【华为_安全】防火墙IPsec双机实验

1. 前言

学习华为防火墙IPsec双机实验记录
ensp拓扑链接：拓扑
防火墙登录账号都为admin
暗码为Huawei@123
2. 拓扑

总部：
两台防火墙 接纳双机部署，分别连接到ISP1、ISP2
总部两台防火墙的 ISP1 出口是 G0/0/3，连接 ISP2 的出口是 G0/0/5，缺省情况下，流量走 FW1 的 G0/0/3 接口
两台防火墙 作为内网用户的上网网关
两台防火墙 需要基于双机双出口与两个分公司分别建立 IPSec VPN。
分公司1：
路由器NAT-Device作为NAT设备，连接到ISP3
出口防火墙Fw3作为内网用户的上网网关，以及与总部对接IPSec VPN。
分公司2：
出口防火墙Fw4连接到ISP4，作为内网用户的上网网关，以及与总部对接IPSec VPN。
3. 需求

链路故障：
   

• FW1连接 ISP1 链路故障，但是 ISP1 未故障，流量走 FW2 的 G0/0/3；
  
• FW1 连接 ISP1 链路未故障，但是 ISP1 故障，流量走 FW2 的 G0/0/5；
  
• FW1 连接 ISP1 链路规复，ISP1 规复，流量走 FW1 的 G0/0/3；
  

  设备故障：
   

• FW1 正常情况下，流量走 FW1 的 G0/0/3；
  
• FW1 设备故障，流量走 FW2 的 G0/0/3；
  
• FW1 及 ISP1 设备故障，流量走 FW2 的 G0/0/5
  

  4. 解法

4.1 思绪

总部

IP-Link

• 在Fw1、Fw2上开启IP-Link探测功能，探测连接到IPS1的网络，当ISP1网络发生故障，可以实时发现故障。
  

双机热备

• 在Fw1、Fw2配置双机热备，接纳主备备份模式，Fw1作为主设备、Fw2作为备设备。同时配置VGMP组监控接口和IP-Link状态，确保在碰到故障的时候实现快速切换。
  
  
  
  • 配置VGMP组监控连接到ISP1、ISP2、内网的接口
    
  • 配置VGMP组监控连接到ISP1的网络，即关联上一步的IP-Link
    
  
  
• 在Fw1、Fw2配置部署VRRP备份组：
  
  
  
  • Fw1、Fw2连接到ISP1的接口加入到同一VRRP备份组中，假造IP地址配置为ISP1的公网地址，同时启用假造MAC地址功能。
    
  • Fw1、Fw2连接到ISP2的接口加入到同一VRRP备份组中，假造IP地址配置为ISP2的公网地址，同时启用假造MAC地址功能。
    
  • Fw1、Fw2连接到内网的接口加入到同一VRRP备份组中，假造IP地址配置为内网网关地址，同时启用假造MAC地址功能。
    
  • 由于F1作为主设备，以是Fw1的VRRP备份组的状态都设置为active。
    
  • 由于F2作为备设备，以是Fw2的VRRP备份组的状态都设置为standby。
    
  
  

IPsec

• 总部对接IPSec VPN的分公司，存在对端为 非固定公网IP和固定公网IP的情况，以是总部对接非固定公网IP的Fw3接纳IPSec计谋模板方式，对接固定公网IP的Fw4接纳IPSec计谋方式。
  
• 根据总部和分部需要互访的流量，使用高级ACL定义 需要 受IPSec VPN保护 的感爱好流。
  
• 配置IKE提议、IPSec提议，根据用户需求配置安全参数，确保两端参数划一。
  
• 配置针对Fw3的IKE Peer。使用预共享密钥举行认证，引用IKE提议，由于对端为非固定公网IP，无需配置对端IP地址，但是需要开启NAT穿越功能。
  
• 配置针对Fw4的IKE Peer。使用预共享密钥举行认证，引用IKE提议，配置对端IP地址。
  
• 配置针对Fw3的IPsec计谋模板。引用感爱好流、IPSec提议、Fw3的IKE Peer，配置本端地址。
  
• 配置针对从ISP1和ISP2到达Fw4的2个IPsec计谋。引用感爱好流、IPSec提议、Fw4的IKE Peer，配置本端地址、对端地址。
  
• 将IPsec计谋模板引用到2个IPsec计谋中。牢记 IPsec计谋模板 的序列号 一定要大于 IPsec计谋 的序列号。
  
• 分别在两个出接口调用对应的IPsec计谋。
  
• 由于配置了双机热备，只需在主墙配置，配置会自动同步到备墙。
  

路由部署

• 根据需求，需要配置两条缺省路由，一主一备：
  
  
  • 主路由为去往ISP1，并绑定IP-Link “to_isp1”，实现ISP1故障时的路由快速切换。
    
  • 备路由为去往ISP2。
    
  
  

分公司(Fw3 动态公网IP)

IPsec

• 根据总部和分部需要互访的流量，使用高级ACL定义 需要 受IPSec VPN保护 的感爱好流。
  
• 配置IKE提议、IPSec提议，根据用户需求配置安全参数，确保两端参数划一。
  
• 配置针对总部ISP1和ISP2的两个IKE Peer。使用预共享密钥举行认证（需要与总部划一），引用IKE提议，由于本端为非固定公网IP，需要开启NAT穿越功能。在ISP1的IKE Peer中，对端IP地址为总部连接到ISP1的VRRP备份组假造IP地址；在ISP2的IKE Peer中，对端IP地址为总部连接到ISP2的VRRP备份组假造IP地址。
  
• 配置针对总部ISP1和ISP2的两个IPsec计谋。引用感爱好流、IPSec提议。对接总部ISP1的IPsec计谋中，调用ISP1的IKE Peer；对接总部ISP2的IPsec计谋中，调用ISP2的IKE Peer。
  
• 配置两个tunnel接口，分别为tunnel1和tunnel2，加入到与外网侧物理接口雷同的安全区域中，协议范例为IPSec，同时借用外网侧接口的IP地址。Tunnel1作为主隧道，调用对接总部ISP1的IPsec计谋；Tunnel2作为备隧道，调用对接总部ISP2的IPsec计谋
  

IP-Link

• 在Fw3上开启IP-Link探测功能，探测 总部 连接到ISP1 地点的 VRRP备份组假造IP地址，当发生故障时，可以实时发现故障。
  

路由部署

• 配置一条到达运营商的缺省路由。
  
• 配置两条到达 总部内部网络 的路由，一主一备：
  
  
  • 主路由：下一跳指向Tunnel1，并绑定IP-Link“to_ZongBu_isp1”，实现总部ISP1故障时的路由快速切换。
    
  • 备路由：下一跳指向Tunnel2。
    
  
  

