華賽USG5310防火牆雙機熱備配置教程

組網需求
FW-USG5310作為安全裝置被部署在業務節點上，其中下行裝置是交換器，FW1、FW2分別充當主用裝置和備用裝置，實現雙機熱備份組網。
網路規劃如下：
     1.內部網路通過路由器與FW1、FW2的GigabitEthernet 0/0/2介面相連，部署在Trust地區。
     2.外部網路通過路由器與FW1、FW2的GigabitEthernet 0/0/1介面相連，部署在Untrust地區。
     3.兩台FW-USG5310的HRP備份通道介面GigabitEthernet 0/0/3部署在Trust地區。
其中，各安全區域對應的備份組虛擬IP地址如下：
     1.Trust地區對應的備份組虛擬IP地址為192.168.233.254。
     2.Untrust地區對應的備份組虛擬IP地址為1.1.1.1（外網ip）。
 

配置主備備份方式下的雙機熱備組網圖
FW-USG5310 介面             IP地址                 虛擬IP地址
FW1  GigabitEthernet 0/0/2 192.168.233.252/24 192.168.233.254/24
  GigabitEthernet 0/0/3 192.168.232.252/24 -
  GigabitEthernet 0/0/1 1.1.1.2/24         1.1.1.1/24

FW2  GigabitEthernet 0/0/2 192.168.233.253/24 192.168.233.254/24
  GigabitEthernet 0/0/3 192.168.232.253/24 -
  GigabitEthernet 0/0/1 1.1.1.3/24         1.1.1.1/24
配置思路
1.在主備裝置上配置FW-USG5310相關介面的IP地址，將介面加入相應的安全區域。
2.在主備裝置上配置VRRP備份組，並配置備份組的虛擬IP地址。
3.在主備裝置上配置HRP備份通道，並啟動HRP。
4.在主裝置上啟動配置命令的自動備份、並配置Trust地區和Untrust地區的域間包過濾規則。
5.配置Switch。
說明：
由於VRRP HELLO報文為組播報文，啟用VRRP時上下行裝置必須具有二層交換功能（包括二層交換器或者帶二層板的路由器），否則備用FW-USG5310無法收到主用FW-USG5310發送的VRRP HELLO報文。
操作步驟
1.在FW1上完成以下基本配置。
# 配置GigabitEthernet 0/0/2的IP地址。
 system-view
[FW1] interface GigabitEthernet 0/0/2
[FW1-GigabitEthernet0/0/2] ip address 192.168.233.252 24
[FW1-GigabitEthernet0/0/2] quit
# 配置GigabitEthernet 0/0/3的IP地址。
[FW1] interface GigabitEthernet 0/0/3
[FW1-GigabitEthernet0/0/3] ip address 192.168.232.252 24
[FW1-GigabitEthernet0/0/3] quit
# 配置GigabitEthernet 0/0/1的IP地址。
[FW1] interface GigabitEthernet 0/0/1
[FW1-GigabitEthernet0/0/1] ip address 1.1.1.2 24
[FW1-GigabitEthernet0/0/1] quit
# 配置GigabitEthernet 0/0/2加入Trust地區。
[FW1] firewall zone trust
[FW1-zone-trust] add interface GigabitEthernet 0/0/2
[FW1-zone-trust] quit
# 配置GigabitEthernet 0/0/3加入Trust地區。
[FW1] firewall zone trust
[FW1-zone-dmz] add interface GigabitEthernet 0/0/3
[FW1-zone-dmz] quit
# 配置GigabitEthernet 0/0/1加入Untrust地區。
[FW1] firewall zone untrust
[FW1-zone-untrust] add interface GigabitEthernet 0/0/1
[FW1-zone-untrust] quit
# 配置VRRP備份組1，並配置備份組的虛擬IP地址。
注意：
配置介面加入VRRP備份組前，需要先配置介面IP地址。
請確保虛擬IP地址和任何介面的實際IP地址不同。
[FW1] interface GigabitEthernet 0/0/2
[FW1-GigabitEthernet0/0/2] vrrp vrid 1 virtual-ip 192.168.233.254 24 master
[FW1-GigabitEthernet0/0/2] quit
# 配置VRRP備份組2，並配置備份組的虛擬IP地址。
[FW1] interface GigabitEthernet 0/0/1
[FW1-GigabitEthernet0/0/1] vrrp vrid 2 virtual-ip 1.1.1.1 24 master
[FW1-GigabitEthernet0/0/1] quit
# 配置HRP備份通道。
注意：
主備FW-USG5310的HRP備份通道介面必須直接相連，中間不能串連交換器。
[FW1] hrp interface GigabitEthernet 0/0/3
# 啟動HRP。
[FW1] hrp enable
2.配置FW2。
FW2和上述FW1的配置基本相同，不同之處在於：
FW2各介面的IP地址與FW1各介面的IP地址不相同。
FW2的VRRP指定的管理組應該設為Slave。
2.在FW1上啟動配置命令的自動備份、配置Trust地區和Untrust地區的域間包過濾規則。
說明：
當FW1和FW2都啟動HRP功能完成後，在FW1上開啟配置命令的自動備份，這樣在FW1上配置的域間包過濾規則都將自動備份到FW2。
