45.综合实验

综合实验

实验一

1.实验拓扑

网络拓扑如上图所示，SW1、SW2是两台核心交换机，是内网用户的网关设备。SW3是一台接入层交 换机，只实现二层交换功能。FW1、FW2是两台Eudemon-X的防火墙。 设备IP编址、接口VLAN见下表：

2.实验需求

1. 设备IP、VLAN规划如上表所示；

2. PC1（属于VLAN10）的网关在核心交换机SW1及SW2上；PC2的网关在FW1及FW2上；

3. PC1属于安全域Trust；PC2属于安全域Untrust；

4. 网络中一共存在四组VRRP，VRRP组1的虚拟IP地址作为PC1的网关；VRRP组3的虚拟IP地址作 为SW1及SW2上默认路由的下一跳；VRRP组2的虚拟IP地址作为FW1及FW2上回程路由的下一跳； VRRP组4的虚拟IP地址作为PC2的网关；

5. FW1及FW2上不激活HRP（也就是说不运行双机热备）的情况下完成配置使得PC1能够ping通PC2，并且流量从PC1发出后，路径是PC1 -> SW1 -> FW1 -> SW4 -> PC2。

6. 断开FW1-SW1的互联线路，检查PC1及PC2的连通性，分析原因。

7. 在FW1的GE0/0/2口及FW2的GE0/0/2口之间增加一根连线（GE0/0/2口划入安全区域ha），激活 HRP，防火墙以主备模式运行，FW1为主，FW2为备。

3.配置实现

3.1.配置接入层交换机SW3

在SW3上创建VLAN（实际上内网可能存在多个业务VLAN，这里只是拿一个VLAN10做示例）

[SW3] vlan batch 10 

配置二层接口类型，并加入相应的VLAN

由于网络中存在二层链路环路，因此需运行生成树协议打破环路。SW3的STP优先级保持缺省， SW1被配置为主根桥，SW2配置为次根桥。

配置MSTP

[SW3] stp mode mstp 
[SW3] stp enable 

3.2.配置SW1及SW2，使得PC1能够ping通网关

SW1、SW2作为汇聚层交换机，是PC1的网关设备，在vlanif10接口上部署VRRP，VRRP的虚拟 IP地址作为PC1的网关地址。另外SW1、SW2、SW3构成了一个二层的冗余环境，存在环路，因 此部署MSTP，将SW1设置为主根桥，SW2设置为次根桥。

SW1上创建VLAN、配置二层接口并将接口划入相应VLAN

注意，SW1及SW2的互联接口GE0/0/24需要放通用户VLAN10，以及核心交换机与防火墙的对接VLAN210。这两 个VLAN的VRRP心跳报文需要通过两台核心交换机之间的连线来交互。

SW1配置MSTP

[SW1] stp mode mstp  
[SW1] stp root primary 
[SW1] stp enable 

SW1上配置vlanif10，并加入VRRP组1，VRRP组1的虚拟IP作为PC1的网关

[SW1] interface vlanif 10 
[SW1-vlanif10] ip address 192.168.10.3 24 
[SW1-vlanif10] vrrp vrid 1 virtual-ip 192.168.10.1   
[SW1-vlanif10] vrrp vrid 1 priority 120 

SW2上创建VLAN、配置二层接口并将接口划入相应VLAN

SW2配置MSTP

[SW2] stp mode mstp  
[SW2] stp root secondary 
[SW2] stp enable 

在SW2上配置vlanif10，并加入VRRP组1，VRRP组1的虚拟IP作为PC1的网关

[SW2] interface vlanif 10 
[SW2-vlanif10] ip address 192.168.10.2 24 
[SW2-vlanif10] vrrp vrid 1 virtual-ip 192.168.10.1 

完成上述配置后，要检查一下SW3的STP接口状态：

SW3的GE0/0/22接口被阻塞，网络中的二层环路已经打破。

此时，PC1即可ping通自己的网关192.168.10.1。

3.3.配置FW1及FW2，使得PC2能够联通自己的网关

在FW1上将GE0/0/3口添加到相应的安全区域，并完成接口的IP地址、VRRP等配置：

[Fw1] interface GigabitEthernet 0/0/3 
[Fw1-GigabitEthernet0/0/3] ip address 10.1.1.3 24 
[Fw1-GigabitEthernet0/0/3] vrrp vrid 4 virtual-ip 10.1.1.1 master 
[Fw1] firewall zone untrust 

