网络设备主备配置系列2:netscreen防火墙双机主备

简介:
NETSCREEN防火墙是小侠最喜欢的防火墙了,正好手上也有几个,于是狂搜了不少资料,进行了N个试验.现在就拿出一些分享给大家了..
 
        
 
一、NSRP工作原理
NSRP NetScreen Redundant Protocol)是Juniper公司基于VRRP协议规范自行开发的设备冗余协议。防火墙作为企业核心网络中的关键设备,需要为所有进出网络的信息流提供安全保护,为满足客户不间断业务访问需求,要求防火墙设备必须具备高可靠性,能够在设备、链路及互连设备出现故障的情况下,提供网络访问路径无缝切换。NSRP冗余协议提供复杂网络环境下的冗余路径保护机制。 NSRP 主要功能有:1、在高可用群组成员之间同步配置信息;2、提供活动会话同步功能,以保证发生路径切换情况下不会中断网络连接;3、采用高效的故障切换算法,能够在短短几秒内迅速完成故障检测和状态切换。
NSRP 集群两种工作模式:
一、Active/Passive模式:通过对一个冗余集群中的两台安全设备进行电缆连接和配置,使其中一台设备作为主用设备,另一台作为备用设备。主用设备负责处理所有网络信息流,备用设备处于在线备份状态。主设备将其网络和配置命令及当前会话信息传播到备用设备,备用设备始终保持与主用设备配置信息和会话连接信息的同步,并跟踪主用设备状态,一旦主设备出现故障,备份设备将在极短时间内晋升为主设备并接管信息流处理。
二、Active/Active模式:在 NSRP 创建两个虚拟安全设备  (VSD)  组,每个组都具有自己的虚拟安全接口 (VSI) ,通过VSI接口与网络进行通信。设备 A 充当 VSD 1 的主设备和 VSD  2 的备份设备。设备 B 充当 VSD 2 的主设备和 VSD 1 的备份设备。Active/Active模式中两台防火墙同时进行信息流的处理并彼此互为备份。在双主动模式中不存在任何单一故障点。如下图所示,通过调整防火墙上下行路由/交换设备到网络的路由指向,HostA通过左侧路径访问ServerAHostB通过右侧路径访问ServerB,网络中任一设备或链路出现故障时,NSRP集群均能够做出正确的路径切换。
NSRP 集群技术优势主要体现于:
1 、消除防火墙及前后端设备单点故障,提供网络高可靠性。即使在骨干网络中两类核心设备同时出现故障,也能够保证业务安全可靠运行。
2 、根据客户网络环境和业务可靠性需要,提供灵活多样的可靠组网方式。NSRP双机集群能够提供1Active-Passive模式Layer2/3多虚拟路由器多虚拟系统和口型/交叉型组网方式;2Active-Active模式Layer2/3多虚拟路由器多虚拟系统和口型/Fullmesh交叉型组网方式。为用户提供灵活的组网选择。
3 NSRP双机结构便于网络维护管理,通过将流量在双机间的灵活切换,在防火墙软件升级、前后端网络结构优化改造及故障排查时,双机结构均能够保证业务的不间断运行。
4 、结合Netscreen虚拟系统和虚拟路由器技术,部署一对NSRP集群防火墙,可以为企业更多的应用提供灵活可靠的安全防护,减少企业防火墙部署数量和维护成本。