4.2 参考命令

Fw1

1. #
2. sysname Fw1
4. #
5. hrp enable
6. hrp interface GigabitEthernet1/0/6 remote 100.1.1.2
7. hrp track interface GigabitEthernet1/0/1
8. hrp track interface GigabitEthernet1/0/3
9. hrp track interface GigabitEthernet1/0/5
10. hrp track ip-link to_isp1
11. #
12. ip-link check enable
13. ip-link name to_isp1
14. destination 202.2.2.6 interface GigabitEthernet1/0/3 mode icmp next-hop 202.2.2.6
16. #
17. acl number 3000
18. rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255
19. acl number 3001
20. rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 192.168.3.0 0.0.0.255
21. #
22. ipsec proposal 1                          
23. esp authentication-algorithm sha2-256
24. esp encryption-algorithm aes-256
25. #
26. ike proposal 1
27. encryption-algorithm aes-256
28. dh group14
29. authentication-algorithm sha2-256
30. authentication-method pre-share
31. integrity-algorithm hmac-sha2-256
32. prf hmac-sha2-256
33. #
34. ike peer to_fw4
35. pre-shared-key Huawei@123
36. ike-proposal 1
37. remote-address 205.1.1.2
38. ike peer to_fw3
39. pre-shared-key Huawei@123
40. ike-proposal 1
41. dpd type periodic
42. dpd idle-time 10
43. dpd retransmit-interval 2
44. #
45. ipsec policy-template FenBu 10
46. security acl 3001
47. ike-peer to_fw3
48. proposal 1
49. #
50. ipsec policy POLICY_1 5 isakmp
51. security acl 3000
52. ike-peer to_fw4
53. proposal 1
54. tunnel local 202.2.2.1
55. ipsec policy POLICY_1 50 isakmp template FenBu
56. ipsec policy POLICY_2 5 isakmp
57. security acl 3000
58. ike-peer to_fw4
59. proposal 1
60. tunnel local 40.1.1.1
61. sa trigger-mode auto
62. ipsec policy POLICY_2 50 isakmp template FenBu
64. #                                         
65. interface GigabitEthernet1/0/1
67. ip address 10.1.1.2 255.255.255.0
68. vrrp vrid 3 virtual-ip 10.1.1.254 active
69. vrrp virtual-mac enable
70. link-group 1
71. service-manage ping permit
72. dhcp select interface
73. #
74. interface GigabitEthernet1/0/3
75. ip address 202.2.2.2 255.255.255.248
76. vrrp vrid 1 virtual-ip 202.2.2.1 active
77. vrrp virtual-mac enable
78. link-group 1
79. service-manage ping permit
80. ipsec policy POLICY_1
82. #                                         
83. interface GigabitEthernet1/0/5
84. ip address 40.1.1.2 255.255.255.248
85. vrrp vrid 2 virtual-ip 40.1.1.1 active
86. vrrp virtual-mac enable
87. link-group 1
88. service-manage ping permit
89. ipsec policy POLICY_2
90. #
91. interface GigabitEthernet1/0/6
92. ip address 100.1.1.1 255.255.255.0
93. service-manage ping permit
95. #
96. firewall zone trust
97. set priority 85     
98. add interface GigabitEthernet1/0/1
99. #
100. firewall zone untrust
101. set priority 5
102. #
103. firewall zone dmz
104. set priority 50
105. add interface GigabitEthernet1/0/6
106. #
107. firewall zone name isp1 id 4
108. set priority 10
109. add interface GigabitEthernet1/0/3
110. #
111. firewall zone name isp2 id 5
112. set priority 20
113. add interface GigabitEthernet1/0/5
114. #
115. ip route-static 0.0.0.0 0.0.0.0 202.2.2.6 track ip-link to_isp1
116. ip route-static 0.0.0.0 0.0.0.0 40.1.1.6 preference 70
118. #
119. security-policy
120. rule name ipsec_ike
121.   source-zone isp1
122.   source-zone isp2
123.   source-zone local
124.   destination-zone isp1
125.   destination-zone isp2
126.   destination-zone local
127.   source-address 202.2.2.1 mask 255.255.255.255
128.   source-address 205.1.1.2 mask 255.255.255.255
129.   source-address 40.1.1.1 mask 255.255.255.255
130.   destination-address 202.2.2.1 mask 255.255.255.255
131.   destination-address 205.1.1.2 mask 255.255.255.255
132.   destination-address 40.1.1.1 mask 255.255.255.255
133.   service protocol udp source-port 500 destination-port 500
134.   action permit                           
135. rule name ipsec_office_FengGongSi_2
136.   source-zone isp1
137.   source-zone isp2
138.   source-zone trust
139.   destination-zone isp1
140.   destination-zone isp2
141.   destination-zone trust
142.   source-address 10.1.1.0 mask 255.255.255.0
143.   source-address 172.16.1.0 mask 255.255.255.0
144.   destination-address 10.1.1.0 mask 255.255.255.0
145.   destination-address 172.16.1.0 mask 255.255.255.0
146.   action permit
147. rule name ipsec_esp
148.   source-zone isp1
149.   source-zone isp2
150.   destination-zone local
151.   destination-address 202.2.2.1 mask 255.255.255.255
152.   destination-address 40.1.1.1 mask 255.255.255.255
153.   service esp
154.   action permit
155. rule name ipsec_ike_ChanYue
156.   source-zone isp1
157.   source-zone isp2
158.   source-zone local                       
159.   destination-zone isp1
160.   destination-zone isp2
161.   destination-zone local
162.   service protocol udp destination-port 500 4500
163.   action permit
164. rule name icmp
165.   source-zone local
166.   service icmp
167.   action permit
168. rule name to_internet
169.   source-zone trust
170.   destination-zone isp1
171.   destination-zone isp2
172.   source-address 10.1.1.0 mask 255.255.255.0
173.   action permit
174. rule name ipsec_office_FengGongSi_1
175.   source-zone isp1
176.   source-zone isp2
177.   source-zone trust
178.   destination-zone isp1
179.   destination-zone isp2
180.   destination-zone trust
181.   source-address 10.1.1.0 mask 255.255.255.0
182.   source-address 192.168.3.0 mask 255.255.255.0
183.   destination-address 10.1.1.0 mask 255.255.255.0
184.   destination-address 192.168.3.0 mask 255.255.255.0
185.   action permit
187. #
188. nat-policy
189. rule name no-nat
190.   source-zone trust
191.   destination-zone isp1
192.   destination-zone isp2
193.   source-address 10.1.1.0 mask 255.255.255.0
194.   source-address 172.16.1.0 mask 255.255.255.0
195.   source-address 192.168.3.0 mask 255.255.255.0
196.   destination-address 10.1.1.0 mask 255.255.255.0
197.   destination-address 172.16.1.0 mask 255.255.255.0
198.   destination-address 192.168.3.0 mask 255.255.255.0
199.   action no-nat
200. rule name to_internet
201.   source-zone trust
202.   destination-zone isp1                  
203.   destination-zone isp2
204.   source-address 10.1.1.0 mask 255.255.255.0
205.   action source-nat easy-ip
206. #