注意：如果在eNSP模拟器上进行这个实验，则在防火墙的物理接口上运行VRRP时，需配置vrrp virtual-mac enable 命令，否则VRRP组的虚拟IP地址可能无法被访问。在真实防火墙上无需该命令。

在FW2上将GE0/0/3口添加到相应的安全区域，并完成接口的IP地址、VRRP等配置：

[Fw2] interface GigabitEthernet 0/0/3 
[Fw2-GigabitEthernet0/0/3] ip address 10.1.1.2 24 
[Fw2-GigabitEthernet0/0/3] vrrp vrid 4 virtual-ip 10.1.1.1 slave 
[Fw2] firewall zone untrust 

完成上述配置后，FW1的GE0/0/3口及FW2的GE0/0/3口就会加入VRRP组4，其产生的虚拟路由器 就是PC2的网关，只不过由于我们暂时没有在防火墙上放开Untrust到local的inbound方向的策略， 因此PC2无法ping通自己的网关10.1.1.1，但是这并不影响实验，当然如果想看看实验现象，可以 开放local untrust的inbound策略，不过在实际的网络环境中要慎重。

3.4.完成FW1、FW2与SW1、SW2的对接

在SW1上将GE0/0/20接口加入VLAN10

[SW1] interface GigabitEthernet0/0/20 
[SW1-GigabitEthernet0/0/20] port link-type access 
[SW1-GigabitEthernet0/0/20] port default vlan 210 
[SW1-GigabitEthernet0/0/20] quit

在SW1上完成vlanif210的接口IP及VRRP的配置

[SW1] interface vlanif 210 
[SW1-vlanif210] ip address 192.168.210.12 24 
[SW1-vlanif210] vrrp vrid 2 virtual-ip 192.168.210.1  
[SW1-vlanif210] vrrp vrid 2 priority 120 
[SW1-vlanif210] quit 

在SW1上配置默认路由，该默认路由下一跳为VRRP组3的虚拟IP地址

[SW1] ip route-static 0.0.0.0 0.0.0.0 192.168.210.2 

在SW2上将GE0/0/20接口加入VLAN210

[SW2] interface GigabitEthernet0/0/20 
[SW2-GigabitEthernet0/0/20] port link-type access 
[SW2-GigabitEthernet0/0/20] port default vlan 210 
[SW2-GigabitEthernet0/0/20] quit 

在SW2上完成vlanif210的接口IP及VRRP的配置

[SW2] interface vlanif 210 
[SW2-vlanif210] ip address 192.168.210.11 24 
[SW2-vlanif210] vrrp vrid 2 virtual-ip 192.168.210.1  
[SW2-vlanif210] quit 

在SW2上配置默认路由，该默认路由下一跳为VRRP组3的虚拟IP地址

[SW2] ip route-static 0.0.0.0 0.0.0.0 192.168.210.2 

在FW1上完成GE0/0/1接口的IP及VRRP配置，将GE0/0/1加入Trust安全区域

在FW1上配置去往PC1所在网段的路由，下一跳为VRRP组2的虚拟IP地址

[FW1] ip route-static 192.168.10.0 24 192.168.210.1

在FW1上配置区域间包过滤策略，允许trust区域的192.168.10.0/24网络访问Untrust区域：

在FW2上完成GE0/0/1接口的IP及VRRP配置，将GE0/0/1加入Trust安全区域

在FW2上配置去往PC1所在网段的路由，下一跳为VRRP组2的虚拟IP地址

[FW2] ip route-static 192.168.10.0 24 192.168.210.1 

在FW2上配置区域间安全策略，允许trust区域的192.168.10.0/24网络访问Untrust区域：

完成上述配置后，PC1即可ping通PC2。

4.数据交互过程分析

下面我们来分析一下，PC1访问PC2时，数据的交互过程：

1. PC1产生数据包，数据包的源IP地址为192.168.10.100，目的IP为10.1.1.100。PC1发向数据包的 目的地是非本地网络的IP，因此将数据包交给自己的网关192.168.10.1。此时我们已经在SW1及 SW2的vlanif10上部署了VRRP（组1）并且Master为SW1，因此数据包被引导到SW1的vlanif10。

   如下图所示：

值得注意的是，此时由于MSTP的作用，SW3的GE0/0/22口被Block，因此网络中不存在环路。所 以PC1到网关的数据包直接从SW3的GE0/0/21口转发出去到达SW1。

