0
点赞
收藏
分享

微信扫一扫

《CKA/CKAD应试指南/从docker到kubernetes 完全攻略》学习笔记 第9章 daemonset （守护进程）及其他控制器

以沫的窝 2024-05-10 阅读 14
华为安全网络协议智能路由器

作者主页：点击！

ENSP专栏：点击！

创作时间：2024年5月6日20点26分

华为防火墙双机热备是一种高可用性解决方案，可以将两台防火墙设备组成一个双机热备组，实现主备切换。当主用防火墙出现故障时，备用防火墙可以自动切换为新的主用防火墙，确保网络流量不中断。

华为防火墙双机热备的工作原理

华为防火墙双机热备的工作原理是通过两台防火墙设备之间定期发送心跳报文来判断对方的状态。如果主用防火墙出现故障，备用防火墙会收到主用防火墙停止发送心跳报文的消息，然后会自动切换为新的主用防火墙。

两种工作模式

  • 主备模式：在主备模式下，只有一台防火墙处于工作状态，另一台防火墙处于备用状态。当主用防火墙出现故障时，备用防火墙会自动切换为新的主用防火墙。
  • 负载分担模式：在负载分担模式下，两台防火墙都处于工作状态，可以同时处理网络流量。当其中一台防火墙出现故障时，另一台防火墙会承担全部的网络流量。

VRRP协议

VRRP（虚拟路由器冗余协议）是一种用于实现路由器冗余的协议，它可以将多台路由器组成一个虚拟路由器组，并选取其中一台路由器作为主用路由器，其他路由器作为备用路由器。当主用路由器出现故障时，备用路由器会自动切换为新的主用路由器，确保网络流量不中断。

VRRP在双机热备中的应用主要体现在以下几个方面：

华为防火墙双机热备

VRRP现以下功能

VRRP的角色

主路由器（Master）

备份路由器（Backup）

VRRP的状态

初始状态（Initialize）：当接口Up之后，如果其VRRP优先级为255 (这种情况发生在该接口的实际IP地址是VRRP虚拟IP地址的情况)，那么接口的VRRP状态将由Initialize切换到Master，而如果接口的VRRP优先级不为255，则进入Backup状态。

活动状态（Master）：处于活动状态的路由器是VRRP虚拟路由器组中的主路由器，负责转发数据包。主路由器会定期发送VRRP通告报文来宣告自己的状态，并更新路由表。

备份状态（Backup）：处于备份状态的路由器是VRRP虚拟路由器组中的备用路由器。备份路由器会定期接收主路由器的VRRP通告报文，如果主路由器出现故障，备份路由器会经过一段时间的等待时间后切换为新的主路由器。

VRRP 状态机之间的转换规则

当前状态事件下一个状态
初始状态收到 VRRP 通告报文备份状态
备份状态收到更高优先级的 VRRP 通告报文初始状态
备份状态定时器超时初始状态
备份状态检测到故障初始状态
活动状态收到更高优先级的 VRRP 通告报文备份状态
活动状态定时器超时备份状态
活动状态检测到故障初始状态

VGMP组管理协议

VGMP（VRRP组管理协议）代表VRRP组管理协议。这是华为开发的专有协议，专门用于其防火墙，用于管理冗余连接和实现高可用性。

 工作原理：

使用场景


HRP(华为冗余协议)

是华为开发的专有协议，旨在为其防火墙和路由器提供高可用性和冗余。它支持主用和备用设备之间的无缝故障切换，确保在主设备发生故障时不间断的网络连接和数据转发。

HRP的主要特点
优点

什么是HRP

HRRP 代表 华为快速环协议。它是华为开发的专有协议，用于在以太网中提供冗余。HRRP主要用于华为设备，如路由器、交换机等，用于建立备用路由器组，实现容错。在此组中，一台路由器充当活动路由器，处理路由职责，而其他路由器则保持待机模式，准备在活动路由器发生故障时接管。

VRRP（虚拟路由器冗余协议）和 HSRP（热备用路由器协议）是以太网中更广泛采用的冗余标准。HRRP是华为专有协议，而VRRP和HSRP则受到更广泛的供应商和设备的支持。

HRRP的主要特点：

实验拓扑

AR1的基本配置

<Huawei>
<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]un in en
Info: Information center is disabled.
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 10.1.1.1 24
[Huawei-GigabitEthernet0/0/0]int lo0
[Huawei-LoopBack0]ip add 100.0.0.100 24
[Huawei-LoopBack0]q

//默认路由接收1.0网段的数据
[Huawei]ip route-s 192.168.1.0 24 10.1.1.100
[Huawei]

FW1配置

基本的IP地址配置

[USG6000V1]un in en
Info: Saving log files...
Info: Information center is disabled.
[USG6000V1]int g1/0/0
[USG6000V1-GigabitEthernet1/0/0]ip add 10.1.1.2 24
[USG6000V1-GigabitEthernet1/0/0]int g1/0/2
[USG6000V1-GigabitEthernet1/0/2]ip add 172.16.1.1 24
[USG6000V1-GigabitEthernet1/0/2]int g1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip add 192.168.1.1 24
[USG6000V1-GigabitEthernet1/0/1]q

