juniper防火墙ha配置详解_主从(l2透明模式)

《juniper防火墙ha配置详解_主从(l2透明模式)》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、JuniperHA主双（L2）透明模式配置实际环境中防火墙做主双是不太可能实现全互联结构Juniper防火墙标配都是4个物理以太网端口，全互联架构需要防火墙增加额外的以太网接口（这样会增加用户成本），或者在物理接口上使用子接口（这样配置的复杂性增加许多），最主要的是用户的网络中大多没有像全互联模式那样多的设备。因此主双多数实现在相对冗余的网络环境中。环境中两个Cisco4506交换配置为HSRP模式，文档最后附上HSRP配置。F5的配置请参考我写的关于F5链路负载均衡设备配置手册。具体实际环境如下：核心交换区两台核心交换机作主备

2、；2/23G2/23Cisco4506Cisco4506J^.2/24G2/24G2/1防火墙A上执行的命令sethostnameISGI000-Asetinterfacemgtip172.16.12.1/24setinterfaceHethernetl/4Hzone"HA”setnsrpclusterid1setnsrprto-mirrorsyncsetnsrpvsd-groupid0priority10setnsrpvsd-groupid0preemptsetnsrpvsd-groupid0monitorinterfacee

3、thernetl/1setnsrpvsd-groupid0monitorinterfaceethernetl/2防火墙B上执行的命令sethostnameISG1000-Bsetinterfacemgtip172.16.12.2/24setinterfaceHethemetl/4Hzone"HA"setnsrpclusterid1setnsrprto-mirrorsyncsetnsrpvsd-groupid0priority100setnsrpvsd-groupid0preemptsetnsrpvsd-groupid0monit

4、orinterfaceethernetl/1setnsrpvsd-groupid0monitorinterfaceethernetl/2任意一个防火墙上执行的命令即可setinterfaceEthernet1/1HzoneHV1-Trust11setinterfaceHethernetl/2nzoneHVl-UntrustHsetpolicyid2from"Vl-Trust11toHVl-UntrustM“Any””Any””ANY”permitsetpolicyid3from"Vl-UnTrust"to"VI-trust""A

5、ny""Any""ANY'1permit最后A和B都必须执彳丁的命令execnsrpsyncglobalsave这个实验环境中使用的设备是ISGI000,该产品带有专用管理接口，方便设备的管理配置。如果是其他没有管理接口的型号防火墙请参考下面配置进行管理。首先在主防火墙上配置setinterfacevlanlip192.168.1.254/24管理地址为举例setinterfacevlan1manage-ip192.168.1.1在从防火墙上配置setinterfacevlan1ip192」68」.254/24管理地址为举例

6、setinterfacevlanlmanage-ip192.168.1.2在任意一个防火墙上配置即可setinterfacevlanlipmanageablesetinterfacevlan1ipmanagsetzoneVl・UntrustmanagesetzoneV1・trustmanage最后在两台防火墙上均需要执行的命令setinterfacevlanlnsrpmanagezoneVl-UntrustsetinterfacevlanlnsrpmanagezoneVl・trust此处附上4506的hsrp的配置方便大家测试，

7、配置中主4506还添加了上游F5链路中断后的检测配置(SLA),有兴趣的朋友自己看配置研究吧。主4506配置spanning-treevlan1-2,40priority0ipsla1icmp-echo172.16.1.2frequency5ipslaschedule1lifeforeverstart-timenowtrack1ipsla1reachabilityvtpmodetransparentvlan2-4,10interfacePort-channel2switchportswitchportmodetrunkinter

8、faceGigabitEthernet1/3description"ConnecttoServer_Switch_3750Gswitch!port51HswitchportmodetrunkinterfaceGigabitEthernet2/1descripti