2. SW1在收到这个数据包后，发现目的地址为10.1.1.100，于是在路由表中查询该目的IP地址，最终 匹配路由表中的默认路由。默认路由的下一跳地址为192.168.210.2。

   此时我们已在FW1的GE0/0/1及FW2的GE0/0/1口上运行了一组VRRP（组ID为3），而FW1的 GE0/0/1口为该组VRRP的Master，因此数据包被引导到了FW1上：

防火墙从自己的GE0/0/1口收到这个数据包，而该接口属于Trust安全区域，目的地址为10.1.1.100，而10.1.1.100正是自己的GE0/0/3口直连的网络，因此它查看区域间包过滤策略，发现Trust到 Untrust的Outbound方向的安全策略放行了来源于192.168.10.0/24网络的流量，于是FW1为了该 流量在会话表中创建了一个条目，并将报文转发给PC2。

3. 数据包到达PC2后，PC2要回包，回送的报文源地址为10.1.1.100，目的地址为192.168.10.100。 该数据包被PC2交给了自己的网关：10.1.1.1。

   防火墙FW的GE0/0/3及FW2的GE0/0/3口上运行了一组VRRP（组ID为4，虚拟IP地址为10.1.1.1）， 此刻该组VRRP的Master为FW1的GE0/0/3口，因此PC2发向自己网关10.1.1.1的数据实际上是转 发到了FW1上：

4. FW1在从自己的GE0/0/1口上收到这个数据包后，从FW1在会话表中找到了一个匹配的表项，确认 该报文为回程报文，因此放行。数据包的下一跳是192.168.210.1。
5. 由于我们在SW1及SW2的vlanif210接口上已经部署了一组VRRP（组ID为2），虚拟IP地址为 192.168.210.1，并且此时SW1的vlanif210为该组VRRP的Master，因此，FW1转发到192.168.210.1 的报文实际上是转发给了SW1。
6. SW1在收到该报文后，发现报文的目的地址是192.168.10.100，就是自己本地直连的网络，因此将 数据直接走二层丢给了PC1。到此PC1与PC2的通信过程就完成了。

5.遗留问题及防火墙双机热备

经过我们的配置，大体上是实现了网路的需求，在网络拓扑正常的情况下，PC1及PC2的数据访问是没 有问题的，但是这个网络却存在隐患：

如上图所示，由于某种原因，SW1及FW1之间的链路发生了故障，故障发生后，FW2的GE0/0/1口由于 无法收到原Master的VRRP消息因此认为FW1的GE0/0/1口已发生故障，于是自己切换到Master状态。 此时PC1发往PC2的报文将经由交换机转发给FW2，FW2从GE0/0/1口收到这些报文，转给PC2。但是 问题就出在PC2回包上，PC2的回程数据包是发向自己的网关的，而此刻FW1及FW2加入的VRRP组4 由于并未发生切换，FW1的GE0/0/3口依然是Master。因此PC2的回程流量实际上是发给了FW1，这就 造成了来回路径不一致的问题，数据包在FW1这里被丢弃，因为FW1上没有找到匹配的会话表项。

从上面的现象我们可以看出，之所以发生这样的问题，是因为防火墙上，VRRP组3和VRRP组4是相互 独立的，一个VRRP组的状态切换并不影响另一个VRRP组的状态切换，一种理想的方式是当FW1及FW1之间的链路发生故障时，VRRP组3发生了状态切换，同时激发VRRP组4也发生切换，这样一来 FW2就同时成为VRRP组3和组4的Master，来回路径就能一致了。实现这个目标的方法是部署双机热 备。防火墙的双机方案中，引入了VGMP，VRRP组管理协议，通过VGMP我们可以在一台防火墙上统 一管控所有VRRP组的状态。同时，引入了HRP，使得防火墙能够基于心跳线实现状态化数据及配置信 息的同步。

在FW1及FW2之间增加一根连线：双方GE0/0/2口互联，这条链路将作为双机的心跳线。

FW1的配置增加如下：

FW2的配置增加如下：

完成上述配置后，FW1及FW2就会进行主备的协商。由于我们在FW1上的VRRP组3及组4的配置中， 都加入了Master的VGMP组，而在FW2上加入的是Slave的VGMP组，因此在激活HRP后，FW1成为HRP 的Master，FW2成为Slave。VGMP会监控并同一管理VRRP的状态，HRP会在心跳线上同步两台防火 墙的会话表、配置等信息。此时FW1为主防火墙，FW2为备防火墙。当网络正常的时候，数据流是这 么走的：