//配置默认路由所有流量流出
[USG6000V1]ip route-static 0.0.0.0 0 10.1.1.1

在华为USG6000V1防火墙上配置防火墙区域。

[USG6000V1]firewall zone trust 
[USG6000V1-zone-trust]add int g1/0/1

[USG6000V1]firewall zone untrust 
[USG6000V1-zone-untrust]add int g1/0/0
[USG6000V1-zone-untrust]q

[USG6000V1]firewall zone  dmz 
[USG6000V1-zone-dmz]add int g1/0/2
[USG6000V1-zone-dmz]q

您提供的命令在华为USG6000V1防火墙上配置安全策略规则，以允许从“信任”区域到“不信任”区域的流量。


[USG6000V1]security-policy
[USG6000V1-policy-security]rule name trust_untrust
[USG6000V1-policy-security-rule-trust_untrust]source-zone trust 
[USG6000V1-policy-security-rule-trust_untrust]destination-zone untrust 
[USG6000V1-policy-security-rule-trust_untrust]action permit 
[USG6000V1-policy-security-rule-trust_untrust]q

[USG6000V1-policy-security]rule name heat
[USG6000V1-policy-security-rule-heat]source-zone local 
[USG6000V1-policy-security-rule-heat]destination-zone dmz 
[USG6000V1-policy-security-rule-heat]action permit 
[USG6000V1-policy-security-rule-heat]q

让我们分解每个步骤：

[USG6000V1]int g1/0/0
[USG6000V1-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 10.1.1.100 active 
[USG6000V1-GigabitEthernet1/0/0]q
[USG6000V1]int g1/0/1
[USG6000V1-GigabitEthernet1/0/1]vrrp vrid 2 virtual-ip 192.168.1.100 active 
[USG6000V1-GigabitEthernet1/0/1]q

//HRP配置指向对端建立
[USG6000V1]hrp int g1/0/2 remote 172.16.1.2

FW2配置

基本的IP地址和路由配置

[USG6000V1]un in en
Info: Saving log files...
Info: Information center is disabled.
[USG6000V1]int g1/0/0
[USG6000V1-GigabitEthernet1/0/0]ip add 10.1.1.3 24
[USG6000V1-GigabitEthernet1/0/0]int g1/0/2
[USG6000V1-GigabitEthernet1/0/2]ip add 172.16.1.2 24
[USG6000V1-GigabitEthernet1/0/2]q
[USG6000V1]int g1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip add 192.168.1.2 24
[USG6000V1-GigabitEthernet1/0/1]q

[USG6000V1]ip route-static 0.0.0.0 0 10.1.1.1

创建不同的区域

[USG6000V1]firewall zone trust 
[USG6000V1-zone-trust]add interface g1/0/1

[USG6000V1]firewall zone  untrust 
[USG6000V1-zone-untrust]add interface g1/0/0

[USG6000V1]firewall zone  dmz 
[USG6000V1-zone-dmz]add int g1/0/2

这次就不详细介绍了 原理同上~~~

防火墙上配置安全策略规则

[USG6000V1]security-policy
[USG6000V1-policy-security]rule name trust_untr	
[USG6000V1-policy-security-rule-trust_untr]source-zone trust  
[USG6000V1-policy-security-rule-trust_untr]destination-zone untrust 
[USG6000V1-policy-security-rule-trust_untr]action permit 
[USG6000V1-policy-security-rule-trust_untr]q


[USG6000V1-policy-security]rule name heat
[USG6000V1-policy-security-rule-heat]source-zone local 
[USG6000V1-policy-security-rule-heat]destination-zone dmz 
[USG6000V1-policy-security-rule-heat]action permit 
[USG6000V1-policy-security-rule-heat]q
[USG6000V1]int g1/0/0
[USG6000V1-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 10.1.1.100 standby 
[USG6000V1-GigabitEthernet1/0/0]int g1/0/1	
[USG6000V1-GigabitEthernet1/0/1]vrrp vrid 2 virtual-ip 192.168.1.100 standby 
[USG6000V1-GigabitEthernet1/0/1]q

//指向对端双机热备中，心跳线
[USG6000V1]hrp int g1/0/2 remote  172.16.1.1

测试

FW1的信息

活跃

进入

关闭接口

这是再次查看

变为了备用的状态信息 (检测链路故障 启用另外一条链路传输数据)

FW2的信息

从standby变为active

PC机器在访问的时候也出现丢失一个包的现象并没有造成多大的数据丢失

举报

相关推荐

《CKA/CKAD应试指南/从docker到kubernetes 完全攻略》学习笔记 第13章 网络管理

harmonyos华为前端前端框架小程序
0 条评论