Juniper防火墙HA配置详解_双主(L2透明模式).doc

JuniperHA双主（L2）透明模式配置实际环境中防火墙做双主是不太可能实现全互联结构,juniper防火墙标配都是4个物理以太网端口，全互联架构需要防火墙增加额外的以太网接口（这样会增加用户成本），或者在物理接口上使用子接口（这样配置的复杂性增加许多），最主要的是用户的网络中大多没有像全互联模式那样多的设备因此双主多数实现在相对冗余的网络环境中图中服务器交换机与核心交换机间采用OSPF动态路由器协议，自动完成双链路的流量负载均衡具体实际环境如下：Zone:v1-trustE1/3FW-AVlan100主Vlan200从E1/4服务器172.17.1.1172.16.40.254服务器交换机172.17.2.1HAE1/3Vlan200主Vlan100从E1/4FW-BZone:v1-trustE1/1E1/1Zone:v1-UntrustZone:v1-Untrust172.17.1.2172.1722核心-1核心-2防火墙A上执行的命令sethostnameISG1000-Asetinterfacemgtip172.16.12.1/24setintmgtmanagesetinterface"ethernet1/4"zone"HA"setnsrpclusterid1setnsrprto-mirrorsyncsetnsrprto-mirrorsessionageout-ackunsetnsrpvsd-groupid0setnsrpvsd-groupid1priority1setnsrpvsd-groupid1preemptsetnsrpvsd-groupid1preempthold-down10setnsrpvsd-groupid2priority255setnsrpvsd-groupid2preempthold-down10防火墙B上执行的命令sethostnameISG1000-Bsetinterfacemgtip172.16.12.2/24setintmgtmanagesetinterface"ethernet1/4"zone"HA"setnsrpclusterid1setnsrprto-mirrorsyncsetnsrprto-mirrorsessionageout-acksetnsrprto-mirrorsessionnon-vsiunsetnsrpvsd-groupid0setnsrpvsd-groupid1priority255setnsrpvsd-groupid1preempthold-down10setnsrpvsd-groupid2priority1setnsrpvsd-groupid2preemptsetnsrpvsd-groupid2preempthold-down10任意一个防火墙上执行的命令即可setvlangroupnamev100setvlangroupv100100setvlangroupv100vsdid1setvlangroupnamev200setvlangroupv200200setvlangroupv200vsdid2setvlanportethernet1/3groupv100zoneV1-trustsetvlanportethernet1/1groupv100zoneV1-untrustsetvlanportethernet1/3groupv200zoneV1-trustsetvlanportethernet1/1groupv200zoneV1-untrustsetpolicyfromV1-trusttoV1-untrustanyanyanypermitsetpolicyfromV1-untrusttoV1-trustanyanyanypermitsetinterface"ethernet1/1"zone"V1-Untrust"setinterface"ethernet1/3"zone"V1-Trust"。