# 啟動配置命令的自動備份功能。
HRP_M[FW1] hrp auto-sync config
# 佈建網域間包過濾規則，使10.100.10.0/24網段使用者可以訪問Untrust地區。
HRP_M[FW1] policy interzone trust untrust outbound
HRP_M[FW1-policy-interzone-trust-untrust-outbound] policy 0
HRP_M[FW1-policy-interzone-trust-untrust-outbound-0] policy source 192.168.233.0 0.0.0.255
HRP_M[FW1-policy-interzone-trust-untrust-outbound-0] action permit
HRP_M[FW1-policy-interzone-trust-untrust-outbound-0] quit
HRP_M[FW1-policy-interzone-trust-untrust-outbound] quit
# 請根據網路情況逐個關閉不需要開放的域間預設包過濾。在逐個關閉期間，請關注網路是否能夠正常通訊。如果在關閉某個域間後影響正常業務，請重新開啟該域間的預設包過濾並檢查和修改包過濾的配置。
HRP_M[FW1] firewall packet-filter default deny interzone local dmz
HRP_M[FW1] firewall packet-filter default deny interzone local untrust
HRP_M[FW1] firewall packet-filter default deny interzone trust dmz
HRP_M[FW1] firewall packet-filter default deny interzone trust untrust
HRP_M[FW1] firewall packet-filter default deny interzone dmz untrust
4.配置Switch。
# 實際應用中，Switch與FW-USG5310相連的介面一般是二層介面，配置Switch串連到FW1、Switch串連到FW2的介面以及Switch串連到Trust或Untrust地區的介面，將此三個介面加入同一個VLAN。
具體配置命令請參考交換器的相關文檔。
# 在處於Trust地區的PC1和Untrust地區的PC2上配置網關地址為VRRP備份組的虛擬IP地址。
結果驗證
1.  在FW1上執行display vrrp命令，檢查VRRP備份組內介面的狀態資訊，顯示以下資訊表示VRRP備份組建立成功。
2.  HRP_M[FW1] display vrrp 
3.    GigabitEthernet0/0/2 | Virtual Router 1
4.      VRRP Group : Master
5.      state : Master
6.      Virtual IP : 192.168.233.254
7.      Virtual MAC : 0000-5e00-0101
8.      Primary IP : 192.168.233.252
9.      PriorityRun : 100
10.    PriorityConfig : 100
11.    MasterPriority : 100
12.    Preempt : YES   Delay Time : 0
13.    Timer : 1
14.    Auth Type : NONE
15.    Check TTL : YES  
16.
17.  GigabitEthernet0/0/1 | Virtual Router 2
18.    VRRP Group : Master
19.    state : Master
20.    Virtual IP : 1.1.1.1
21.    Virtual MAC : 0000-5e00-0102
22.    Primary IP : 1.1.1.2
23.    PriorityRun : 100
24.    PriorityConfig : 100
25.    MasterPriority : 100
26.    Preempt : YES   Delay Time : 0
27.    Timer : 1
28.    Auth Type : NONE
    Check TTL : YES  
29.在FW1上執行display hrp state命令，檢查當前HRP的狀態，顯示以下資訊表示HRP建立成功。
30.HRP_M[FW1] display hrp state
31. The firewalls config state is: MASTER
32.
33. Current state of virtual routers configured as master:
34.             GigabitEthernet0/0/2    vrid   1 : master
             GigabitEthernet0/0/1    vrid   2 : master
35.在處於Trust地區的PC端(192.168.102.252)ping VRRP備份組1的虛擬IP地址192.168.233.254，在FW1上檢查會話。
說明：
驗證此步驟前，必須先開啟Trust地區和Local地區的域間包過濾。
HRP_M[FW1] display firewall session table verbose
可以看出VRRP備份組配置正確後，在PC1端能夠ping通VRRP備份組1的虛擬IP地址。
拔掉FW1 串連到SW的網線（類比FW1故障或者死機），在PC端也能夠ping通VRRP備份組1的虛擬IP地址。
36.PC(192.168.102.252)作為內網伺服器位於trust地區，通過防火牆映射對外提供HTTP服務。對外服務地址是 http://1.1.1.4:8081/host.php
拔掉FW1 串連到SW的網線（類比FW1故障或者死機），然後用手機訪問上面url，可以正常訪問。
如經過上述測試均成功，則證明方案有效。

