防火墙主备切换案例分析，干货值得收藏 _防火墙

在规划网络时，往往需要考虑整体网络的可靠性和可用性，通常采用一些技术手段，提高整体网络的冗余能力，避免出现单点故障。今天通过分享一个核心交换机不做堆叠的情况下防火墙热备的案例。

拓扑图

文章插图

设计思路

为了节约公网IP地址所以在防火墙接口上面配置IP地址为内网地址，同时将公网IP地址设置成为VRRP组中的虚拟地址。
在防火墙A和防火墙B上使用单链路做聚合，配置好IP地址加入到HRP安全域中并指为HRP心跳检测端口。
核心交换机A和核心交换机B使用多链路做聚合，再将聚合端口配置为trunk属性透传业务VLAN,在核心交换机A上配置业务VLAN网关并为VRRP组中的master 。在核心交换机B上配置VLAN的网关并作为VRRP组中的slav 。同时交换机上的DHCP分配都采用全局地址池方式并指定虚拟IP地址为业务网关。
正常情况下流量由核心交换机A和防火墙A处理，当防火墙故障或者核心交换机故障都会戳发主备切换。
防火墙A上通过配置IP-link监控外网链路或者短裤状态同时与HRP主备进行联动(防火墙上的业务端口down了或者失效的情况触发HRP主备切换)
核心交换机A上通过配置VRRP组与上行端口进行联动(一旦与防火墙互联的端口down掉或者失效将会戳发vrrp主备切换) 。

主备切换测试正常的情况下流量走向

文章插图

可以通过在PC2和PC3上进行tracert，验证流量的走向。如下图

文章插图

主防火墙故障情况
这里通过把防火墙A关机模拟主防火墙故障
内网一台主机ping外网的测试（掉了几个包，真实情况收敛速度会快点）备防火墙替代主防火墙的业务，快速会话同步。

文章插图

在防火墙B上的HRP状态，通过执行display hrp state命令，如下图

文章插图

此时防火墙上B的会话表情况，如下

文章插图

此时核心交换机的情况

文章插图

通过上图可以看到核心交换机A的VRRP组成为了备份状态，那么核心交换机B上的VRRP主成为了master状态。为什么会出现这种情况呢？
这是由于配置了VRRP联动，当防火墙A上的GE0/0/1端口出现故障，会触发下游的核心交换机进行主备切换，核心交换机A关键配置如下：
interface Vlanif3 ip address 192.168.3.1 255.255.255.0【防火墙主备切换案例分析，干货值得收藏】 vrrp vrid 3 virtual-ip 192.168.3.254 vrrp vrid 3 priority 120 vrrp vrid 3 track interface GigabitEthernet0/0/1 reduced 30 dhcp select globalinterface Vlanif4 ip address 192.168.4.1 255.255.255.0 vrrp vrid 4 virtual-ip 192.168.4.254 vrrp vrid 4 priority 120 vrrp vrid 4 track interface GigabitEthernet0/0/1 reduced 30 dhcp select global此时的流量走向

文章插图

防火墙上行链路故障情况
通过把防火墙A的GE0/0/0进行shutdown来模拟故障。当GE0/0/0故障也触发了主备切换。
此时的流量走向

文章插图

由于防火墙A上把vrrp1和vrrp2加入了master的VGMP组，当其中一个vrrp进行了主备切换，整个master的VRRP都会进行切换。
防火墙上A的关键配置
interface GigabitEthernet0/0/1 ip address 10.0.0.2 255.255.255.0 vrrp vrid 2 virtual-ip 10.0.0.254 master vrrp virtual-mac enableinterface GigabitEthernet0/0/3 ip address 172.31.0.1 255.255.255.0 vrrp vrid 1 virtual-ip 222.222.222.2 255.255.255.0 master vrrp virtual-mac enable以上就是核心交换机不做堆叠的情况下防火墙热备的案例的讲解，感谢的小伙伴们，可以转发关注，获取网络拓扑和全部的配置。