当FW1-SW1之间的链路发生故障时：

由VRRP组3发生了状态切换，VRRP切换将触发VGMP管理组的状态发生切换，FW2变成了VGMP Master，而FW1变成了VGMP Slave，而我们知道VRRP组的状态是由VGMP统一管理的，因此在FW2 上，接口GE0/0/1成为了组3的Master，同时，接口GE0/0/3成为了组4的Master。如此一来VRRP组的 状态就达成了一致，数据的往返路径也就一致了。

实验二

1.实验拓扑

网络拓扑如上图所示，SW1、SW2是两台汇聚交换机。SW3是一台接入层交换机，只实现二层交换功 能。FW1、FW2是两台Eudemon-X的防火墙，PC1、Server都是内网设备，它们的网关设置在FW1/FW2 上。设备IP编址、接口VLAN见下表：

2.实验需求

1. PC1（VLAN10）Server（VLAN20）的网关在FW1及FW2上（VRRP组1及组2的虚拟IP地址）； PC2的网关在FW1及FW2上（VRRP组3的虚拟IP地址）；
2. PC1属于Trust区域；Server属于DMZ区域；PC2属于Untrust区域；
3. 网络中一共存在三组VRRP，VRRP组1的虚拟IP地址作为PC1的网关；VRRP组2的虚拟IP地址作 为Server的网关地址；VRRP组3的虚拟IP地址作为PC2的网关；
4. FW1及FW2运行双机热备，FW1为主，FW2为备；两台防火墙的GE0/0/2口为心跳接口，专用于 HRP，同时将该接口划分到一个自定义的安全区域——ha之中；
5. PC1能够主动访问PC2，但PC2无法主动访问PC1；当PC1访问PC3时，使用源地址NAT，NAT地 址池为10.1.1.200到10.1.1.210这个区间的IP。
6. PC2能够访问Server的FTP服务，当其访问时，使用的目的IP地址是10.1.1.211，目的端口号是 65111。

3.配置实现

3.1配置接入层交换机SW3

在SW3上创建VLAN10及20

[SW3] vlan batch 10 20 

在SW3上配置二层接口类型，并加入相应的VLAN

在SW3上配置MSTP

[SW3] stp mode mstp  
[SW3] stp enable 

3.2.配置SW1及SW2

在SW1上创建VLAN、配置Eth-trunk、配置二层接口并将接口划入相应VLAN

SW1配置MSTP，SW1配置为网络中的STP主根

[SW1] stp mode mstp  
[SW1] stp root primary 
[SW1] stp enable 

在SW2上创建VLAN、配置Eth-trunk、配置二层接口并将接口划入相应VLAN

SW2配置MSTP，SW2配置为网络中的STP次根

[SW2] stp mode mstp  
[SW2] stp root secondary 
[SW2] stp enable 

3.3.配置FW1及FW2，使得PC1及Server能够与自己的网关互通

由于VLAN10及VLAN20的网关均在防火墙上，并且FW1及FW2均只有一个物理接口与交换机直连，同时还要求把VLAN10、VLAN20关联到不同的安全域，两个VLAN之间的流量互访需要经过防火 墙进行安全把控，因此就需要在防火墙的GE0/0/1口上部署子接口。

在FW1上创建子接口GE0/0/1.10，配置VLAN-ID为10，配置IP地址及VRRP；创建子接口 GE0/0/1.20，配置VLAN-ID为20，配置IP地址及VRRP；将上述两个子接口关联到相应安全区域：

在FW2上创建子接口GE0/0/1.10，配置VLAN-ID为10，配置IP地址及VRRP；创建子接口 GE0/0/1.20，配置VLAN-ID为20，配置IP地址及VRRP；将上述两个子接口关联到相应安全区域：

完成上述配置后PC1与Server就能够跟自己的网关互通了。（PC1属于trust区域，防火墙可能默认的安全策略放行了local-trust安全区域的inbound及outbound策略，因此PC1可直接ping通网关 192.168.10.1；而local-dmz的inbound及outbound的默认策略都是deny的，因此Server可能无法直 接ping通网关192.168.20.1，但是这并不影响实验，如果想要观察实验结果，可以放开local-dmz之 间的安全策略。）

