Web举例：防火墙直路部署，上行连接路由器（OSPF），下行连接交换机的主备备份组网

2026年 3月 16日 网络安全 SE_YT

 

介绍了业务接口工作在三层，上行连接路由器（OSPF），下行连接交换机的主备备份组网的Web举例。

组网需求

如图1所示，两台FW的业务接口都工作在三层，上行连接路由器，下行连接二层交换机。FW与路由器之间运行OSPF协议。

现在希望两台FW以主备备份方式工作。正常情况下，流量通过FW_A转发。当FW_A出现故障时，流量通过FW_B转发，保证业务不中断。

图1 业务接口工作在三层，上行连接路由器，下行连接交换机的主备备份组网
Web举例：防火墙直路部署，上行连接路由器（OSPF），下行连接交换机的主备备份组网

操作步骤

  1. 配置接口，完成网络基本配置。
    1. 在FW_A上配置接口。 

      1. 选择“网络 > 接口”。

      2. 单击GE1/0/1，按如下参数配置，单击“确定”。

        安全区域

        untrust

        IPv4

        IP地址

        10.2.0.1/24

      3. 参考上述步骤按如下参数配置GE1/0/3接口。

        安全区域

        trust

        IPv4

        IP地址

        10.3.0.1/24

      4. 参考上述步骤按如下参数配置GE1/0/7接口。

        安全区域

        dmz

        IPv4

        IP地址

        10.10.0.1/24

       

    2. 在FW_B上配置接口。 

      1. 选择“网络 > 接口”。

      2. 单击GE1/0/1，按如下参数配置，单击“确定”。

        安全区域

        untrust

        IPv4

        IP地址

        10.2.1.1/24

      3. 参考上述步骤按如下参数配置GE1/0/3接口。

        安全区域

        trust

        IPv4

        IP地址

        10.3.0.2/24

      4. 参考上述步骤按如下参数配置GE1/0/7接口。

        安全区域

        dmz

        IPv4

        IP地址

        10.10.0.2/24

       

  2. 配置OSPF，保证路由可达。
    1. 在FW_A上配置OSPF。 
      1. 选择“网络 > 路由 > OSPF”。

        Web举例：防火墙直路部署，上行连接路由器（OSPF），下行连接交换机的主备备份组网

      2. 单击“新建”，按如下参数新建OSPF，单击“确定”。

        类型

        OSPFv2

        进程ID

        10

      3. 单击Web举例：防火墙直路部署，上行连接路由器（OSPF），下行连接交换机的主备备份组网，单击“新建”，按如下参数新建区域，单击“确定”。

        区域

        0.0.0.0

        网段IP

        10.2.0.0

        正/反掩码

        255.255.255.0

      4. 选择“基本配置 > 网络配置”，单击“新建”，按如下参数新建网络，单击“确定”。

        区域

        0.0.0.0

        网段IP

        10.3.0.0

        正/反掩码

        255.255.255.0

       

    2. 在FW_B上配置OSPF。 
      1. 选择“网络 > 路由 > OSPF”。

      2. 单击“新建”，按如下参数新建OSPF，单击“确定”。

        类型

        OSPFv2

        进程ID

        10

      3. 单击Web举例：防火墙直路部署，上行连接路由器（OSPF），下行连接交换机的主备备份组网，单击“新建”，按如下参数新建区域，单击“确定”。

        区域

        0.0.0.0

        网段IP

        10.2.1.0

        正/反掩码

        255.255.255.0

      4. 选择“基本配置 > 网络配置”，单击“新建”，按如下参数新建网络，单击“确定”。

        区域

        0.0.0.0

        网段IP

        10.3.0.0

        正/反掩码

        255.255.255.0

       

  3. 配置双机热备。
    1. 在FW_A上配置双机热备功能。 
      1. 选择“系统 > 高可靠性 > 双机热备”，单击“配置”。

        Web举例：防火墙直路部署，上行连接路由器（OSPF），下行连接交换机的主备备份组网

      2. 开启“双机热备”后，按如下参数配置，单击“确定”。

        Web举例：防火墙直路部署，上行连接路由器（OSPF），下行连接交换机的主备备份组网

        Web举例：防火墙直路部署，上行连接路由器（OSPF），下行连接交换机的主备备份组网

       

    2. 在FW_B上配置双机热备功能。 
      1. 选择“系统 > 高可靠性 > 双机热备”，单击“配置”。

      2. 开启“双机热备”后，按如下参数配置，单击“确定”。

        Web举例：防火墙直路部署，上行连接路由器（OSPF），下行连接交换机的主备备份组网

        Web举例：防火墙直路部署，上行连接路由器（OSPF），下行连接交换机的主备备份组网

       

  4. 配置安全策略。 

    在FW_A上配置的安全策略会自动备份到FW_B上。

     