复制代码

Fw2

Fw2只配置底子命令，双机热备会同步配置

1. sys
2. sys Fw2
4. interface GigabitEthernet1/0/3
5. ip address 202.2.2.3 255.255.255.248
6. vrrp vrid 1 virtual-ip 202.2.2.1 s
7. vrrp virtual-mac enable
8. service-manage ping permit
9. interface GigabitEthernet1/0/5
10. ip address 40.1.1.3 255.255.255.248
11. vrrp vrid 2 virtual-ip 40.1.1.1 s
12. vrrp virtual-mac enable
13. service-manage ping permit
15. interface GigabitEthernet1/0/6
16. ip add 100.1.1.2 24
17. service-manage ping permit
19. dhcp enable
20. interface GigabitEthernet1/0/1
21. undo shutdown
22. ip address 10.1.1.3 255.255.255.0
23. vrrp vrid 3 virtual-ip 10.1.1.254 s
24. vrrp virtual-mac enable
25. service-manage ping permit
26. dhcp select interface
29. firewall zone trust
30. add interface GigabitEthernet1/0/1
31. #
32. firewall zone dmz
33. set priority 50
34. add interface GigabitEthernet1/0/6
35. #
36. firewall zone name isp1 id 4
37. add interface GigabitEthernet1/0/3
38. #
39. firewall zone name isp2 id 5
40. add interface GigabitEthernet1/0/5
43. ipsec policy POLICY_1 5 isakmp
44. security acl 3000
45. proposal 1
46. tunnel local 202.2.2.1
47. ipsec policy POLICY_2 5 isakmp
48. security acl 3000
49. proposal 1
50. tunnel local 40.1.1.1
52. ip-link check enable
53. ip-link name to_isp1
54. destination 202.2.2.6 interface GigabitEthernet1/0/3 mode icmp next-hop 202.2.2.6
56. ip route-static 0.0.0.0 0.0.0.0 202.2.2.6 track ip-link to_isp1
57. ip route-static 0.0.0.0 0.0.0.0 40.1.1.6 preference 70
59. hrp enable
60. hrp interface GigabitEthernet1/0/6 remote 100.1.1.1

复制代码

Fw3

1. sysname Fw3
2. #
3. ip-link check enable
4. ip-link name to_isp1
5. destination 202.2.2.1 interface GigabitEthernet1/0/1 mode icmp next-hop 201.1.1.1
7. #
8. acl number 3000
9. rule 5 permit ip source 192.168.3.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
10. #
11. ipsec proposal 1
12. esp authentication-algorithm sha2-256
13. esp encryption-algorithm aes-256
14. #
15. ike proposal 1
16. encryption-algorithm aes-256
17. dh group14
18. authentication-algorithm sha2-256
19. authentication-method pre-share
20. integrity-algorithm hmac-sha2-256
21. prf hmac-sha2-256
22. #
23. ike peer to_isp1
24. pre-shared-key Huawei@123
25. ike-proposal 1
26. dpd type periodic
27. dpd idle-time 10
28. dpd retransmit-interval 2
29. remote-address 202.2.2.1
30. ike peer to_isp2
31. pre-shared-key Huawei@123
32. ike-proposal 1
33. dpd type periodic
34. dpd idle-time 10
35. dpd retransmit-interval 2
36. remote-address 40.1.1.1                  
37. #
38. ipsec policy POLICY_1 5 isakmp
39. security acl 3000
40. ike-peer to_isp1
41. proposal 1
42. sa trigger-mode auto
43. ipsec policy POLICY_2 5 isakmp
44. security acl 3000
45. ike-peer to_isp2
46. proposal 1
47. sa trigger-mode auto
49. #
50. interface GigabitEthernet1/0/0
51. ip address 192.168.3.1 255.255.255.0
52. #
53. interface GigabitEthernet1/0/1
54. undo shutdown
55. ip address dhcp-alloc
57. #
58. interface Tunnel1
59. ip address unnumbered interface GigabitEthernet1/0/1
60. tunnel-protocol ipsec
61. ipsec policy POLICY_1
62. #
63. interface Tunnel2
64. ip address unnumbered interface GigabitEthernet1/0/1
65. tunnel-protocol ipsec
66. ipsec policy POLICY_2
67.                      
68. #
69. firewall zone trust
70. set priority 85
71. add interface GigabitEthernet1/0/0
72. #
73. firewall zone untrust
74. set priority 5
75. add interface GigabitEthernet1/0/1
76. add interface Tunnel1
77. add interface Tunnel2
79. #
80. ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet1/0/1
81. ip route-static 10.1.1.0 255.255.255.0 Tunnel1 track ip-link to_isp1
82. ip route-static 10.1.1.0 255.255.255.0 Tunnel2 preference 70
84. #
85. security-policy
86. rule name to_internet
87.   source-zone trust
88.   destination-zone untrust
89.   source-address 192.168.3.0 mask 255.255.255.0
90.   action permit
91. rule name ipsec_ike
92.   source-zone local
93.   source-zone untrust
94.   destination-zone local
95.   destination-zone untrust
96.   service protocol udp destination-port 500 4500
97.   action permit
98. rule name ipsec_office
99.   source-zone trust
100.   source-zone untrust
101.   destination-zone trust
102.   destination-zone untrust               
103.   source-address 10.1.1.0 mask 255.255.255.0
104.   source-address 192.168.3.0 mask 255.255.255.0
105.   destination-address 10.1.1.0 mask 255.255.255.0
106.   destination-address 192.168.3.0 mask 255.255.255.0
107.   action permit
108. rule name icmp
109.   source-zone local
110.   service icmp
111.   action permit
113. #
114. nat-policy
115. rule name no-nat
116.   source-zone trust
117.   destination-zone untrust
118.   source-address 10.1.1.0 mask 255.255.255.0
119.   source-address 192.16.3.0 mask 255.255.255.0
120.   destination-address 10.1.1.0 mask 255.255.255.0
121.   destination-address 192.16.3.0 mask 255.255.255.0
122.   action no-nat
123. rule name to_internet
124.   source-zone trust
125.   destination-zone untrust
126.   source-address 192.16.3.0 mask 255.255.255.0
127.   action source-nat easy-ip