二、NSRP典型结构与配置

1Layer3 口型A/P组网模式

Layer3  口型A/P组网模式是当前很多企业广泛采用的HA模式,该模式具有对网络环境要求不高,无需网络结构做较大调整,具有较好冗余性、便于管理维护等优点。缺点是Netscreen防火墙利用率不高,同一时间只有一台防火墙处理网络流量;冗余程度有限,仅在一侧链路和设备出现故障时提供冗余切换。Layer3 口型组网A/P模式具有较强冗余性、低端口成本和网络结构简单、便于维护管理等角度考虑,成为很多企业选用该组网模式的标准。
配置说明:两台Netscreen设备采用相同硬件型号和软件版本,组成Active/Passive冗余模式,两台防火墙均使用一致的Ethernet接口编号连接到网络。通过双HA端口或将2Ethernet接口放入HA区段,其中控制链路用于NSRP心跳信息、配置信息和Session会话同步,数据链路用于在两防火墙间必要时传输数据流量。
NS-A (主用):
Set hostname NS-A         /*** 定义主机名***/
Set interface ethernet1 zone untrust
Set interface ethernet1 ip 100.1.1.4/29
Set interface ethernet1 route
Set interface ethernet2 zone trust
Set interface ethernet2 ip 192.168.1.4/29
Set interface ethernet2 route
Set interface mgt ip 192.168.2.1/24   /*** 通过管理口远程管理NS-A***/
/*** 配置接口:Untrust/Trust Layer3 路由模式***/
Set interface ethernet3 zone HA
Set interface ethernet4 zone HA
/***Eth3 Eth4口用于HA互连,用于同步配置文件、会话信息和跟踪设备状态信息***/
set nsrp cluster id 1
set nsrp rto-mirror sync
set nsrp vsd-group id 0 priority 50 /*** 缺省值为100,低值优先成为主用设备***/
set nsrp monitor interface ethernet2
set nsrp monitor interface ethernet1
/*** 配置NSRPVsd-group缺省为0VSI使用物理接口IP地址,非抢占模式***/
NS-B (备用):
Set hostname NS-B         /*** 定义主机名***/
Set interface ethernet1 zone Untrust
Set interface ethernet1 ip 100.1.1.4/29
Set interface ethernet1 route
Set interface ethernet2 zone trust
Set interface ethernet2 ip 192.168.1.4/29
Set interface ethernet2 route
Set interface mgt ip 192.168.2.2/24   /*** 通过管理口远程管理NS-A***/
/*** 配置接口:Untrust/Trust Layer3 路由模式***/
Set interface ethernet3 zone HA
Set interface ethernet4 zone HA
/***Eth3 Eth4口用于HA互连,用于同步配置文件、会话信息和跟踪设备状态信息***/
set nsrp cluster id 1
set nsrp rto-mirror sync
set nsrp vsd-group id 0 priority 100
set nsrp monitor interface ethernet2
set nsrp monitor interface ethernet1
/***Vsd-group 缺省为0VSI使用物理接口IP地址,备用设备:优先级100,成为非抢占模式***/

2Layer3 Fullmesh A/P组网模式

Layer3 Fullmesh 连接A/P组网使用全交叉网络连接模式,容许在同一设备上提供链路级冗余,发生链路故障时,由备用链路接管网络流量,防火墙间无需进行状态切换。仅在上行或下行两条链路同时发生故障情况下,防火墙才会进行状态切换,Fullmesh连接进一步提高了业务的可靠性。该组网模式在提供设备冗余的同时提供链路级冗余,成为很多企业部署关键业务时的最佳选择。
 
NS-A Active :
Set hostname NS-A         /*** 定义主机名***/
Set interface mgt ip 192.168.2.1/24   /*** 通过管理口远程管理NS-A***/
Set interface  red1 zone Untrust         /*** 创建冗余接口1***/
Set interface  e1 zone null
Set interface  e1 group red1
Set interface  e2 zone null
Set interface  e2 group red1
Set interface  red1 ip 10.1.1.4/29
Set interface  red2 zone trust
Set interface  e3 zone null
Set interface  e3 group red2
Set interface  e4 zone null
Set interface  e4 group red2
Set interface  red2 ip 192.168.1.4/29
/*** 配置接口:Untrust/Trust Layer3 路由模式***/
Set interface ethernet7 zone ha
Set interface ethernet8 zone ha
set nsrp cluster id 1
set nsrp rto-mirror sync          /*** 容许会话信息自动同步***/
set nsrp vsd-group id 0 priority 50
set nsrp monitor interface ethernet2
set nsrp monitor interface ethernet1
/*** 配置NSRPVsd-group缺省为0VSI使用物理接口IP地址,优先级为50,非抢占模式***/
 
