【正文】 0/0/G0/0/2接口分別位于trust、dmz和untrust區(qū)域，心跳接口GE0/0/，；防火墻Eudemon B的G0/0/0、G0/0/G0/0/2接口分別位于trust、dmz和untrust區(qū)域，心跳接口GE0/0/。注意：防火墻上下行端口工作在透明模式，無法配置IP地址，故PC1和PC2的IP地址應(yīng)屬于相同網(wǎng)段。本實驗中PC1和PC2的IP地址分別為：。實驗要求：完成防火墻雙機熱備配置，使PC1可以ping通PC2，PC2無法ping通PC1。宕掉主用防火墻的一個HRP備份通道接口，主用防火墻管理組優(yōu)先級發(fā)生變化，導(dǎo)致主備倒換。查看主備防火墻倒換對于從PC1發(fā)往PC2的數(shù)據(jù)包的影響。 命令行列表操作版本命令配置VRRP備份組的虛擬IP地址并指定備份組所屬的管理組。VRP vrrp vrid virtualrouterID virtualip virtualaddress [ ipmask | ipmasklength ] { slave | master }使能HRP功能。VRP hrp enable創(chuàng)建備份會話表的通道接口。VRP hrp interface interfacetype interfacenumber transferonly使能配置命令和連接狀態(tài)的自動備份。VRP hrp autosync [ config [ batchbackup ] | connectionstatus ]編寫提示：通過表格的形式列舉實驗中要使用到的主要的，典型的命令行列。可以參考命令行手冊。主要數(shù)通采用。印刷時上段話刪除。 配置流程圖防火墻基本配置配置VRRP備份組配置HRP 配置步驟(1) 基本配置：配置接口的IP地址；將接口分別添加到對應(yīng)的區(qū)域；配置區(qū)域間包過濾規(guī)則。(2) 配置VRRP備份組并制定備份組所屬的管理組。(3) 創(chuàng)建備份會話表的通道接口并使能HRP功能。(4) 使能配置命令和連接狀態(tài)的自動備份功能。 具體配置及實驗結(jié)果驗證 Eudemon A的基本配置：配置主機名Eudemonsystemview[Eudemon]sysname Eudemon A配置接口IP地址并將接口加入到相應(yīng)的VRRP備份組中[Eudemon A]interface GigabitEthernet 0/0/1[Eudemon A GigabitEthernet0/0/1]ip address 24[Eudemon AGigabitEthernet0/0/1]vrrp vrid 1 virtualip master[Eudemon A GigabitEthernet0/0/1]quit注：混合模式中心跳接口必須配置IP地址，用于VRRP報文、VGMP報文和HRP報文的交互。配置工作在透明模式的接口[Eudemon A] interface gigabitethernet 0/0/0[Eudemon AGigabitEthernet 0/0/0] portswitch[Eudemon AGigabitEthernet 0/0/0] quit[Eudemon A] interface gigabitethernet 0/0/2[Eudemon AGigabitEthernet 0/0/2] portswitch[Eudemon AGigabitEthernet 0/0/2] quit添加接口至對應(yīng)區(qū)域[Eudemon A]firewall zone trust[Eudemon Azonetrust]add interface GigabitEthernet 0/0/0[Eudemon Azonetrust]quit[Eudemon A]firewall zone dmz[Eudemon Azonedmz]add interface GigabitEthernet 0/0/1[Eudemon Azonedmz]quit[Eudemon A]firewall zone untrust[Eudemon Azoneuntrust]add interface GigabitEthernet 0/0/2[Eudemon Azoneuntrust]quit配置local區(qū)域和dmz區(qū)域的域間包過濾規(guī)則，以便VRRP報文、VGMP報文和HRP報文能夠通過心跳接口正常交互。[Eudemon A]acl 2000[Eudemon Aaclbasic2000]rule permit source [Eudemon Aaclbasic2000]quit[Eudemon A]firewall interzone local dmz[Eudemon Ainterzonelocaldmz]packetfilter 2000 inbound[Eudemon Ainterzonelocaldmz]packetfilter 2000 outbound配置trust區(qū)域和untrust區(qū)域的域間包過濾規(guī)則[Eudemon A]acl 2001[Eudemon Aaclbasic2001]rule permit source [Eudemon Aaclbasic2001]quit[Eudemon A]firewall interzone trust untrust[Eudemon Ainterzonetrustuntrust]packetfilter 2001 outbound建立VLAN 2，將接口GE0/0/0和GE0/0/2加入VLAN 2并指定由Master管理組監(jiān)視VLAN 2。[Eudemon A] vlan 2[Eudemon Avlan2]port interface GigabitEthernet 0/0/0[Eudemon Avlan2]port interface GigabitEthernet 0/0/2[Eudemon Avlan2]hrp track master配置HRP備份通道。