注意：如果在eNSP（1.2.00.350版本）环境下做这个实验，防火墙的子接口上运行VRRP时，VRRP的虚拟IP地址 可能会无法访问（但是VRRP的主备状态正常），因此当PC1及Server把网关地址设置为VRRP组的虚拟IP地址时， 数据包可能无法被网关。规避这个问题的办法非常简单，就是在做ping测试时，将PC1及Server的网关地址设置为 主防火墙的子接口实际IP地址。

3.4.配置FW1及FW2使得PC2能够与网关联通

在FW1上将GE0/0/3口添加到相应的安全区域，并完成接口的IP地址、VRRP等配置：

[FW1] interface GigabitEthernet 0/0/3 

在FW2上将GE0/0/3口添加到相应的安全区域，并完成接口的IP地址、VRRP等配置：

[FW2] interface GigabitEthernet 0/0/3 

3.5.FW1及FW2激活双机热备

FW1的配置增加如下：

FW2的配置增加如下:

3.6. 在主设备FW1上完成配置，使得PC1能够ping通PC2

FW1上部署域间包过滤策略，允许PC1所在网段访问untrust区域：

FW1上部署NAT：

说明：在FW1上配置的域间包过滤策略，以及NAT策略均会自动同步到备份防火墙FW2。

注意：在双机热备的组网环境下，两台Eudemon的NAT配置是一致的。当NAT地址池中的地址与 VRRP备份组的虚拟IP地址在同一网段，上下行设备需要请求NAT地址池的ARP时，两台Eudemon 都会回应ARP报文，从而造成冲突，影响正常业务的运行。

在这种情况下，需要在主用设备上将NAT地址池与连接Internet的接口上的VRRP组绑定，使业务 流量能送到主用设备。因为只有主用设备NAT地址池中的IP地址会应答ARP请求，并且应答报文中携带的MAC地址为VRRP组的虚拟MAC地址。因此配置NAT地址池时要关联VRRP的组ID：nat address-group 1 10.1.1.200 10.1.1.210 vrrp 3。 由于部署了防火墙双机热备，因此在主设备FW1上所配置的上述策略会同步到备份设备FW2上。 如此一来，PC1即可ping通PC2。

3.7.在主设备FW1上完成配置，使得PC2能够访问Server的FTP服务

FW1上部署域间包过滤策略，允许untrust用户访问Server的FTP服务：

说明：在FW1上配置的域间包过滤策略，以及NAT Server配置均会自动同步到备份防火墙FW2。

完成上述配置后，PC2即可访问Server的FTP服务。

实验三

1.实验拓扑

网络拓扑如上图所示，SW1、SW2是两台汇聚交换机。SW3是一台接入层交换机，只实现二层交换功 能。FW1、FW2是两台Eudemon-X的防火墙，PC1、Server都是内网设备，它们的网关设置在FW1/FW2 上。设备IP编址、接口VLAN见下表：

2.实验需求

1. 设备IP、VLAN规划如上表所示；
2. PC1（VLAN10）、Server（VLAN20）的网关在FW1及FW2上；
3. VLAN10属于Trust区域；VLAN20属于DMZ区域；Router处于Untrust区域；
4. FW1及FW2运行双机热备，FW1为主，FW2为备；两台防火墙的GE0/0/2口为心跳接口，专用于 HRP，同时将该接口划分到一个自定义的安全区域：ha之中；
5. FW1、FW2及Router运行OSPF；
6. PC1能够主动访问PC2；PC2能够访问Server的FTP服务。

