实验目的
了解防火墙双机热备份配置，提供部署防火墙可靠性。
网络拓扑
左侧为trust域，右侧为untrust域。防火墙之间配置双机热备份。
配置内容
master
- VRRP
由于防火墙是基于会话表匹配回程流量，流量去向和回程必须通过同一个防火墙。因此防火墙的入和出端口都要配置VRRP组
在VRRP的配置中隐含了VGMP即VRRP组的组的概念，用于保证配置在同一防火墙上的VRRP接口状态相同。
#
interface GigabitEthernet0/0/0ip address 192.168.55.100 255.255.255.0# 虚拟IPvrrp vrid 1 virtual-ip 192.168.55.254 master# 与虚拟IP对应的虚拟MAC,基于固定前缀和vrid生成vrrp virtual-mac enable
#
interface GigabitEthernet0/0/1ip address 10.20.30.40 255.255.255.0vrrp vrid 2 virtual-ip 10.20.30.254 mastervrrp virtual-mac enable#
interface GigabitEthernet0/0/2ip address 192.168.56.2 255.255.255.0
配置效果如下：
HRP_M<F1>display vrrp
13:21:33 2025/05/11GigabitEthernet0/0/1 | Virtual Router 2VRRP Group : Master state : Master Virtual IP : 10.20.30.254Virtual MAC : 0000-5e00-0102Primary IP : 10.20.30.40PriorityRun : 120PriorityConfig : 100MasterPriority : 120Preempt : YES Delay Time : 0Advertisement Timer : 1Auth Type : NONECheck TTL : YESGigabitEthernet0/0/0 | Virtual Router 1VRRP Group : Master state : Master Virtual IP : 192.168.55.254Virtual MAC : 0000-5e00-0101Primary IP : 192.168.55.100PriorityRun : 120PriorityConfig : 100MasterPriority : 120Preempt : YES Delay Time : 0Advertisement Timer : 1Auth Type : NONECheck TTL : YES- 域间策略
#
firewall zone trustadd interface GigabitEthernet0/0/0
#
firewall zone untrustadd interface GigabitEthernet0/0/1
#
firewall zone dmzadd interface GigabitEthernet0/0/2
#
policy interzone trust untrust outboundpolicy 10action permitpolicy source 192.168.55.0 0.0.0.255
- hrp备份
通过使能hrp, master防火墙同步会话表等配置到backup防火墙。当master防火墙路径出问题，切换原backup为master后，流量就可以正常通过。
#hrp enablehrp interface GigabitEthernet0/0/2
hrp配置成功后可看到提示符切换为master-HRP_M<F1>或slave-HRP_S<F2>
slave
- vrrp配置
#
interface GigabitEthernet0/0/0alias GE0/MGMTip address 192.168.55.200 255.255.255.0vrrp vrid 1 virtual-ip 192.168.55.254 slavevrrp virtual-mac enable
#
interface GigabitEthernet0/0/1ip address 10.20.30.50 255.255.255.0vrrp vrid 2 virtual-ip 10.20.30.254 slavevrrp virtual-mac enable
#
interface GigabitEthernet0/0/2ip address 192.168.56.200 255.255.255.0
- 域间策略
通过hrp自动同步
- hrp
#hrp enablehrp interface GigabitEthernet0/0/2
可靠性测试
trust域PC ping untrust域PC成功。抓包发现backup防火墙trust域和untrust域接口没有icmp流量与预期一致。
shutdown左侧交换机接口后，PC1仍可以ping通PC2。
防火墙的行为：
HRP_M<F1>
2025-05-11 13:26:33 F1 %%01IFNET/4/LINK_STATE(l): Line protocol on interface Gig
abitEthernet0/0/1 has turned into DOWN state.
2025-05-11 13:26:33 F1 %%01VRRP/4/STATEWARNING(l): Interface: GigabitEthernet0/0
/1, Virtual Router 2 : MASTER changed to INITIALIZE!
2025-05-11 13:26:33 F1 %%01VGMP/4/STATE(l): Virtual Router Management Group MAST
ER : MASTER --> MASTER_TO_SLAVE2025-05-11 13:26:33 F1 %%01VGMP/4/STATE(l): Virtual Router Management Group MAST
ER : MASTER_TO_SLAVE --> SLAVE2025-05-11 13:26:33 F1 %%01VRRP/4/STATEWARNING(l): Interface: GigabitEthernet0/0
/0, Virtual Router 1 : MASTER changed to BACKUP!
HRP_S<F1>
对应的F2变为master。
看state变为master, VRRP组名为Slave
HRP_M<F2>display vrrp
13:30:46 2025/05/11GigabitEthernet0/0/1 | Virtual Router 2VRRP Group : Slave state : Master Virtual IP : 10.20.30.254Virtual MAC : 0000-5e00-0102Primary IP : 10.20.30.50PriorityRun : 120PriorityConfig : 100MasterPriority : 120Preempt : YES Delay Time : 0Advertisement Timer : 1Auth Type : NONECheck TTL : YESGigabitEthernet0/0/0 | Virtual Router 1VRRP Group : Slave state : Master Virtual IP : 192.168.55.254Virtual MAC : 0000-5e00-0101Primary IP : 192.168.55.200PriorityRun : 120PriorityConfig : 100MasterPriority : 120Preempt : YES Delay Time : 0Advertisement Timer : 1Auth Type : NONECheck TTL : YES
由于默认激活了抢占模式，且延时时间为0。恢复接口状态为up后，原master防火墙可以切换状态为master。
HRP_S<F1>
2025-05-11 13:34:37 F1 %%01VGMP/4/STATE(l): Virtual Router Management Group MAST
ER : SLAVE --> SLAVE_TO_MASTER
2025-05-11 13:34:37 F1 %%01VGMP/4/STATE(l): Virtual Router Management Group MAST
ER : SLAVE_TO_MASTER --> MASTER
2025-05-11 13:34:37 F1 %%01VRRP/4/STATEWARNING(l): Interface: GigabitEthernet0/0
/1, Virtual Router 2 : BACKUP changed to MASTER!
2025-05-11 13:34:37 F1 %%01VRRP/4/STATEWARNING(l): Interface: GigabitEthernet0/0
/0, Virtual Router 1 : BACKUP changed to MASTER!
HRP_M<F1>
)