NS-B Backup :
Set hostname NS-B         /*** 定义主机名***/
Set interface mgt ip 192.168.2.2/24   /*** 通过管理口远程管理NS-A***/
Set interface  red1 zone Untrust       /*** 创建冗余接口***/
Set interface  e1 zone null
Set interface  e1 group red1           /*** 将该物理接口放置到冗余接口中***/
Set interface  e2 zone null
Set interface  e2 group red1
Set interface  red1 ip 10.1.1.4/29
Set interface  red2 zone trust
Set interface  e3 zone null
Set interface  e3 group red2
Set interface  e4 zone null
Set interface  e4 group red2
Set interface  red2 ip 192.168.1.4/29
/*** 配置接口:Untrust/Trust Layer3 路由模式***/
Set interface ethernet7 zone ha
Set interface ethernet8 zone ha
set nsrp cluster id 1
set nsrp rto-mirror sync   /*** 容许会话信息自动同步***/
set nsrp vsd-group id 0 priority 100
set nsrp monitor interface ethernet2
set nsrp monitor interface ethernet1
/***Vsd-group 缺省为0VSI使用物理接口IP地址,备用设备***/

3Layer3 Fullmesh连接A/A组网模式

Layer3 Fullmesh 连接A/A结构提供了一种更为灵活的组网方式,在保证网络高可靠性的同时提升了网络的可用性。A/A结构中两台防火墙同时作为主用设备并提供互为在线备份,各自独立处理信息流量并共享连接会话信息。一旦发生设备故障另一台设备将负责处理所有进出网络流量。 Fullmesh 连接A/A组网模式 对网络环境要求较高,要求网络维护人员具备较强技术能力,防火墙发生故障时,接管设备受单台设备容量限制,可能会导致会话连接信息丢失,采用A/A模式组网时,建议每台防火墙负责处理的会话连接数量不超过单台设备容量的50%,以确保故障切换时不会丢失会话连接。
配置说明:定义VSD0VSD1虚拟安全设备组(创建Cluster ID时将自动创建VSD0),其中NS-AVSD0主用设备和VSD1备用设备,NS-BVSD1主用设备和VSD0备用设备;创建冗余接口实现两物理接口动态冗余;配置交换机路由指向来引导网络流量经过哪个防火墙。
NS-A(Active)
set interface redundant1 zone Untrust
set interface redundant1 ip 100.1.1.4/29   /***VSD0VSI接口使用物理接口IP地址***/
set interface ethernet1 group redundant1
set interface ethernet2 group redundant1
set interface redundant2 zone trust
set interface redundant2 ip 192.168.1.4/29
set interface redundant2 manage-ip 192.168.2.1
set interface ethernet3 group redundant2   
set interface ethernet4 group redundant2
/*** 配置冗余接口、定义Vsd0 接口IP地址***/
s et interface redundant1:1 ip 100.1.1.5/29
set interface redundant2:1 ip 192.168.1.5/29 
/***VSD1VSI接口需手动配置IP地址,冒号后面的1表示该接口属于VSD1VSI***/
set interface ethernet7 zone ha
set interface ethernet8 zone ha
set nsrp cluster id 1
set nsrp vsd-group id 0 priority 50
set nsrp vsd-group id 1       /*** VSD1使用缺省配置,优先级为100***/
set nsrp rto-mirror sync
set nsrp monitor interface redundant1
set nsrp monitor interface redundant2
set nsrp secondary-path ethernet2/1  
/***定义NSRP备用心跳接口,保证心跳连接信息不会丢失***/
set arp always-on-dest
/***强制采用基于ARP表而不是会话表中的MAC地址转发封包***/
set vrouter trust-vr route 0.0.0.0/0 interface redundant1 gateway 100.1.1.1
set vrouter trust-vr route 0.0.0.0/0 interface redundant1:1 gateway 100.1.1.1
 