3.配置实现

3.1.配置接入层交换机SW3

在SW3上创建VLAN10及20

[SW3] vlan batch 10 20

在SW3上配置二层接口类型，并加入相应的VLAN

在SW3上配置MSTP

[SW3] stp mode mstp  
[SW3] stp enable 

3.2.配置SW1及SW2

在SW1上创建VLAN、配置Eth-trunk、配置二层接口并将接口划入相应VLAN

SW1配置MSTP，SW1配置为网络中的STP主根

[SW1] stp mode mstp  
[SW1] stp root primary 
[SW1] stp enable 

在SW2上创建VLAN、配置Eth-trunk、配置二层接口并将接口划入相应VLAN

SW2配置MSTP，SW2配置为网络中的STP次根

[SW2] stp mode mstp  
[SW2] stp root secondary 
[SW2] stp enable 

3.3.配置FW1及FW2，使得PC1及Server能够与自己的网关互通

在FW1上创建子接口GE0/0/1.10及GE0/0/1.20，分别对应VLAN10及VLAN20：

在FW2上创建子接口GE0/0/1.10及GE0/0/1.20，分别对应VLAN10及VLAN20：

注意：如果在eNSP（1.2.00.350版本）环境下做这个实验，防火墙的子接口上运行VRRP时，VRRP的虚拟IP地址 可能会无法访问（但是VRRP的主备状态正常），因此当PC1及Server把网关地址设置为VRRP组的虚拟IP地址时， 数据包可能无法被网关。规避这个问题的办法非常简单，就是在做ping测试时，将PC1及Server的网关地址设置为 主防火墙的子接口实际IP地址。

完成上述配置后PC1与Server就能够跟自己的网关互通了，PC1属于trust区域，防火墙可能默认的 安全策略放行了local-trust安全区域的inbound及outbound策略，因此PC1可直接ping通网关 192.168.10.1；而local-dmz的inbound及outbound的默认策略都是deny的，因此Server可能无法直 接ping通网关192.168.20.1，但是这并不影响实验，如果想要观察实验结果，可以放开local-dmz之 间的安全策略。

3.4.配置FW1及FW2，与R1、R2建立OSPF邻居关系

在FW1配置GE0/0/3口，并且运行OSPF，使用Router-ID 1.1.1.1

在FW2配置GE0/0/3口，并且运行OSPF，使用Router-ID 2.2.2.2

在上面的配置中，有两条命令：

[FW1-ospf-1] silent-interface GigabitEthernet 0/0/1.10 
[FW1-ospf-1] silent-interface GigabitEthernet 0/0/1.20 

由于FW1的FW2只需要对外通告路由192.168.10.0/24及192.168.20.0/24，而并不需要在子接口 GE0/0/1.10及GE0/0/1.20上建立OSPF邻居关系，因此使用上述配置，将GE0/0/1.10及GE0/0/1.20 配置为OSPF Silent接口，OSPF将不会在这些接口上发送或接收Hello报文，也就不会建立OSPF 邻居关系了。

配置Router

完成配置后，在Router检查一下

从Router的邻居表可以看出，FW1及FW2这两个邻居的状态均为Full。

观察一下Router的路由表：

从上面的输出我们可以看出，Router已经通过OSPF从FW1、FW2学习到192.168.10.0/24、 192.168.20.0/24路由，但是这些内网路由在FW1及FW2上出现了等价负载分担。也就是Router认 为去往这些网段，从FW1走可以，从FW2走也行，这就存在往返路径不一致的隐患，如下图所示：

相信你已经非常清楚在防火墙的网络中，往返路径不一致会引发的问题。PC1访问PC2的数据包完 全有可能如上图所示的路径去走，一旦出现这种情况，回程的数据包就会在FW2这里被丢弃，因 为FW2上没有匹配的会话表项。

解决这个问题的办法自然是让Router在转发PC2的回程报文时，把数据包送往FW1而不是FW2， 也就是让Router优选主防火墙通告过来的OSPF路由。要实现这个目标，就必须让当前的主防火墙 向Router通告内网路由时，将路由的cost设置得更小，或者让当前备份防火墙向Router通告内网路 由时，将cost设置得更大。Eudemon-X在激活HRP后，可以通过一个命令打开自动调整OSPF cost 值的开关。接下来，我们首先为FW1及FW2配置双机热备。

FW1的配置增加如下：

FW2的配置增加如下：

在上述配置中，hrp ospf-cost adjust-enable命令用来启动根据主备状态调整OSPF的COST值功能。 配置这条命令后，当前的备份防火墙在发布OSPF链路状态通告时，cost值设置成一个非常大的值。 这使得Router在计算路由时，总是优选主防火墙所通告的路由。

