【導讀】版權所有，保留一切權利。全部，并不得以任何形式傳播。®、HUAWEI®、華為®、C&C08®、EAST8000®、HONET®、®、視點®、ViewPoint®、INtess®、ETS®、DMC®、TELLIN®、InfoLink®、Netkey®、Quidway®、SYNLOCK®、Radium®、雷霆®、M900/M1800®、TELESIGHT®、Quidview®、Musa®、視點通®、Airbridge®、Tellwin®、Inmedia®、VRP®、DOPRA®、iTELLIN®、均為華為技術有限公司的商標。由于產品版本升級或其它原因，本手冊內容會不定期進行更新。

　　

【正文】 rpgroup1] vrrp preempt [FWB vrrpgroup1] vrrp enable [FWB vrrpgroup1] vrrp priority usingvrrppriorty 路由模式下雙機熱備的負載分擔基本組網 圖 23 路由模式下雙機熱備的負載分擔基本組網 E u d e m o n AM a s t e rE u d e m o n BB a c k u pT r u s t 區(qū) 域 U n t r u s t 區(qū) 域備 份 組 2A 1A 2B 2B 1管 理 組 1管 理 組 1備 份 組 4備 份 組 3備 份 組 1管 理 組 2管 理 組 2Quidway Eudemon 系列 防火墻 維護手冊 雙機熱備組網 第 2 章 Eudemon 防火墻雙機熱備 組網 配置 基礎 26 防火墻雙機熱 負載分擔在雙機熱備中是一種比較繁瑣的配置，其原理是在防火墻上配置兩個 VGMP 組，并且這兩個管理組的狀態(tài)相互交錯，如上圖在 EudemonA 中管理組 1的狀態(tài)為 master，管理組 2 的狀態(tài)為 slave； EudemonB 中管理組 1的狀態(tài)為 slave，管理組 2的狀態(tài)為 master。當從 trust域來的業(yè)務當網關指向備份組 1的虛擬 IP 時，則通過 EudemonA來轉發(fā)，當網關執(zhí)行備份組 3 的虛擬 IP 時，則由EudemonB 來轉發(fā)，從而實行業(yè)務的分流。 1. EudemonA的配置 [Eudemon] interface ether 0/0/0 [Eudemonether0/0/0] ip address 在接口 eth0/0/0下配置 VRRP 備份組 1， 3，注意虛擬 IP 需要和接口地址同一網段，在同一接口下可以配置 16 個備份組 [Eudemonether0/0/0]vrrp vrid 1 virtualip [Eudemonether0/0/0]vrrp vrid 3 virtualip [Eudemonether0/0/0]interface ether 0/0/1 [Eudemonether0/0/1]ip address 在接口 eth0/0/1 下配置 VRRP 備份組 2， 4 [Eudemonether0/0/1]vrrp vrid 2 virtualip [Eudemonether0/0/1]vrrp vrid 4 virtualip [Eudemonether0/0/1]quit [Eudemon]interface ether 2/0/0 [Eudemonether2/0/0]ip address 創(chuàng)建 VRRP 管理組 1，將所有的 VRRP 備份組添加 到管理組中進行統(tǒng)一管理 [Eudemon]vrrpgroup 1 在 VGMP組中將虛擬路由加入，并且 VGMP會按照配置的范圍進行自動排序，如下面的配置當執(zhí)行 display current 可以看到 add interface ether 2/0/0 vrrp vrid 3 data transferonly 為第一條， vrrp1和 vrrp2 分別為 2條。 [Eudemonvrrpgroup1]add interface ether 0/0/0 vrrp vrid 1 data [Eudemonvrrpgroup1]add interface ether 0/0/1 vrrp vrid 2 data ＃使能 VRRP 管理組，只有使能了 VGMP，才能對 VRRP進行統(tǒng)一管理 [Eudemonvrrpgroup1]vrrp enable 啟用 VRRP 管理組的自動搶占功能，搶占延時采用默認時間為 0秒 [Eudemonvrrpgroup1]vrrp preempt ＃當防火墻不配置 VGMP 的優(yōu)先級時，默認優(yōu)先級為 100。