[Eudemon A]hrp interface GigabitEthernet 0/0/2 transferonly使能HRP功能[Eudemon A]hrp enable[Eudemon A]hrp autosync Eudemon B的基本配置：配置主機名Eudemonsystemview[Eudemon]sysname Eudemon B配置接口IP地址并將接口加入到相應(yīng)的VRRP備份組中[Eudemon B]interface GigabitEthernet 0/0/1[Eudemon B GigabitEthernet0/0/1]ip address 24[Eudemon BGigabitEthernet0/0/1]vrrp vrid 1 virtualip slave[Eudemon B GigabitEthernet0/0/1]quit注：混合模式中心跳接口必須配置IP地址，用于VRRP報文、VGMP報文和HRP報文的交互。配置工作在透明模式的接口[Eudemon A] interface gigabitethernet 0/0/0[Eudemon AGigabitEthernet 0/0/0] portswitch[Eudemon AGigabitEthernet 0/0/0] quit[Eudemon A] interface gigabitethernet 0/0/2[Eudemon AGigabitEthernet 0/0/2] portswitch[Eudemon AGigabitEthernet 0/0/2] quit添加接口至對應(yīng)區(qū)域[Eudemon B]firewall zone trust[Eudemon Bzonetrust]add interface GigabitEthernet 0/0/0[Eudemon Bzonetrust]quit[Eudemon B]firewall zone dmz[Eudemon Bzonedmz]add interface GigabitEthernet 0/0/1[Eudemon Bzonedmz]quit[Eudemon B]firewall zone untrust[Eudemon Bzoneuntrust]add interface GigabitEthernet 0/0/2[Eudemon Bzoneuntrust]quit配置local區(qū)域和dmz區(qū)域的域間包過濾規(guī)則，以便VRRP報文、VGMP報文和HRP報文能夠通過心跳接口正常交互。[Eudemon B]acl 2000[Eudemon Baclbasic2000]rule permit source [Eudemon Baclbasic2000]quit[Eudemon B]firewall interzone local dmz[Eudemon Binterzonelocaldmz]packetfilter 2000 inbound[Eudemon Binterzonelocaldmz]packetfilter 2000 outbound建立VLAN 2，將接口GE0/0/0和GE0/0/2加入VLAN 2并指定由Master管理組監(jiān)視VLAN 2。[Eudemon B] vlan 2[Eudemon Bvlan2]port interface GigabitEthernet 0/0/0[Eudemon Bvlan2]port interface GigabitEthernet 0/0/2[Eudemon Bvlan2]hrp track slave配置HRP備份通道。[Eudemon B]hrp interface GigabitEthernet 0/0/2 transferonly使能HRP功能[Eudemon B]hrp enable[Eudemon B]hrp autosync Switch和PC的基本配置：本實驗中使用的Switch都是二層交換機，不需要任何配置。PC機IP地址的配置此處不再贅述。 實驗結(jié)果驗證實驗結(jié)果驗證一：通過命令display vrrp查看VRRP備份組的狀態(tài)。HRP_M[Eudemon A]display vrrp GigabitEthernet0/0/1 | Virtual Router 1 state : Master Virtual IP : PriorityRun : 100 PriorityConfig : 100 MasterPriority : 100 Preempt : YES Delay Time : 0 Timer : 1 Auth Type : NONE Check TTL : YESHRP_S[Eudemon B]display vrrpGigabitEthernet0/0/1 | Virtual Router 1 state : Backup Virtual IP : PriorityRun : 100 PriorityConfig : 100 MasterPriority : 100 Preempt : YES Delay Time : 0 Timer : 1 Auth Type : NONE Check TTL : YES通過以上結(jié)果可知， Eudemon A在備份組1中都處于Master狀態(tài)；Eudemon B在備份組1中都處于Backup狀態(tài)。實驗結(jié)果驗證二：通過命令display hrp state查看HRP管理組的狀態(tài)。HRP_M[Eudemon A]display hrp state The firewall39。s config state is: MASTER Current state of virtual routers configured as master: GigabitEthernet0/0/1 vrid 1 : masterHRP_S[Eudemon]display hrp state The firewall39。s config state is: SLAVE Current state of virtual routers configured as slave: GigabitEthernet0/0/1 vrid 1 : slave從以上顯示信息可以看出，在Eudemon A上，VRRP備份組1屬于Master管理組，狀態(tài)為Master；在Eudemon B上，VRRP備份組1屬于Slave管理組，狀態(tài)為Slave。實驗結(jié)果驗證三：在PC1上執(zhí)行“ping –t ”，宕掉Eudemon A的接口GE0/0/2，觀察防火墻的主備倒換以及對數(shù)據(jù)包轉(zhuǎn)發(fā)的影響。