38.Eudemon-X防火墙双机热备基础实验

Eudemon-X防火墙双机热备基础实验

1.实验拓扑及描述

网络拓扑如上图所示，本实验中的防火墙为Eudemon-X系列防火墙。 两台交换机SW1及SW2无需配置。

2.实验需求

1. PC1、Server模拟内网主机，位于防火墙的Trust区域；
2. PC2模拟外网，位于Untrust区域；
3. 防火墙部署双机热备，工作方式为主备，正常情况下FW1为主，FW2为备；
4. 防火墙的缺省域间包过滤策略禁止配置为permit any；
5. 要求PC1能够访问位于外网的PC2，并且访问时需进行NAT源地址转换，使用的地址池区间是 10.1.1.10至10.1.1.15；PC2能够以10.1.1.9为目的地址访问Server的FTP服务。
6. 思考：如果增加需求，要求PC1及Server属于不同的VLAN、不同的安全域（PC1属于Trust， Server属于DMZ），在不改变现有网络拓扑的情况下，该如何部署？

3.实现步骤及配置

1. 完成FW1和FW2的接口基本配置、接口加入安全区域

首先完成FW1的接口IP配置，并将接口添加到相应的安全域：

[FW1] interface GigabitEthernet 0/0/1 
[FW1-GigabitEthernet0/0/1] ip address 192.168.1.253 24 
[FW1-GigabitEthernet0/0/1] vrrp vrid 1 virtual-ip 192.168.1.254 master 
[FW1-GigabitEthernet0/0/1] vrrp virtual-mac enable     #如果在eNSP模拟器上实
验，需配置此条命令，否则VRRP组的虚拟IP地址无法被访问，真实防火墙设备上无需该命令 
 
[FW1] interface GigabitEthernet 0/0/5 
[FW1-GigabitEthernet0/0/5] ip address 10.1.1.3 24 
[FW1-GigabitEthernet0/0/5] vrrp vrid 3 virtual-ip 10.1.1.1 master 
[FW1-GigabitEthernet0/0/5] vrrp virtual-mac enable 
 
[FW1] interface GigabitEthernet 0/0/3 
[FW1-GigabitEthernet0/0/3] ip address 1.1.1.1 24 
[FW1-GigabitEthernet0/0/3] description For_HRP 
 
[FW1] firewall zone trust 
[FW1-zone-trust] add interface GigabitEthernet 0/0/1 
[FW1] firewall zone untrust 
[FW1-zone-untrust] add interface GigabitEthernet 0/0/5 
[FW1] firewall zone name ha 
[FW1-zone-ha] set priority 95 
[FW1-zone-ha] add interface GigabitEthernet 0/0/3

接着完成FW2的接口IP配置，并将接口添加到相应的安全域：

2.在FW1、FW2上激活HRP

FW1的配置如下：

[FW1] hrp interface GigabitEthernet0/0/3 
[FW1] hrp enable 

FW2的配置如下:

[FW1] hrp interface GigabitEthernet0/0/3 
[FW1] hrp enable

完成上述配置后，FW1、FW2开始已双机主备的方式工作，一个直观的现象是防火墙的设备 名称发生了变化，FW1作为主防火墙，设备名称变成：“HRP_M[FW1]”，其中M表示Master， 而FW2为备机，其设备名称变成“HRP_S[FW2]”。

在主防火墙FW1上查看一下VRRP组的状态：

从上面的输出可以看出，FW1作为主防火墙，所有VRRP组都是处于Master状态。

3. 在FW1上部署NAT源地址转换，并配置域间包过滤策略，使得Client1能够访问外网 FW1的配置增加如下内容：

说明：在主防火墙上完成的配置：NAT策略、域间包过滤策略均会自动同步到备防火墙上。

另外需注意：在双机热备的组网环境下，两台Eudemon的NAT配置是一致的。当NAT地址池 中的地址与VRRP备份组的虚拟IP地址在同一网段，上下行设备需要请求NAT地址池的ARP时， 两台Eudemon都会回应ARP报文，从而造成冲突，影响正常业务的运行。在这种情况下，需 要在主用设备上将NAT地址池与连接Internet的接口上的VRRP组绑定，使业务流量能送到主 用设备。因为只有主用设备NAT地址池中的IP地址会应答ARP请求，并且应答报文中携带的 MAC地址为VRRP组的虚拟MAC地址。因此配置NAT地址池时要关联VRRP的组ID：nat address-group 1 10.1.1.10 10.1.1.20 vrrp 3。关于这里涉及到的技术原理，请查阅《数据通 信与网络知识宝典》相关章节。

现在在PC1上测试一下，发现去ping 10.1.1.20是能够ping通的，同时在FW1上查看会话表项：

会话表中显示了相关表项。注意到表项中的 [ ] 中括号，就表示的是NAT转换后的地址。

4. 在FW1上部署NAT Server、域间包过滤策略，使得Client3能够访问到Client2的FTP服务

说明：在主防火墙上完成的配置：NAT Server、域间包过滤策略均会自动同步到备防火墙上。 另外，关于ASPF的技术要点，请查阅《数据通信与网络知识宝典》相关章节。

完成上述配置后，PC2即可访问Server的FTP服务。当PC2正常登陆到Client2的FTP服务时， 在防火墙的会话表上可以看到如下表项：

5. 思考题

如果增加需求，要求PC1及Server属于不同的VLAN、不同的安全域（PC1属于Trust，Server

属于DMZ），在不改变现有网络拓扑的情况下，该如何部署？

如上图所示，由于要将PC1及Server划分到不同的VLAN，以及在防火墙上体现不同的安全域， 因此就必须保证VLAN终结在防火墙的接口上，而防火墙的GE0/0/1口为了承载多个VLAN的数 据，就必须设计成子接口的形式。 在防火墙GE0/0/1口上创建子接口，分别对应VLAN10及VLAN20，随后将这两个子接口添加 到相应的安全域即可。关于这部分的配置及实现这里先不涉及，在本文档的综合实验中，有一 个案例重点介绍这部分的数据配置。