复制代码

Fw4

1. sysname fw4
3. #
4. acl number 3000
5. rule 5 permit ip source 172.16.1.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
6. #
7. ipsec proposal 1
8. esp authentication-algorithm sha2-256
9. esp encryption-algorithm aes-256
10. #
11. ike proposal 1
12. encryption-algorithm aes-256
13. dh group14
14. authentication-algorithm sha2-256        
15. authentication-method pre-share
16. integrity-algorithm hmac-sha2-256
17. prf hmac-sha2-256
18. #
19. ike peer to_isp1
20. pre-shared-key Huawei@123
21. ike-proposal 1
22. dpd type periodic
23. dpd idle-time 10
24. dpd retransmit-interval 2
25. remote-address 202.2.2.1
26. ike peer to_isp2
27. pre-shared-key Huawei@123
28. ike-proposal 1
29. remote-address 40.1.1.1
30. #
31. ipsec policy POLICY_1 5 isakmp
32. security acl 3000
33. ike-peer to_isp1
34. proposal 1
35. ipsec policy POLICY_2 5 isakmp
36. security acl 3000
37. ike-peer to_isp2
38. proposal 1                              
40. #
41. interface GigabitEthernet1/0/0
42. undo shutdown                           
43. ip address 172.16.1.1 255.255.255.0
44. service-manage ping permit
45. #
46. interface GigabitEthernet1/0/1
47. undo shutdown
48. ip address 205.1.1.2 255.255.255.0
49. service-manage ping permit
51. #
52. interface Tunnel1
53. ip address unnumbered interface GigabitEthernet1/0/1
54. tunnel-protocol ipsec
55. ipsec policy POLICY_1
56. #
57. interface Tunnel2
58. ip address unnumbered interface GigabitEthernet1/0/1
59. tunnel-protocol ipsec
60. ipsec policy POLICY_2
62. #
63. firewall zone trust
64. set priority 85
65. add interface GigabitEthernet1/0/0
66. #
67. firewall zone untrust
68. set priority 5
69. add interface GigabitEthernet1/0/1      
70. add interface Tunnel1
71. add interface Tunnel2
72. #
73. firewall zone dmz
74. set priority 50
75. #
76. ip route-static 0.0.0.0 0.0.0.0 205.1.1.1
78. #
79. security-policy
80. rule name to_internet
81.   source-zone trust
82.   destination-zone untrust
83.   source-address 172.16.1.0 mask 255.255.255.0
84.   action permit
85. rule name ipsec_ike
86.   source-zone local
87.   source-zone untrust
88.   destination-zone local
89.   destination-zone untrust
90.   source-address 202.2.2.1 mask 255.255.255.255
91.   source-address 205.1.1.2 mask 255.255.255.255
92.   source-address 40.1.1.1 mask 255.255.255.255
93.   destination-address 202.2.2.1 mask 255.255.255.255
94.   destination-address 205.1.1.2 mask 255.255.255.255
95.   destination-address 40.1.1.1 mask 255.255.255.255
96.   service protocol udp source-port 500 destination-port 500
97.   action permit
98. rule name ipsec_esp
99.   source-zone untrust
100.   destination-zone local
101.   source-address 202.2.2.1 mask 255.255.255.255
102.   source-address 40.1.1.1 mask 255.255.255.255
103.   destination-address 205.1.1.2 mask 255.255.255.255
104.   service esp
105.   action permit
106. rule name ipsec_office
107.   source-zone trust                       
108.   source-zone untrust
109.   destination-zone trust
110.   destination-zone untrust
111.   source-address 10.1.1.0 mask 255.255.255.0
112.   source-address 172.16.1.0 mask 255.255.255.0
113.   destination-address 10.1.1.0 mask 255.255.255.0
114.   destination-address 172.16.1.0 mask 255.255.255.0
115.   action permit

复制代码

ISP1

1. sys
2. sys isp1
4. int g0/0/1
5. ip add 202.2.2.6 29
6. int g0/0/0
7. ip add 18.1.1.1 24
9. ospf 10 router-id 1.1.1.1
10. a 0
11. net 202.2.2.6 0.0.0.7
12. net 18.1.1.0 0.0.0.255

复制代码

ISP2

1. sys
2. sys isp2
4. int g0/0/1
5. ip add 40.1.1.6 29
6. int g0/0/0
7. ip add 18.1.1.2 24
9. ospf 10 router-id 2.2.2.2
10. a 0
11. net 40.1.1.6 0.0.0.7
12. net 18.1.1.0 0.0.0.255

复制代码

ISP3

1. sys
2. sys isp3
4. int g0/0/2
5. ip add 200.1.1.1 24
6. int g0/0/0
7. ip add 18.1.1.3 24
9. ospf 10 router-id 3.3.3.3
10. a 0
11. net 200.1.1.2 0.0.0.255
12. net 18.1.1.0 0.0.0.255

复制代码

ISP4

1. sys
2. sys isp4
4. int g0/0/1
5. ip add 205.1.1.1 24
6. int g0/0/0
7. ip add 18.1.1.4 24
9. ospf 10 router-id 4.4.4.4
10. a 0
11. net 205.1.1.1 0.0.0.255
12. net 18.1.1.0 0.0.0.255

复制代码

NAT-Device

1. sys
2. sys NAT-Device
4. acl number 2000  
5. rule 5 permit source 201.1.1.0 0.0.0.255
7. dhcp en
8. nat address-group 1 200.1.1.100 200.1.1.200
10. interface GigabitEthernet0/0/1
11. ip address 201.1.1.1 255.255.255.0
12. dhcp select interface
13. interface GigabitEthernet0/0/2
14. ip address 200.1.1.2 255.255.255.0
15. nat outbound 2000 address-group 1
17. ip route-static 0.0.0.0 0.0.0.0 200.1.1.1

