 inbound[Eudemon Ainterzonelocaldmz]packetfilter 2000 outbound配置HRP備份通道。[Eudemon A]hrp interface GigabitEthernet 0/0/1 transferonly[Eudemon A]hrp interface GigabitEthernet 0/0/0[Eudemon A]hrp interface GigabitEthernet 0/0/2使能HRP功能[Eudemon A]hrp enable Eudemon B的基本配置：配置主機(jī)名Eudemonsystemview[Eudemon]sysname Eudemon B配置接口IP地址[Eudemon B]interface GigabitEthernet 0/0/0[Eudemon B GigabitEthernet0/0/0]ip address 24[Eudemon B GigabitEthernet0/0/0]quit[Eudemon B]interface GigabitEthernet 0/0/1[Eudemon B GigabitEthernet0/0/1]ip address 24[Eudemon B GigabitEthernet0/0/1]quit[Eudemon B]interface GigabitEthernet 0/0/2[Eudemon B GigabitEthernet0/0/2]ip address 24[Eudemon B GigabitEthernet0/0/2]quit添加接口至對應(yīng)區(qū)域[Eudemon B]firewall zone trust[Eudemon Bzonetrust]add interface GigabitEthernet 0/0/0[Eudemon Bzonetrust]quit[Eudemon B]firewall zone dmz[Eudemon Bzonedmz]add interface GigabitEthernet 0/0/1[Eudemon Bzonedmz]quit[Eudemon B]firewall zone untrust[Eudemon Bzoneuntrust]add interface GigabitEthernet 0/0/2[Eudemon Bzoneuntrust]quit配置VRRP備份組，并指定備份組所屬的管理組。[Eudemon B]interface GigabitEthernet 0/0/0[Eudemon BGigabitEthernet0/0/0]vrrp vrid 1 virtualip slave[Eudemon B]quit[Eudemon B]interface GigabitEthernet 0/0/1[Eudemon BGigabitEthernet0/0/1]vrrp vrid 2 virtualip slave[Eudemon B]quit[Eudemon B]interface GigabitEthernet 0/0/2[Eudemon BGigabitEthernet0/0/2]vrrp vrid 3 virtualip slave配置local區(qū)域和dmz區(qū)域的域間包過濾規(guī)則，以便VRRP報文、VGMP報文和HRP報文能夠通過心跳接口正常交互。[Eudemon B]acl 2000[Eudemon Baclbasic2000]rule permit source [Eudemon Baclbasic2000]quit[Eudemon B]firewall interzone local dmz[Eudemon Binterzonelocaldmz]packetfilter 2000 inbound[Eudemon Binterzonelocaldmz]packetfilter 2000 outbound配置HRP備份通道。[Eudemon B]hrp interface GigabitEthernet 0/0/1 transferonly[Eudemon B]hrp interface GigabitEthernet 0/0/0[Eudemon B]hrp interface GigabitEthernet 0/0/2使能HRP功能[Eudemon B]hrp enable Switch和PC的基本配置：本實(shí)驗(yàn)中使用的Switch都是二層交換機(jī)，不需要任何配置；給PC1和PC2配上IP地址和默認(rèn)網(wǎng)關(guān)，PC1和PC2的網(wǎng)關(guān)分別對應(yīng)VRRP管理組1和VRRP管理組2的虛擬IP地址。 實(shí)驗(yàn)結(jié)果驗(yàn)證實(shí)驗(yàn)結(jié)果驗(yàn)證一：通過命令display vrrp查看VRRP備份組的狀態(tài)。HRP_M[Eudemon A]display vrrp GigabitEthernet0/0/2 |