我们可以简单地看一下备份防火墙FW2所产生的链路状态通告：

从上述输出可以看出，FW2所通告的链路状态通告中，cost值设置为65500，这是一个非常大的值。 另外，再检查一下Router的路由表：

在Router的路由表中，关于192.168.10.0/24、192.168.20.0/24路由，都优选FW1作为下一跳。

3.5.在主设备FW1上完成配置，使得PC1能够访问PC2

FW1上部署域间包过滤策略，允许PC1所在网段访问untrust区域：

由于部署了防火墙双机热备，因此在主设备FW1上所配置的策略会同步到备份设备FW2上。 如此一来PC1即可ping通PC2。

3.6.在主设备FW1上完成配置，使得PC2能够访问Server的FTP服务

FW1上部署域间包过滤策略，允许untrust用户访问Server的FTP服务：

完成上述配置后，PC2即可访问Server的FTP服务。

考虑一下，当FW1的GE0/0/3接口，或者其直连的链路发生故障时：

由于该接口配置了hrp track master，因此接口状态一旦为Down，立即触发防火墙主备切换，FW2 成为新的主防火墙，FW1成为备份防火墙。如此一来，PC1访问PC2的上行流量，会从FW2外出。 另外由于FW1与Router的连接丢失，Router的路由表中，以FW1为下一跳的路由全部失效。而FW2 由于成为新的主防火墙，因此它将重新发送OSPF链路状态通告，刷新Router的路由表项，如此一 来PC2去往PC1的流量就会从FW2下行。

当然，此时如果FW1从故障中恢复，由于缺省HRP抢占功能已经开启，如果此时它立即从FW2抢 回主防火墙的角色，但它跟Router的OSPF邻居关系却还未建立，那么就将出现由于Router的路由 表项来不及刷新从而导致下行流量无法正确到达FW1的问题。因此我们在防火墙上配置了hrp preempt delay 60命令，这将使FW1从故障中恢复后，等待60秒钟再进行抢占，这样FW1与Router 的OSPF邻居关系便有充分的时间可以建立。

实验四

1.实验拓扑

2.实验需求

1. 网络拓扑如图所示。SW3为接入层交换机，SW1、SW2为汇聚交换机，FW1、FW2双臂旁挂在两 台汇聚交换机上。CUST1、CUST2为两台AR2220路由器。
2. 内网存在三个VLAN：10、20、30，其中VLAN10业务在Trust安全区域，VLAN20在DMZ区域， VLAN30是模拟备份网元。VLAN10、VLAN20的网关在防火墙的GE0/0/1口；VLAN30的网关在汇 聚交换机。
3. 防火墙为双机主备方式。两台防火墙的GE0/0/1口对接内网的VLAN10、VLAN20，GE0/0/3口对接 路由器CUST1、CUST2。
4. 路由器CUST1及CUST2的GE0/0/1口用于和防火墙对接且只能用于承载PC1及Server的业务流量。 GE0/0/2口用于和备份数据对接并且该接口只能承载备份流量（PC2的流量)
5. VLAN10内的节点可经过防火墙安全地访问VLAN20内的节点。
6. 防火墙以双机主备的方式运行，对外与路由器CUST1、CUST2在业务链路（路由器的GE0/0/1接 口及其直连链路专用于业务流量）上采用OSPF交互业务网段的路由，在路由器上开设Loopback0 接口，配置地址8.8.8.8/32模拟远端业务网元，内网VLAN10能够访问该网元。
7. 位于VLAN30的PC2网关在SW1、SW2的VRRP虚拟IP地址上，SW1、SW2的GE0/0/12与CUST路 由器的GE0/0/2口之间的链路专门为备份流量承载。在CUST路由器上开设Loopback1接口，配置 地址9.9.9.9/32模拟远端备份节点，要求PC2能够访问到该节点。SW1、SW2与路由器CUST1、 CUST2采用静态路由实现备份数据的互通。
8. 本实验聚焦的是内部网络的部署，关于外部路由器CUST1及CUST2，以及其上层的外部网络，我 们将尽量简化。因此简单起见，在两台路由器上采用Loopback接口来模拟外部的业务及备份网段。

3.配置实现

3.1.配置接入层交换机SW3

在SW3上创建VLAN10、20、30

[SW3] vlan batch 10 20 30 

在SW3上配置二层接口类型，并加入相应的VLAN

在SW3上配置MSTP

[SW3] stp mode mstp  
[SW3] stp enable 

3.2.配置汇聚交换机SW1、SW2、FW1、FW2，使得VLAN10与VLAN20能够相互通信

在SW1上创建VLAN10、20、30

[SW1] vlan batch 10 20 30

在SW1上配置二层接口类型，并加入相应的VLAN

在SW1上配置MSTP

[SW1] stp mode mstp  
[SW1] stp root primary      #把SW1设置为STP的主根 
[SW1] stp enable 