复制代码

4.3 故障测试

FW1正常时

1. HRP_M[Fw1]
2. HRP_M[Fw1]display ip routing-table
3. 2023-12-08 03:33:19.840
4. Route Flags: R - relay, D - download to fib
5. ------------------------------------------------------------------------------
6. Routing Tables: Public
7.          Destinations : 14       Routes : 14      
9. Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface
11.         0.0.0.0/0   Static  60   0          RD   202.2.2.6       GigabitEthernet1/0/3
12.        10.1.1.0/24  Direct  0    0           D   10.1.1.2        GigabitEthernet1/0/1
13.        10.1.1.2/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/1
14.      10.1.1.254/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/1
15.        40.1.1.0/29  Direct  0    0           D   40.1.1.2        GigabitEthernet1/0/5
16.        40.1.1.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/5
17.        40.1.1.2/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/5
18.       100.1.1.0/24  Direct  0    0           D   100.1.1.1       GigabitEthernet1/0/6
19.       100.1.1.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/6
20.       127.0.0.0/8   Direct  0    0           D   127.0.0.1       InLoopBack0
21.       127.0.0.1/32  Direct  0    0           D   127.0.0.1       InLoopBack0
22.       202.2.2.0/29  Direct  0    0           D   202.2.2.2       GigabitEthernet1/0/3
23.       202.2.2.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/3
24.       202.2.2.2/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/3
26. HRP_M[Fw1]
27. HRP_M[Fw1]display vrrp brief
28. 2023-12-08 03:28:56.630
29. Total:3     Master:3     Backup:0     Non-active:0      
30. VRID  State        Interface                Type     Virtual IP     
31. ----------------------------------------------------------------
32. 1     Master       GE1/0/3                  Vgmp     202.2.2.1      
33. 2     Master       GE1/0/5                  Vgmp     40.1.1.1      
34. 3     Master       GE1/0/1                  Vgmp     10.1.1.254     
35. HRP_M[Fw1]
36. HRP_M[Fw1]display ike sa
37. 2023-12-08 03:29:08.260
39. IKE SA information :
40. Conn-ID    Peer                                          VPN              Flag(s)               Phase  RemoteType  RemoteID        
41. ------------------------------------------------------------------------------------------------------------------------------------
42. 33         200.1.1.198:65064                                              RD|M                  v2:2   IP          201.1.1.254     
43. 30         200.1.1.198:65064                                              RD|M                  v2:1   IP          201.1.1.254     
44. 44         205.1.1.2:500                                                  RD|ST|M               v2:2   IP          205.1.1.2      
45. 39         205.1.1.2:500                                                  RD|ST|M               v2:1   IP          205.1.1.2      
46. 32         200.1.1.198:64552                                              RD|M                  v2:2   IP          201.1.1.254     
47. 31         200.1.1.198:64552                                              RD|M                  v2:1   IP          201.1.1.254     
48. 43         205.1.1.2:500                                                  RD|M                  v2:2   IP          205.1.1.2      
49. 41         205.1.1.2:500                                                  RD|M                  v2:1   IP          205.1.1.2      
51.   Number of IKE SA : 8
52. ------------------------------------------------------------------------------------------------------------------------------------
54. Flag Description:
55. RD--READY   ST--STAYALIVE   RL--REPLACED   FD--FADING   TO--TIMEOUT
56. HRT--HEARTBEAT   LKG--LAST KNOWN GOOD SEQ NO.   BCK--BACKED UP
57. M--ACTIVE   S--STANDBY   A--ALONE  NEG--NEGOTIATING
59. HRP_M[Fw1]
60. HRP_M[Fw1]display ipsec sa brief
61. 2023-12-08 03:29:26.490
63. IPSec SA information:
64.    Src address                             Dst address                             SPI
65.    VPN                                     Protocol                                Algorithm
66. --------------------------------------------------------------------------------------------------------------------------
67.    202.2.2.1                               200.1.1.198                             196662029
68.                                            ESP                                     E:AES-256 A:SHA2_256_128
69.    40.1.1.1                                200.1.1.198                             194138009
70.                                            ESP                                     E:AES-256 A:SHA2_256_128
71.    40.1.1.1                                205.1.1.2                               200362542
72.                                            ESP                                     E:AES-256 A:SHA2_256_128
73.    200.1.1.198                             202.2.2.1                               194760684
74.                                            ESP                                     E:AES-256 A:SHA2_256_128
75.    205.1.1.2                               40.1.1.1                                185700354
76.                                            ESP                                     E:AES-256 A:SHA2_256_128
77.    202.2.2.1                               205.1.1.2                               197910612
78.                                            ESP                                     E:AES-256 A:SHA2_256_128
79.    205.1.1.2                               202.2.2.1                               190270246
80.                                            ESP                                     E:AES-256 A:SHA2_256_128
81.    200.1.1.198                             40.1.1.1                                194466263
82.                                            ESP                                     E:AES-256 A:SHA2_256_128
84.   Number of IPSec SA : 8
85. --------------------------------------------------------------------------------------------------------------------------
86. HRP_M[Fw1]
87. HRP_M[Fw1]

复制代码

PC1测试

1. PC>
2. PC>ping 172.16.1.10
4. Ping 172.16.1.10: 32 data bytes, Press Ctrl_C to break
5. Request timeout!
6. Request timeout!
7. From 172.16.1.10: bytes=32 seq=3 ttl=126 time=94 ms
8. From 172.16.1.10: bytes=32 seq=4 ttl=126 time=78 ms
9. From 172.16.1.10: bytes=32 seq=5 ttl=126 time=78 ms
11. --- 172.16.1.10 ping statistics ---
12.   5 packet(s) transmitted
13.   3 packet(s) received
14.   40.00% packet loss
15.   round-trip min/avg/max = 0/83/94 ms
17. PC>
18. PC>
19. PC>ping 192.168.3.10
21. Ping 192.168.3.10: 32 data bytes, Press Ctrl_C to break
22. Request timeout!
23. From 192.168.3.10: bytes=32 seq=2 ttl=126 time=78 ms
24. From 192.168.3.10: bytes=32 seq=3 ttl=126 time=109 ms
25. From 192.168.3.10: bytes=32 seq=4 ttl=126 time=78 ms
26. From 192.168.3.10: bytes=32 seq=5 ttl=126 time=79 ms
28. --- 192.168.3.10 ping statistics ---
29.   5 packet(s) transmitted
30.   4 packet(s) received
31.   20.00% packet loss
32.   round-trip min/avg/max = 0/86/109 ms
34. PC>

复制代码

isp1链路故障模仿

关闭ISP1接口

1. [isp1-GigabitEthernet0/0/1]shutdown

复制代码

Fw1成为备墙

1. HRP_M[Fw1]
2. HRP_M[Fw1]
3. Dec  8 2023 03:34:52 Fw1 %%01HEALTHCHECK/4/DOWN(l)[93]:Detect changed status to down (Protocol=icmp,DestinationIp=202.2.2.6,DestinationPort=0).
4. Dec  8 2023 03:34:52 Fw1 %%01HRPI/4/PRIORITY_CHANGE(l)[94]:The priority of the local VGMP group changed. (change_reason="The IP-link went Down.", local_old_priority=45000, local_new_priority=44998)
5. Dec  8 2023 03:34:52 Fw1 %%01HEALTHCHECK/3/DOWN(l)[95]:IP-Link to_isp1 changed status to down (Protocol=icmp,DestinationIp=202.2.2.6,DestinationPort=0).
6. Dec  8 2023 03:34:52 Fw1 HEALTHCHECK/2/DOWN:OID 1.3.6.1.4.1.2011.6.122.45.2.2 IP-link to_isp1 changes status to down.
7. Dec  8 2023 03:34:52 Fw1 HRPI/1/CORE_STATE:1.3.6.1.4.1.2011.6.122.51.2.2.1 The HRP core state changed due to "Ip-link change to Down". (old_state=normal,new_state=abnormal(standby), local_priority=44998, peer_priority=45000)
8. Dec  8 2023 03:34:52 Fw1 %%01RM/4/IPV4_DEFT_RT_CHG(l)[96]:IPV4 default Route is changed. (ChangeType=Delete, InstanceId=0, Protocol=Static, ExitIf=GigabitEthernet1/0/3, Nexthop=202.2.2.6, Neighbour=0.0.0.0, Preference=60, Label=NULL, Metric=0)
9. Dec  8 2023 03:34:52 Fw1 %%01RM/4/IPV4_DEFT_RT_CHG(l)[97]:IPV4 default Route is changed. (ChangeType=Add, InstanceId=0, Protocol=Static, ExitIf=GigabitEthernet1/0/5, Nexthop=40.1.1.6, Neighbour=0.0.0.0, Preference=70, Label=NULL, Metric=0)
10. Dec  8 2023 03:34:52 Fw1 %%01HRPI/4/CORE_STATE(l)[98]:The HRP core state changed due to "Ip-link change to Down". (old_state=normal, new_state=abnormal(standby), local_priority=44998, peer_priority=45000)
11. HRP_S[Fw1]

