41.Eudemon-N（NGFW）防火墙双机实验

41.Eudemon-N（NGFW）防火墙双机实验 | Evergreen Notes

Eudemon-N（NGFW）防火墙双机实验

1.实验拓扑及描述

本实验中的防火墙为Eudemon-N系列防火墙（软件版本为V100R001C30SPC300）；
设备的接口编号及IP编址如图所示；
PC1及Server使用的都是私有IP地址空间；
PC2模拟Internet的一台PC。

2.实验需求

PC1、Server模拟内网设备，位于防火墙的Trust区域；
PC2模拟Internet，位于防火墙的Untrust区域；
防火墙部署双机热备，工作方式为主备，正常情况下FW1为主，FW2为备；
要求PC1能够访问位于外网的PC2，并且访问时需进行NAT源地址转换，使用的地址池区间是 200.1.1.10至200.1.1.20；PC2能够以200.1.1.29为目的地址访问Server的FTP服务。

3.实现步骤及配置

完成FW1和FW2的接口基本配置、接口加域

FW1的配置如下：

SHELL

[FW1] interface GigabitEthernet1/0/0 
[FW1-GigabitEthernet1/0/0] ip address 192.168.1.253 24 
[FW1] interface GigabitEthernet1/0/6 
[FW1-GigabitEthernet1/0/6] ip address 1.1.1.1 24 
[FW1] interface GigabitEthernet1/0/7 
[FW1-GigabitEthernet1/0/7] ip address 200.1.1.3 27
#将接口添加到相应的安全区域： 
[FW1] firewall zone trust 
[FW1-zone-trust] add interface GigabitEthernet1/0/0 
[FW1] firewall zone untrust 
[FW1-zone-untrust] add interface GigabitEthernet1/0/7 
[FW1] firewall zone name ha 
[FW1-zone-ha] set priority 99 
[FW1-zone-ha] add interface GigabitEthernet1/0/6

FW2的配置如下：

SHELL

完成FW1和FW2的VRRP配置

FW1的配置如下：

SHELL

[FW1] interface GigabitEthernet1/0/0 
[FW1-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 192.168.1.254 active 
[FW1] interface GigabitEthernet1/0/7 
[FW1-GigabitEthernet1/0/7]vrrp vrid 3 virtual-ip 200.1.1.1 active

FW2的配置如下：

SHELL

[FW2] interface GigabitEthernet1/0/0 
[FW2-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 192.168.1.254 standby 
[FW2] interface GigabitEthernet1/0/7 
[FW2-GigabitEthernet1/0/7]vrrp vrid 3 virtual-ip 200.1.1.1 standby

注意：此处需关注Eudemon-N防火墙相对于-X系列防火墙的配置区别。在Eudemon-N防火墙上部署VRRP时，不再使用master/slave关键字，而是active/standby关键字。

完成FW1和FW2的HRP配置

FW1的配置如下：

SHELL

[FW1] hrp interface GigabitEthernet1/0/6 
[FW1] hrp enable

FW2的配置如下：

SHELL

[FW2] hrp interface GigabitEthernet1/0/6 
[FW2] hrp enable

完成上述配置后，FW1/FW2便会开始以双机的方式工作。FW1由于是主防火墙，因此其设备名称将变成HRP_A[FW1]，而FW2由于是备防火墙，因此其设备名称将变成HRP_S[FW2]。

在FW1上使用display hrp group命令，可以看到如下输出

SHELL

而在FW2上使用该命令，输出如下：

SHELL

另外，使用display hrp state命令（显示当前HRP的状态，包括管理组的接口和track接口等），在FW1上可以看到如下输出：

SHELL

4.在主防火墙FW1上完成安全策略的配置

SHELL

注意：在主防火墙FW1上运行的上述配置，会自动同步到备份防火墙FW2。

在主防火墙FW1上完成NAT策略的配置

SHELL

注意：在主防火墙FW1上运行的上述配置，会自动同步到备份防火墙FW2。

完成上述配置后，PC1即可ping通PC2。当PC1 ping PC2时，我们能在FW1上看到如下会话：

SHELL

另外，FW还需增加NAT server的配置，使得Internet用户能够使用目的IP地址200.1.1.29来访问Server的FTP服务：

SHELL

完成上述配置后，PC2即可访问Server的FTP服务。在FW1上能看到如下会话：

SHELL

[FW2] interface GigabitEthernet1/0/0 
[FW2-GigabitEthernet1/0/0] ip address 192.168.1.252 24 
[FW2] interface GigabitEthernet1/0/6 
[FW2-GigabitEthernet1/0/6] ip address 1.1.1.2 24 
[FW2] interface GigabitEthernet1/0/7 
[FW2-GigabitEthernet1/0/7] ip address 200.1.1.2 27 
 
#将接口添加到相应的安全区域： 
[FW2] firewall zone trust 
[FW2-zone-trust] add interface GigabitEthernet1/0/0 
[FW2] firewall zone untrust 
[FW2-zone-untrust] add interface GigabitEthernet1/0/7 
[FW2] firewall zone name ha 
[FW2-zone-ha] set priority 99 
[FW2-zone-ha] add interface GigabitEthernet1/0/6