在SW2上创建VLAN10、20、30

[SW2] vlan batch 10 20 30 

在SW2上配置二层接口类型，并加入相应的VLAN

在SW2上配置MSTP

[SW2] stp mode mstp  
[SW2] stp root secondary 
[SW2] stp enable 

完成上述配置后可以做一下初步的验证，看一下SW3的接口STP状态：

从上面的输出我们可以看到，SW3的GE0/0/22口被生成树阻塞，内网VLAN的上行流量走 SW3->SW1这一侧的链路到主防火墙FW1，这是符合预期的

在FW1上创建子接口GE0/0/1.10及GE0/0/1.20：

在FW2上创建子接口GE0/0/1.10及GE0/0/1.20：

注意：如果在eNSP（1.2.00.350版本）环境下做这个实验，防火墙的子接口上运行VRRP时，VRRP的虚拟IP地址 可能会无法访问（但是VRRP的主备状态正常），因此当PC1及Server把网关地址设置为VRRP组的虚拟IP地址时， 数据包可能无法被网关。规避这个问题的办法非常简单，就是在做ping测试时，将PC1及Server的网关地址设置为 主防火墙的子接口实际IP地址。

接下来激活FW1、FW2的双机主备：

FW1的配置增加如下：

FW2的配置增加如下

FW1上部署interzone策略，允许VLAN10网元访问VLAN20的网元：

由于部署了防火墙双机热备，因此在主设备FW1上所配置的策略会同步到备份设备FW2上。如此 一来，PC1即可访问Server。

3.3.配置FW1、FW2、SW1、SW2及CUST1、CUST2，使得VLAN10内的节点能够访问远 端业务网元8.8.8.8/32

配置SW1的外联VLAN，并且将接口加入到相应的VLAN：

配置SW2的外联VLAN，并且将接口加入到相应的VLAN：

配置FW1与CUST1路由器的对接

注意GE0/0/3接口上没有运行VRRP，因此需要配置hrp track来跟踪接口的状态。

配置FW2与CUST2路由器的对接：

FW2上无需将GE0/0/3接口添加到untrust域，因为在FW1上配置的时候，这部分配置已经同步到备 份防火墙FW2上来。

配置CUST1：

配置CUST2：

FW1上部署interzone策略，允许VLAN10网元访问远端业务网元8.8.8.8

完成上述配置后，VLAN10的网元即可ping通8.8.8.8。在网络正常时，流量的走向如下：

注意：在上述拓扑中，如果FW1连接SW1的链路发生故障，那么FW1将立即感知，并且触发防火墙主备切换，此 时PC1访问8.8.8.8的流量可以切换到FW2，业务不会受到影响。但是如果SW1的GE0/0/11与CUST1的GE0/0/1之 间的链路发生故障时，FW1是无法感知的，此时实际上FW1已经丢失了与CUST1的连通性，PC1外出的流量将在 FW1处丢包。请读者查阅相关产品文档，找出解决办法。

3.4.实现VLAN30内的节点与9.9.9.9/32的互访

实际上，在本实验中，关于备份网络的规划是这样的：

灰色的线条，以及两台防火墙实际上可以忽略掉。PC2是备份网段的设备，其网关在两台汇聚交换 机上。而汇聚交换机SW1及SW2则通过VRRP+静态路由的方式与CUST1及CUST2对接。

在SW1上配置vlanif30

[SW1] interface Vlanif 30 
[SW1-Vlanif30] ip address 192.168.30.3 24 
[SW1-Vlanif30] vrrp vrid 3 virtual-ip 192.168.30.1 
[SW1-Vlanif30] vrrp vrid 3 priority 120 

在SW2上配置vlanif30

[SW2] interface Vlanif 30 
[SW2-Vlanif30] ip address 192.168.30.2 24 
[SW2-Vlanif30] vrrp vrid 3 virtual-ip 192.168.30.1 

在SW1上配置vlanif90

在SW2上配置vlanif90

配置CUST1：

配置CUST2：

完成上述配置后，VLAN30的网元即可访问9.9.9.9。

4.思考题

1. 基于现有的配置，如果FW1的GE0/0/3接口发生故障，FW1能够通过HRP Track感知并且进行主备 切换。但是如果下图所示的链路发生故障的话，FW1是无法感知的，因此也就无法触发防火墙主备切换，这就导致VLAN10、VLAN20的上行流量被引导到FW1然后被丢弃，因为FW1已经丢失了 OSPF邻居。这个问题该如何解决？

2.如果Cust1与SW1、Cust2与SW2之间在物理上各只有一根连线，那么配置该做如何调整？