复制代码

Fw2成为主墙

1. HRP_M<Fw2>
2. HRP_M<Fw2>display ip routing-table
3. 2023-12-08 03:35:47.240
4. Route Flags: R - relay, D - download to fib
5. ------------------------------------------------------------------------------
6. Routing Tables: Public
7.          Destinations : 14       Routes : 14      
9. Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface
11.         0.0.0.0/0   Static  70   0          RD   40.1.1.6        GigabitEthernet1/0/5
12.        10.1.1.0/24  Direct  0    0           D   10.1.1.3        GigabitEthernet1/0/1
13.        10.1.1.3/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/1
14.      10.1.1.254/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/1
15.        40.1.1.0/29  Direct  0    0           D   40.1.1.3        GigabitEthernet1/0/5
16.        40.1.1.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/5
17.        40.1.1.3/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/5
18.       100.1.1.0/24  Direct  0    0           D   100.1.1.2       GigabitEthernet1/0/6
19.       100.1.1.2/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/6
20.       127.0.0.0/8   Direct  0    0           D   127.0.0.1       InLoopBack0
21.       127.0.0.1/32  Direct  0    0           D   127.0.0.1       InLoopBack0
22.       202.2.2.0/29  Direct  0    0           D   202.2.2.3       GigabitEthernet1/0/3
23.       202.2.2.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/3
24.       202.2.2.3/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/3
26. HRP_M<Fw2>
27. HRP_M<Fw2>display ip-link
28. 2023-12-08 03:35:52.990
29. Current Total Ip-link Number : 1
30. Name                              Member   State   Up/Down/Init
31. to_isp1                           1        down    0  1    0   
32. HRP_M<Fw2>
33. HRP_M<Fw2>display ike sa
34. 2023-12-08 03:36:00.940
36. IKE SA information :
37. Conn-ID    Peer                                          VPN              Flag(s)               Phase  RemoteType  RemoteID        
38. ------------------------------------------------------------------------------------------------------------------------------------
39. 22         200.1.1.198:64552                                              RD|M                  v2:2   IP          201.1.1.254     
40. 21         200.1.1.198:64552                                              RD|M                  v2:1   IP          201.1.1.254     
41. 20         205.1.1.2:500                                                  RD|ST|M               v2:2   IP          205.1.1.2      
42. 19         205.1.1.2:500                                                  RD|ST|M               v2:1   IP          205.1.1.2      
43. 18         205.1.1.2:500                                                  RD|M                  v2:2   IP          205.1.1.2      
44. 17         205.1.1.2:500                                                  RD|M                  v2:1   IP          205.1.1.2      
46.   Number of IKE SA : 6
47. ------------------------------------------------------------------------------------------------------------------------------------
49. Flag Description:
50. RD--READY   ST--STAYALIVE   RL--REPLACED   FD--FADING   TO--TIMEOUT
51. HRT--HEARTBEAT   LKG--LAST KNOWN GOOD SEQ NO.   BCK--BACKED UP
52. M--ACTIVE   S--STANDBY   A--ALONE  NEG--NEGOTIATING
54. HRP_M<Fw2>
55. HRP_M<Fw2>
56. HRP_M<Fw2>display vrrp brief
57. 2023-12-08 03:36:23.660
58. Total:3     Master:3     Backup:0     Non-active:0      
59. VRID  State        Interface                Type     Virtual IP     
60. ----------------------------------------------------------------
61. 1     Master       GE1/0/3                  Vgmp     202.2.2.1      
62. 2     Master       GE1/0/5                  Vgmp     40.1.1.1      
63. 3     Master       GE1/0/1                  Vgmp     10.1.1.254     
64. HRP_M<Fw2>
65. HRP_M<Fw2>
66. HRP_M<Fw2>display ipsec sa brief
67. 2023-12-08 03:36:09.140
69. IPSec SA information:
70.    Src address                             Dst address                             SPI
71.    VPN                                     Protocol                                Algorithm
72. --------------------------------------------------------------------------------------------------------------------------
73.    40.1.1.1                                200.1.1.198                             196406332
74.                                            ESP                                     E:AES-256 A:SHA2_256_128
75.    40.1.1.1                                205.1.1.2                               200362542
76.                                            ESP                                     E:AES-256 A:SHA2_256_128
77.    205.1.1.2                               40.1.1.1                                185700354
78.                                            ESP                                     E:AES-256 A:SHA2_256_128
79.    202.2.2.1                               205.1.1.2                               197910612
80.                                            ESP                                     E:AES-256 A:SHA2_256_128
81.    205.1.1.2                               202.2.2.1                               190270246
82.                                            ESP                                     E:AES-256 A:SHA2_256_128
83.    200.1.1.198                             40.1.1.1                                200558179
84.                                            ESP                                     E:AES-256 A:SHA2_256_128
86.   Number of IPSec SA : 6
87. --------------------------------------------------------------------------------------------------------------------------
88. HRP_M<Fw2>
89. HRP_M<Fw2>display hrp state
90. 2023-12-08 03:36:41.460
91. Role: active, peer: standby (should be "standby-active")
92. Running priority: 45000, peer: 44998
93. Backup channel usage: 0.00%
94. Stable time: 0 days, 0 hours, 3 minutes
95. Last state change information: 2023-12-08 3:33:36 HRP core state changed, old_state = normal, new_state = abnormal(active), local_priority = 45000, peer_priority = 44998.
97. HRP_M<Fw2>
98. HRP_M<Fw2>