    1. 选择“策略 > 安全策略 > 安全策略”。
    2. 单击“新建安全策略”，按照如下参数配置安全策略，单击“确定”。 

      # 配置安全策略，允许FW与上行路由器（部署在untrust区域）交互OSPF报文。

      Web举例：防火墙直路部署，上行连接路由器（OSPF），下行连接交换机的主备备份组网

      OSPF报文是否受安全策略控制决定于firewall packet-filter basic-protocol enable命令的配置。缺省情况下，firewall packet-filter basic-protocol enable处于开启状态，即OSPF报文受安全策略控制，需要在上行业务接口所在安全区域untrust与local区域之间配置安全策略，允许协议类型为OSPF报文通过。本例以firewall packet-filter basic-protocol enable开启为例进行介绍。

      名称

      policy_ospf_1

      源安全区域

      local

      目的安全区域

      untrust

      服务

      ospf

      动作

      允许

      名称

      policy_ospf_2

      源安全区域

      untrust

      目的安全区域

      local

      服务

      ospf

      动作

      允许

      # 配置安全策略，允许内网用户访问外网。

      名称

      policy_sec

      源安全区域

      trust

      目的安全区域

      untrust

      源地址/地区

      10.3.0.0/24

      动作

      允许

       

  5. 在内网的设备上配置缺省路由，下一跳为VRRP备份组1的虚拟IP地址10.3.0.3。

结果验证

选择“系统 > 高可靠性 > 双机热备”，查看双机热备的运行情况。

  • 正常情况下，FW_A的“当前运行模式”为“主备备份”，“当前运行角色”为“主用”；FW_B的“当前运行模式”为“主备备份”，“当前运行角色”为“备用”。这说明流量通过FW_A转发。
  • 当FW_A出现故障时，FW_A的“当前运行模式”为“主备备份”，“当前运行角色”为“备用”；FW_B的“当前运行模式”为“主备备份”，“当前运行角色”为“主用”。这说明流量通过FW_B转发。

配置脚本

FW_A

FW_B

 
#
 hrp enable
 hrp interface GigabitEthernet 1/0/7 remote 10.10.0.2
 hrp track interface GigabitEthernet 1/0/1
#
interface GigabitEthernet 1/0/1
 ip address 10.2.0.1 255.255.255.0
#
interface GigabitEthernet 1/0/3
 ip address 10.3.0.1 255.255.255.0
 vrrp vrid 1 virtual-ip 10.3.0.3 active
#
interface GigabitEthernet 1/0/7
 ip address 10.10.0.1 255.255.255.0
# 
firewall zone trust
 set priority 85
 add interface GigabitEthernet 1/0/3
# 
firewall zone untrust
 set priority 5
 add interface GigabitEthernet 1/0/1
# 
firewall zone dmz
 set priority 50
 add interface GigabitEthernet1/0/7
# 
ospf 10
 area 0.0.0.0
  network 10.2.0.0 0.0.0.255
  network 10.3.0.0 0.0.0.255
#
security-policy  
 rule name policy_ospf_1
  source-zone local
  destination-zone untrust
  service ospf
  action permit
 rule name policy_ospf_2
  source-zone untrust
  destination-zone local
  service ospf
  action permit
 rule name policy_sec
  source-zone trust
  destination-zone untrust
  source-address 10.3.0.0 24
  action permit

#
 hrp enable
 hrp interface GigabitEthernet 1/0/7 remote 10.10.0.1
 hrp track interface GigabitEthernet 1/0/1
#
interface GigabitEthernet 1/0/1
 ip address 10.2.1.1 255.255.255.0
#
interface GigabitEthernet 1/0/3
 ip address 10.3.0.2 255.255.255.0
  vrrp vrid 1 virtual-ip 10.3.0.3 standby
#
interface GigabitEthernet 1/0/7
 ip address 10.10.0.2 255.255.255.0
# 
firewall zone trust
 set priority 85
 add interface GigabitEthernet 1/0/3
# 
firewall zone untrust
 set priority 5   
 add interface GigabitEthernet 1/0/1
# 
firewall zone dmz
 set priority 50
 add interface GigabitEthernet1/0/7
# 
ospf 10
 area 0.0.0.0
  network 10.2.1.0 0.0.0.255
  network 10.3.0.0 0.0.0.255
#
security-policy  
 rule name policy_ospf_1
  source-zone local
  destination-zone untrust
  service ospf 
  action permit
 rule name policy_ospf_2
  source-zone untrust
  destination-zone local
  service ospf
  action permit
 rule name policy_sec
  source-zone trust
  destination-zone untrust
  source-address 10.3.0.0 24
  action permit
版权声明：
作者：SE_YT
链接：https://www.cnesa.cn/10882.html
文章版权归作者所有，未经允许请勿转载。
上一篇 【转载】青藤HIDS一键安装
下一篇 统信系统如何解决软件卸载不干净的问题