當 配置優(yōu)先級應注意VGMP 優(yōu)先級的遞減算法：遞減后的優(yōu)先級＝優(yōu)先級－優(yōu)先級 /16，當主防火墻出故障時，遞減后的優(yōu)先級應比 slave 防火墻的優(yōu)先級低，才可進行主備狀態(tài)切換，否Quidway Eudemon 系列 防火墻 維護手冊 雙機熱備組網 第 2 章 Eudemon 防火墻雙機熱備 組網 配置 基礎 27 則出故障的防火墻仍然為主狀態(tài)，從而導致業(yè)務會中斷。例如以下配置遞減后的優(yōu)先級為 105－ 105/16＝ 98，因此 slave 防火墻應比該優(yōu)先級大。如果遞減后的優(yōu)先級與從防火墻的優(yōu)先級相同，通過主通道的 IP 地址的大小來判斷誰為主防火墻，但需要說明的是當主防火墻優(yōu)先級降低后，最好比從防火墻的優(yōu)先級低。 [Eudemonvrrpgroup1]vrrp priority 105 [Eudemonvrrpgroup1]quit ＃創(chuàng)建管理組 2 [Eudemon] vrrp group 2 使能 VRRP 管理組 2 [Eudemonvrrpgroup2] vrrp enable [Eudemonvrrpgroup2] vrrp preedem [Eudemonvrrpgroup2] add interface ether 0/0/0 vrrp vrid 3 data [Eudemonvrrpgroup2] add interface ether 0/0/1 vrrp vrid 4 data 使能 HRP功能，當使能 HRP功能后會在 [Eudemon]前顯示 HRP_M，從防火墻上會顯示 HRP_S，默認是自動實時備份。 [Eudemon]hrp enable 2. EudemonB的配置 [Eudemon]interface ether 0/0/0 [Eudemonether0/0/0]ip address 在接口 eth0/0/0下配置 VRRP 備份組 1， 3，注意虛擬 IP 需要和接口地址同一網段，在同一接口下可以配置 16 個備份組 [Eudemonether0/0/0]vrrp vrid 1 virtualip [Eudemonether0/0/0]vrrp vrid 3 virtualip [Eudemonether0/0/0]interface ether 0/0/1 [Eudemonether0/0/1]ip address 在接口 eth0/0/1 下配置 VRRP 備份組 2， 4 [Eudemonether0/0/1]vrrp vrid 2 virtualip [Eudemonether0/0/1]vrrp vrid 4 virtualip [Eudemonether0/0/1]quit [Eudemon]int eth 2/0/0 [Eudemonether2/0/0]ip address 創(chuàng)建 VRRP 管理組 1，將所有的 VRRP 備份組添加到管理組中進行統(tǒng)一管理 [Eudemon]vrrpgroup 1 Quidway Eudemon 系列 防火墻 維護手冊 雙機熱備組網 第 2 章 Eudemon 防火墻雙機熱備 組網 配置 基礎 28 在 VGMP組中將虛擬路由加入，并且 VGMP會按照配置的范圍進行自動排序，如下面的配置當執(zhí)行 display current 可以看到 add interface ether 2/0/0 vrrp vrid 3 data transferonly 為第一條， vrrp1和 vrrp2 分別為 2條。 [Eudemonvrrpgroup1]add interface ether 0/0/0 vrrp vrid 1 data [Eudemonvrrpgroup1]add interface ether 0/0/1 vrrp vrid 2 data ＃使能 VRRP 管理組，只有使能了 VGMP，才能對 VRRP進行統(tǒng)一管理 [Eudemonvrrpgroup1]vrrp enable 啟用 VRRP 管理組的自動搶占功能，搶占延時采用默認時間為 0秒 [Eudemonvrrpgroup1]vrrp preempt [Eudemonvrrpgroup1]quit ＃創(chuàng)建管理組 2 [Eudemon] vrrp group 2 使能 VRRP 管理組 2 [Eudemonvrrpgroup2] vrrp enable [Eudemonvrrpgroup2] vrrp preempt [Eudemonvrrpgroup2] add interface ether 0/0/0 vrrp vrid 3 data [Eudemonvrrpgroup2] add interface ether 0/0/1 vrrp vrid 4 data ＃當防火墻不配置 VGMP 的優(yōu)先級時，默認優(yōu)先級為 100。當配置優(yōu)先級應注意VGMP 優(yōu)先級的遞減算法：遞減后的優(yōu)先級＝優(yōu)先級－優(yōu)先級 /16，當主防火墻出故障時，遞減后的優(yōu)先級應比 slave 防火墻的優(yōu)先級低，才可進行 主備狀態(tài)切換，否則出故障的防火墻仍然為主狀態(tài)，從而導致業(yè)務會中斷。例如以下配置遞減后的優(yōu)先級為 105－ 105/16＝ 98，因此 slave 防火墻應比該優(yōu)先級大。如果遞減后的優(yōu)先級與從防火墻的優(yōu)先級相同，通過主通道的 IP 地址的大小來判斷誰為主防火墻，但需要說明的是當主防火墻優(yōu)先級降低后，最好比從防火墻的優(yōu)先級低。 [Eudemonvrrpgroup1]vrrp priority 105 使能 HRP功能，當使能 HRP功能后會在 [Eudemon]前顯示 HRP_M，從防火墻上會顯示 HRP_S，默認是 自動實時備份。 [Eudemon]hrp enable Eudemon雙機熱備配置注意點 1. 雙機熱備組網中如果配置 NAT address或 NAT Server時，必須在 NAT address和 NAT Server后添加出接口的 VRRP ID號 (1) 配置的命令 nat address natgroup startip endip vrrp 組 Quidway Eudemon 系列 防火墻 維護手冊 雙機熱備組網 第 2 章 Eudemon 防火墻雙機熱備 組網 配置 基礎 29 nat server globle|protoal vrrp 組 (2) 配置 VRRP 組的原因 如果沒有配置地址池和 nat server 的 vrrp參數(shù)， arp 請求或應答中攜帶的 MAC地址是該網口的 MAC，如果配置了 vrrp 參數(shù)，發(fā)送的 arp 就是 VRRP 虛擬 MAC 地址。如果不配置 VRRP 的話，還會帶來一個問題就是防火墻在收到對 nat 地址的 ARP請求的時候無法判斷是否需要回應 ARP響應（特別是在互為備份的組網中），如果主備都回應 arp響應的話首先不能保證 arp 響應的 mac 地址的正確性，其次不能保證與防火墻相連的三層交換機上的 arp 地址轉發(fā)表的正確性，所以在雙機熱備的組網中 nat 的配置一定要在后面加上 vrrp id，對于 nat server 的配置也是如此。 (3) 如何配置 NAT address 和 NAT Server 后的 VRRP組 在 NAT address 和 NAT Server 命令后的 VRRP 組應為出接口的 VRRP ID。什么是出接口就是當我們做 NAT 或 NAT Server 時，報文經過 NAT 或 NAT Server 轉換后從哪個以太網口出去的接口，就為業(yè)務的出接口，配置的 VRRP ID 應為該接口下的VRRP ID 號。 (4) 配置舉例 在防火墻上啟用 NAT。 [Eudemon200A] firewall pack defend permit all [Eudemon200A] acl number 2020 [Eudemon200Abasicacl2020] rule permit [Eudemon200Abasicacl2020] quit [Eudemon200A] firewall zone trust [Eudemon200Azonetrust] add interface Ether 0/0/0 E0/0/0 E0/0/1 +[Eudemon200A]+