复制代码

PC1测试

1. PC>
2. PC>ping 172.16.1.10
4. Ping 172.16.1.10: 32 data bytes, Press Ctrl_C to break
5. Request timeout!
6. From 172.16.1.10: bytes=32 seq=2 ttl=126 time=94 ms
7. From 172.16.1.10: bytes=32 seq=3 ttl=126 time=94 ms
8. From 172.16.1.10: bytes=32 seq=4 ttl=126 time=78 ms
9. From 172.16.1.10: bytes=32 seq=5 ttl=126 time=94 ms
11. --- 172.16.1.10 ping statistics ---
12.   5 packet(s) transmitted
13.   4 packet(s) received
14.   20.00% packet loss
15.   round-trip min/avg/max = 0/90/94 ms
17. PC>
18. PC>ping 192.168.3.10
20. Ping 192.168.3.10: 32 data bytes, Press Ctrl_C to break
21. Request timeout!
22. From 192.168.3.10: bytes=32 seq=2 ttl=126 time=125 ms
23. From 192.168.3.10: bytes=32 seq=3 ttl=126 time=110 ms
24. From 192.168.3.10: bytes=32 seq=4 ttl=126 time=78 ms
25. From 192.168.3.10: bytes=32 seq=5 ttl=126 time=93 ms
27. --- 192.168.3.10 ping statistics ---
28.   5 packet(s) transmitted
29.   4 packet(s) received
30.   20.00% packet loss
31.   round-trip min/avg/max = 0/101/125 ms
33. PC>

复制代码

isp1链路故障规复

规复ISP1接口

1. [isp1-GigabitEthernet0/0/1]undo shutdown

复制代码

Fw1成为主墙

1. HRP_S[Fw1]
2. HRP_S[Fw1]
3. Dec  8 2023 03:43:22 Fw1 %%01HRPI/4/PRIORITY_CHANGE(l)[99]:The priority of the local VGMP group changed. (change_reason="The IP-link went Up.", local_old_priority=44998, local_new_priority=45000)
4. Dec  8 2023 03:43:22 Fw1 HEALTHCHECK/6/UP:OID 1.3.6.1.4.1.2011.6.122.45.2.1 IP-link to_isp1 changes status to up.
5. Dec  8 2023 03:43:22 Fw1 %%01RM/4/IPV4_DEFT_RT_CHG(l)[100]:IPV4 default Route is changed. (ChangeType=Add, InstanceId=0, Protocol=Static, ExitIf=GigabitEthernet1/0/3, Nexthop=202.2.2.6, Neighbour=0.0.0.0, Preference=60, Label=NULL, Metric=0)
6. Dec  8 2023 03:43:22 Fw1 %%01RM/4/IPV4_DEFT_RT_CHG(l)[101]:IPV4 default Route is changed. (ChangeType=Delete, InstanceId=0, Protocol=Static, ExitIf=GigabitEthernet1/0/5, Nexthop=40.1.1.6, Neighbour=0.0.0.0, Preference=70, Label=NULL, Metric=0)
7. HRP_S[Fw1]
8. Dec  8 2023 03:44:23 Fw1 HRPI/1/CORE_STATE:1.3.6.1.4.1.2011.6.122.51.2.2.1 The HRP core state changed due to "Ip-link change to UP". (old_state=abnormal(standby),new_state=normal, local_priority=45000, peer_priority=45000)
9. Dec  8 2023 03:44:23 Fw1 %%01HRPI/4/CORE_STATE(l)[102]:The HRP core state changed due to "Ip-link change to UP". (old_state=abnormal(standby), new_state=normal, local_priority=45000, peer_priority=45000)
10. HRP_M[Fw1]
11. HRP_M[Fw1]
13. HRP_M<Fw1>
14. HRP_M<Fw1>
15. HRP_M<Fw1>display ip routing-table
16. 2023-12-08 04:49:14.320
17. Route Flags: R - relay, D - download to fib
18. ------------------------------------------------------------------------------
19. Routing Tables: Public
20.          Destinations : 14       Routes : 14      
22. Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface
24.         0.0.0.0/0   Static  60   0          RD   202.2.2.6       GigabitEthernet1/0/3
25.        10.1.1.0/24  Direct  0    0           D   10.1.1.2        GigabitEthernet1/0/1
26.        10.1.1.2/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/1
27.      10.1.1.254/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/1
28.        40.1.1.0/29  Direct  0    0           D   40.1.1.2        GigabitEthernet1/0/5
29.        40.1.1.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/5
30.        40.1.1.2/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/5
31.       100.1.1.0/24  Direct  0    0           D   100.1.1.1       GigabitEthernet1/0/6
32.       100.1.1.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/6
33.       127.0.0.0/8   Direct  0    0           D   127.0.0.1       InLoopBack0
34.       127.0.0.1/32  Direct  0    0           D   127.0.0.1       InLoopBack0
35.       202.2.2.0/29  Direct  0    0           D   202.2.2.2       GigabitEthernet1/0/3
36.       202.2.2.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/3
37.       202.2.2.2/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/3
39. HRP_M<Fw1>
40. HRP_M<Fw1>display ip-link
41. 2023-12-08 04:49:19.270
42. Current Total Ip-link Number : 1
43. Name                              Member   State   Up/Down/Init
44. to_isp1                           1        up      1  0    0   
45. HRP_M<Fw1>
46. HRP_M<Fw1>display vrrp brief
47. 2023-12-08 04:49:22.630
48. Total:3     Master:3     Backup:0     Non-active:0      
49. VRID  State        Interface                Type     Virtual IP     
50. ----------------------------------------------------------------
51. 1     Master       GE1/0/3                  Vgmp     202.2.2.1      
52. 2     Master       GE1/0/5                  Vgmp     40.1.1.1      
53. 3     Master       GE1/0/1                  Vgmp     10.1.1.254     
54. HRP_M<Fw1>
55. HRP_M<Fw1>
56. HRP_M<Fw1>dis
57. HRP_M<Fw1>display ike sa
58. 2023-12-08 04:49:26.730
60. IKE SA information :
61. Conn-ID    Peer                                          VPN              Flag(s)               Phase  RemoteType  RemoteID        
62. ------------------------------------------------------------------------------------------------------------------------------------
63. 54         200.1.1.198:23849                                              RD|ST|M               v2:2   IP          201.1.1.254     
64. 47         200.1.1.198:23849                                              RD|M                  v2:1   IP          201.1.1.254     
65. 52         200.1.1.198:64552                                              RD|ST|M               v2:2   IP          201.1.1.254     
66. 45         200.1.1.198:64552                                              RD|M                  v2:1   IP          201.1.1.254     
67. 51         205.1.1.2:500                                                  RD|ST|M               v2:2   IP          205.1.1.2      
68. 39         205.1.1.2:500                                                  RD|ST|M               v2:1   IP          205.1.1.2      
69. 53         205.1.1.2:500                                                  RD|ST|M               v2:2   IP          205.1.1.2      
70. 49         205.1.1.2:500                                                  RD|M                  v2:1   IP          205.1.1.2      
72.   Number of IKE SA : 8
73. ------------------------------------------------------------------------------------------------------------------------------------
75. Flag Description:
76. RD--READY   ST--STAYALIVE   RL--REPLACED   FD--FADING   TO--TIMEOUT
77. HRT--HEARTBEAT   LKG--LAST KNOWN GOOD SEQ NO.   BCK--BACKED UP
78. M--ACTIVE   S--STANDBY   A--ALONE  NEG--NEGOTIATING
80. HRP_M<Fw1>
81. HRP_M<Fw1>
82. HRP_M<Fw1>display ipsec sa brief
83. 2023-12-08 04:49:45.770
85. IPSec SA information:
86.    Src address                             Dst address                             SPI
87.    VPN                                     Protocol                                Algorithm
88. --------------------------------------------------------------------------------------------------------------------------
89.    40.1.1.1                                205.1.1.2                               185561417
90.                                            ESP                                     E:AES-256 A:SHA2_256_128
91.    202.2.2.1                               200.1.1.198                             189671080
92.                                            ESP                                     E:AES-256 A:SHA2_256_128
93.    40.1.1.1                                200.1.1.198                             184812195
94.                                            ESP                                     E:AES-256 A:SHA2_256_128
95.    205.1.1.2                               40.1.1.1                                199431858
96.                                            ESP                                     E:AES-256 A:SHA2_256_128
97.    200.1.1.198                             202.2.2.1                               198882347
98.                                            ESP                                     E:AES-256 A:SHA2_256_128
99.    200.1.1.198                             40.1.1.1                                199012368
100.                                            ESP                                     E:AES-256 A:SHA2_256_128
101.    205.1.1.2                               202.2.2.1                               195484779
102.                                            ESP                                     E:AES-256 A:SHA2_256_128
103.    202.2.2.1                               205.1.1.2                               194413064
104.                                            ESP                                     E:AES-256 A:SHA2_256_128
106.   Number of IPSec SA : 8
107. --------------------------------------------------------------------------------------------------------------------------
108. HRP_M<Fw1>
109. HRP_M<Fw1>