配置指令碼
FW1配置指令碼：
[FW1]sysname FW1                                                                          
[FW1]hrp enable
[FW1]hrp interface GigabitEthernet 0/0/3
[FW1]interface GigabitEthernet 0/0/1
[FW1]ip address 1.1.1.2/24
[FW1]vrrp vrid 2 virtual-ip 1.1.1.1 master
[FW1]interface GigabitEthernet 0/0/2
[FW1]ip address 192.168.233.252 255.255.255.0
[FW1]vrrp vrid 1 virtual-ip 192.168.233.254 master
[FW1]interface GigabitEthernet 0/0/3
[FW1]ip address 192.168.232.252 255.255.255.0

[FW1]firewall zone trust
[FW1]add interface GigabitEthernet 0/0/2

[FW1]firewall zone trust
[FW1]add interface GigabitEthernet 0/0/3

[FW1]firewall zone untrust
[FW1]add interface GigabitEthernet 0/0/1

[FW1]policy interzone trust untrust outbound                                                                
[FW1]policy 0                                    
[FW1]action permit
[FW1]policy source 192.168.233.0 0.0.0.255
                               
#FW2配置指令碼：                                                                              
[FW1]sysname FW2
                                                                              
[FW1]hrp enable
[FW1]hrp interface GigabitEthernet 0/0/3

[FW1]interface GigabitEthernet 0/0/1
[FW1]ip address 1.1.1.3/24
[FW1]vrrp vrid 2 virtual-ip 1.1.1.1 slave

[FW1]interface GigabitEthernet 0/0/2
[FW1]ip address 192.168.233.253 255.255.255.0
[FW1]vrrp vrid 1 virtual-ip 192.168.233.254 slave

[FW1]interface GigabitEthernet 0/0/3
ip address 192.168.232.253 255.255.255.0

[FW1]return

#----------------------------------------------------------------------------#
回退辦法：
1，實施方案前，先備份防火牆（FW1）和交換器設定檔，下載到本地PC端，備用。
2，拆除新增的網線和光纖。
3，防火牆配置恢複到方案實施前的狀態。
4，測試。
#----------------------------------------------------------------------------#