华为USG6350双机热备与 NAT 功能结合配置

《华为USG6350双机热备与 NAT 功能结合配置》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、双机热备与NAT功能结合一组网需求USG作为安全设备被部署在业务节点上。USG的业务接口工作在三层，上下行连接交换机。USG_A、USG_B以主备备份方式工作。内网用户可以通过公网地址访问Internet。正常情况下，USG_A作为主用设备，处理业务流量；USG_B作为备用设备，不处理业务流量。当USG_A的接口或整机发生故障时，USG_B切换为主用设备接替USG_A处理业务流量，从而保证业务不中断。图1-44业务接口工作在三层，上下行连接交换机的组网图配置思路1.由于USG的业务接口工作在三层，能够配置

2、IP地址。而且USG上下行连接交换机，交换机能够透传VRRP报文。因此本举例选择在业务接口上配置IP地址和VRRP备份组，由VRRP备份组监控接口状态。2.为了实现主备备份方式，需要将USG_A的VRRP备份组加入Active管理组，USG_B的VRRP备份组加入Standby管理组，由管理组统一监控接口状态。3.为了使内网用户能够使用公网IP地址访问Internet，需要配置Trust与Untrust域间的源NAT。由于NAT地址池中的地址与VRRP备份组的虚拟IP地址在同一网段，为了避免业务冲突，需要

3、配置NAT地址池与管理组绑定。4.为了使USG_B能够备份USG_A的关键配置命令和会话表状态信息，需要在两台USG上指定HRP备份通道，然后启用HRP功能。5.为了保证正常情况下路由可达，且主备设备状态切换后流量能够被正确地引导到备用设备上，需要在内网的PC或设备上配置静态路由，下一跳为VRRP备份组的虚拟IP地址。操作步骤步骤1在USG_A上配置各个接口的IP地址，并将接口加入安全区域。1.选择“网络>接口>接口”。2.在“接口列表”中，单击GE0/0/1对应的，显示“修改GigabitEtherne

4、t”界面。GE0/0/1的相关参数如下，其他参数使用默认值：l安全区域：untrustl模式：路由l连接类型：静态IPlIP地址：10.2.0.1l子网掩码：255.255.255.03.单击“应用”。4.重复上述步骤，配置接口GE0/0/2和GE0/0/3。GE0/0/2的相关参数如下，其他参数使用默认值：l安全区域：dmzl模式：路由l连接类型：静态IPlIP地址：10.10.0.1l子网掩码：255.255.255.0GE0/0/3的相关参数如下，其他参数使用默认值：l安全区域：trustl模式：路

5、由l连接类型：静态IPlIP地址：10.3.0.1l子网掩码：255.255.255.0步骤2配置USG_A的VRRP备份组，并将VRRP备份组加入状态为Active的管理组。1.选择“系统>高可靠性>双机热备”。2.在“VRID列表”中，单击“新建”。3.在“新建VRID”界面中，配置VRRP备份组1。4.单击“应用”。5.重复上述步骤，配置VRRP备份组2。SecowayUSG2100/2200/5100BSR/HSR&USG2000/5000典型配置案例-Web方式1网络安全接入综合场景文档版本02

6、(2013-10-15)华为专有和保密信息版权所有©华为技术有限公司60步骤3在USG_A上指定HRP备份通道后，启用HRP功能。1.选择“系统>高可靠性>双机热备”。2.在“配置双机热备”界面中选择HRP备份通道，启用HRP功能。3.单击“应用”。步骤4配置USG_B。USG_B和上述USG_A的配置基本相同，不同之处在于：lUSG_B各接口的IP地址与USG_A各接口的IP地址不相同。lUSG_B的业务接口GE0/0/1和GE0/0/3加入Standby管理组。步骤5在USG_A上配置NAT地址池，将

7、NAT地址池与Active管理组绑定。1.选择“防火墙>NAT>源NAT”。2.选择“NAT地址池”页签。3.在“NAT地址池列表”中，单击“新建”。4.在“新建NAT地址池”界面中，配置NAT地址池1。5.单击“应用”。步骤6在USG_A上配置源NAT，使10.3.0.0/24网段用户使用NAT地址池1中的IP访问Internet。1.选择“防火墙>NAT>源NAT”。2.选择“源NAT”页签。3.在“源NAT策略列表”中，单击“新建”。4.在“新建源NAT”界面中，配置Trust与Untrust域间的

8、源NAT，引用NAT地址池1。SecowayUSG2100/2200/5100BSR/HSR&USG2000/5000典型配置案例-Web方式1网络安全接入综合场景文档版本02(2013-10-15)华为专有和保密信息版权所有©华为技术有限公司615.单击“应用”。步骤7在USG_A上配置安全策略，允许Trust区域的10.3.0.0/24网段的用户可以访问Untrust区域。1.选择“防火墙>安全策略>转发策略”。2.在“转