复制代码

Fw2成为备墙

1. HRP_M<Fw2>
2. HRP_M<Fw2>
3. Dec  8 2023 03:42:09 Fw2 HEALTHCHECK/6/UP:OID 1.3.6.1.4.1.2011.6.122.45.2.1 IP-link to_isp1 changes status to up.
4. Dec  8 2023 03:42:09 Fw2 %%01RM/4/IPV4_DEFT_RT_CHG(l)[1]:IPV4 default Route is changed. (ChangeType=Add, InstanceId=0, Protocol=Static, ExitIf=GigabitEthernet1/0/3, Nexthop=202.2.2.6, Neighbour=0.0.0.0, Preference=60, Label=NULL, Metric=0)
5. Dec  8 2023 03:42:09 Fw2 %%01RM/4/IPV4_DEFT_RT_CHG(l)[2]:IPV4 default Route is changed. (ChangeType=Delete, InstanceId=0, Protocol=Static, ExitIf=GigabitEthernet1/0/5, Nexthop=40.1.1.6, Neighbour=0.0.0.0, Preference=70, Label=NULL, Metric=0)
6. HRP_M<Fw2>
7. HRP_M<Fw2>
8. HRP_M<Fw2>
9. HRP_M<Fw2>
10. HRP_M<Fw2>
11. HRP_M<Fw2>
12. Dec  8 2023 03:43:07 Fw2 HRPI/1/CORE_STATE:1.3.6.1.4.1.2011.6.122.51.2.2.1 The HRP core state changed due to "Unknown". (old_state=abnormal(active),new_state=normal, local_priority=45000, peer_priority=45000)
13. Dec  8 2023 03:43:07 Fw2 %%01HRPI/4/CORE_STATE(l)[3]:The HRP core state changed due to "Unknown". (old_state=abnormal(active), new_state=normal, local_priority=45000, peer_priority=45000)
14. HRP_S<Fw2>
15. HRP_S<Fw2>

复制代码

PC1测试

1. PC>
2. PC>ping 192.168.3.10
4. Ping 192.168.3.10: 32 data bytes, Press Ctrl_C to break
5. From 192.168.3.10: bytes=32 seq=1 ttl=126 time=93 ms
6. From 192.168.3.10: bytes=32 seq=2 ttl=126 time=63 ms
7. From 192.168.3.10: bytes=32 seq=3 ttl=126 time=94 ms
8. From 192.168.3.10: bytes=32 seq=4 ttl=126 time=110 ms
9. From 192.168.3.10: bytes=32 seq=5 ttl=126 time=94 ms
11. --- 192.168.3.10 ping statistics ---
12.   5 packet(s) transmitted
13.   5 packet(s) received
14.   0.00% packet loss
15.   round-trip min/avg/max = 63/90/110 ms
17. PC>
18. PC>
19. PC>ping 172.16.1.10
21. Ping 172.16.1.10: 32 data bytes, Press Ctrl_C to break
22. Request timeout!
23. From 172.16.1.10: bytes=32 seq=2 ttl=126 time=109 ms
24. From 172.16.1.10: bytes=32 seq=3 ttl=126 time=63 ms
25. From 172.16.1.10: bytes=32 seq=4 ttl=126 time=93 ms
26. From 172.16.1.10: bytes=32 seq=5 ttl=126 time=94 ms
28. --- 172.16.1.10 ping statistics ---
29.   5 packet(s) transmitted
30.   4 packet(s) received
31.   20.00% packet loss
32.   round-trip min/avg/max = 0/89/109 ms
34. PC>

复制代码

4.4 流量走向诉求形貌

• 当FW1 连接 ISP1 链路故障 或者 设备故障，但是 ISP1 未故障。可以通过VRRP感知故障，并联动双机热备 触发防火墙主备切换，即Fw2成为主墙。此时FW2上 主用缺省路由 绑定的 ip-link isp1并未感知ISP1网络出现故障，流量通过去往ISP1的G0/0/3口转发，且通过双机热备技术 同步状态会话表项，保证业务不绝止。
  
• 当FW1 连接 ISP1 链路未故障，但是 ISP1 故障。可以通过IP-Link感知故障，并联动双机热备 触发防火墙主备切换，即Fw2成为主墙。此时FW2上 主用缺省路由 绑定的 ip-link isp1感知ISP1网络出现故障，流量通过去往ISP2的G0/0/5口转发，且通过双机热备技术 同步状态会话表项，保证业务不绝止。
  
• 当FW1 设备故障，但是 ISP1 故障。可以通过VRRP感知故障，并联动双机热备 触发防火墙主备切换，即Fw2成为主墙。此时FW2上 主用缺省路由 绑定的 ip-link isp1感知ISP1网络出现故障，流量通过去往ISP2的G0/0/5口转发，且通过双机热备技术 同步状态会话表项，保证业务不绝止。
  
• 当FW1 连接 ISP1 链路规复，ISP1 规复。可以通过VRRP、IP-Link感知故障规复，触发防火墙以及浮动缺省路由主备回切，流量通过FW1的G0/0/3接口转发，且通过双机热备技术 同步状态会话表项，保证业务不绝止。
  

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。

继续阅读请点击广告