HRP_A[FW1]display hrp group  
Active group status: 
   Group enabled:          yes 
   State:                   active 
   Priority running:       65001 
   Total VRRP members:     2 
   Hello interval(ms):     1000 
   Preempt enabled:        yes 
   Preempt delay(s):       60 
   Tcp check delay(s):     0 
   Peer group available:   1 
   Peer's member same:     yes 
 Standby group status: 
   Group enabled:          no 
   State:                   initialize 
   Priority running:       65000 
   Total VRRP members:     0 
   Hello interval(ms):     1000 
   Preempt enabled:        yes 
   Preempt delay(s):       0 
   Tcp check delay(s):     0 
   Peer group available:   0 
   Peer's member same:     yes

HRP_S[FW2]display hrp group  
  Active group status: 
   Group enabled:          no 
   State:                   initialize 
   Priority running:       65001 
   Total VRRP members:     0 
   Hello interval(ms):     1000 
   Preempt enabled:        yes 
   Preempt delay(s):       60 
   Tcp check delay(s):     0 
   Peer group available:   0
    Peer's member same:     yes 
 Standby group status: 
   Group enabled:          yes 
   State:                   standby 
   Priority running:       65000 
   Total VRRP members:     2 
   Hello interval(ms):     1000 
   Preempt enabled:        yes 
   Preempt delay(s):       0 
   Tcp check delay(s):     0 
   Peer group available:   1 
   Peer's member same:     yes

HRP_A[FW1]display hrp state 
The firewall's config state is: ACTIVE 
 
 Backup channel usage: 0.01% 
 Time elapsed after the last switchover: 0 days, 0 hours, 2 minutes 
 Current state of virtual routers configured as active: 
             GigabitEthernet1/0/7    vrid   3 : active 
             GigabitEthernet1/0/0    vrid   1 : active

#配置安全策略，使得trust区域的192.168.1.0/24网段能够访问untrust区域的Internet： 
HRP_A[FW1] security-policy 
HRP_A[FW1-policy-security] rule name test1 
HRP_A[FW1-policy-security-rule-test1] source-zone trust 
HRP_A[FW1-policy-security-rule-test1] destination-zone untrust 
HRP_A[FW1-policy-security-rule-test1] source-address 192.168.1.0 24 
HRP_A[FW1-policy-security-rule-test1] action permit 
 
#配置安全策略，使得untrust区域的Internet用户能够访问Server的FTP服务： 
HRP_A[FW1-policy-security] rule name for_FTP 
HRP_A[FW1-policy-security-rule-for_FTP] source-zone untrust 
HRP_A[FW1-policy-security-rule-for_FTP] destination-zone trust 
HRP_A[FW1-policy-security-rule-for_FTP] destination-address 192.168.1.100 32 
HRP_A[FW1-policy-security-rule-for_FTP] action permit 
 
#配置ASPF，该功能缺省开启： 
HRP_A[FW1]firewall detect ftp

#定义一个名称为pool1的NAT地址池： 
HRP_A[FW1] nat address-group pool1 
HRP_A[FW1-address-group-pool1] section 200.1.1.10 200.1.1.20 
HRP_A[FW1-address-group-pool1] nat-mode pat 
 
#在NAT策略中创建规则policy1： 
FW1] nat-policy 
HRP_A[FW1-policy-nat] rule name policy1 
HRP_A[FW1-policy-nat-rule-policy1] source-address 192.168.1.0 24 
HRP_A[FW1-policy-nat-rule-policy1] source-zone trust 
HRP_A[FW1-policy-nat-rule-policy1] destination-zone untrust 
HRP_A[FW1-policy-nat-rule-policy1] action nat address-group pool1

HRP_A[FW1]display firewall session table verbose  
Current Total Sessions : 1 
  icmp  VPN:public --> public  ID: a58f44f610090f931d572afed1 
  Zone: trust--> untrust  TTL: 00:00:20  Left: 00:00:11   
  Output-interface: GigabitEthernet1/0/7  NextHop: 200.1.1.30  MAC: 00-25-9e
05-41-f9 
  <--packets:5 bytes:420   -->packets:5 bytes:420 
  192.168.1.1:44143[200.1.1.15:2048]-->200.1.1.30:2048 PolicyName: test1

HRP_A[FW1]nat server s1 zone untrust protocol tcp global 200.1.1.29 21 inside 
192.168.1.100 21

HRP_A[FW1]display firewall session table verbose  
Current Total Sessions : 2 
  ftp  VPN:public --> public  ID: a58f44f610d504cb7c572aff97 
  Zone: untrust--> trust  TTL: 00:20:00  Left: 00:19:50   
  Output-interface: GigabitEthernet1/0/0  NextHop: 192.168.1.100  MAC: 4c-1f
cc-a0-57-d9 
  <--packets:8 bytes:547   -->packets:12 bytes:552 
  200.1.1.30:53712+->200.1.1.29:21[192.168.1.100:21] PolicyName: for_FTP  
 
  ftp-data  VPN:public --> public  ID: a68f44f610ee81c2d14572aff9f 
  Zone: trust--> untrust  TTL: 00:00:10  Left: 00:00:01   
  Output-interface: GigabitEthernet1/0/7  NextHop: 200.1.1.30  MAC: 00-25-9e
05-41-f9 
<--packets:3 bytes:124   -->packets:6 bytes:970 
192.168.1.100:20[200.1.1.29:20]-->200.1.1.30:54781 PolicyName: for_FTP