NS-B(Active)
set interface redundant1 zone Untrust
set interface redundant1 ip 100.1.1.4/29   /***VSD0VSI接口使用物理接口IP地址***/
set interface ethernet1 group redundant1
set interface ethernet2 group redundant1
set interface redundant2 zone trust
set interface redundant2 ip 192.168.1.4/29
set interface redundant2 manage-ip 192.168.2.2
set interface ethernet3 group redundant2   
set interface ethernet4 group redundant2
/*** 配置冗余接口、定义Vsd0 接口IP地址***/
s et interface redundant1:1 ip 100.1.1.5/29
set interface redundant2:1 ip 192.168.1.5/29 
set interface ethernet7 zone ha
set interface ethernet8 zone ha
set nsrp cluster id 1    
/***定义一致的Cluster ID,自动启用采用缺省配置的VSD0***/
set nsrp rto-mirror sync
set nsrp vsd-group id 1 priority 50
set nsrp monitor interface redundant1
set nsrp monitor interface redundant2
set nsrp secondary-path ethernet2/1  
/***定义NSRP备用心跳接口,保证心跳连接信息不会丢失***/
set arp always-on-dest
/***强制采用基于ARP表而不是会话中的MAC地址转发封包***/
set vrouter trust-vr route 0.0.0.0/0 interface redundant1 gateway 100.1.1.1
set vrouter trust-vr route 0.0.0.0/0 interface redundant1:1 gateway 100.1.1.1
 
 
 

三、NSRP常用维护命令

1 get license-key
查看防火墙支持的feature,其中NSRPA/A模式包含了A/P模式,A/P模式不支持A/A模式。Lite版本是简化版,支持设备和链路冗余切换,不支持配置和会话同步。
2 exec nsrp sync global-config check-sum
检查双机配置命令是否同步
3 exec nsrp sync global-config save 
如双机配置信息没有自动同步,请手动执行此同步命令,需重启系统。
4 get nsrp
查看NSRP集群中设备状态、主备关系、会话同步以及参数开关信息。
5 Exec nsrp sync rto  all from peer
手动执行RTO信息同步,使双机保持会话信息一致
6 exec nsrp vsd-group 0 mode backup
手动进行主备状态切换时,在主用设备上执行该切换命令,此时该主用设备没有启用抢占模式。
7 exec nsrp vsd-group 0 mode ineligible
手动进行主备状态切换时,在主用设备上执行该切换命令,此时该主用设备已启用抢占模式。
8 get alarm event
检查设备告警信息,其中将包含NSRP状态切换信息
 
 

四、Netscreen NSRP维护案例

案例1: Netscreen双机升级步骤

1 .使用 Tftp 备份两台防火墙现有配置文件和 OS 系统文件。
2 .升级步骤为先升级备用设备后升级主用设备,如果是 Active/Active 模式请切换为 Active/Passive 模式后再升级备用设备。用笔记本电脑连接 NS-B Console 口和 MGT 口,通过 Web 界面上对 NS-B 进行升级,并在 Console 口上观察升级过程。
3 NS-B 升级后将自动重启,通过 Console 口观察重启过程。启动后在 console 上输入 get system 命令,验证升级后的版本号。输入 get license ,验证 license 信息是否符合升级要求。输入 get nsrp ,验证此设备处于备机状态。
4 Session 信息应该自动从主机上同步到备机。为进一步确保 Session 信息同步,在 NS-B 上执行 exec nsrp syn rto all from peer ,手工同步 Session 信息。
5 .主备双机进行状态切换。用笔记本接 NS-A Console 口,输入 exec nsrp vsd-group 0 mode backup 命令,将状态切换。使用 get nsrp 命令,验证设备状态已切换完成,此时 NS-A 为备机, NS-B 为主机。
6 .在 Web 界面上对 NS-A 进行升级,在 Console 口上观察升级过程。
7 NS-A 升级后会自动重起,在 Console 口上观察重起过程。启动后在 console 上输入 get system 命令,验证升级后的版本号。输入 get license ,验证 license 信息是否满足升级需求。输入 get nsrp 验证此台设备为备机状态。
8 .恢复原先的主备状态:在 NS-B 上执行 exec nsrp vsd-group 0 mode backup 命令,将状态切换。验证设备状态已切换完成,此时 NS-A 为主机, NS-B 为备机。
9 .在设备 NS-A 上执行 exec nsrp syn vsd-group 0 global-config checksum ,验证两台设备的配置同步。如双机配置文件没有同步,请执行 exec nsrp syn vsd-group 0 global-config save  手动进行配置同步。
10 .观察两台防火墙的日志,验证是否存在异常告警信息。
 

案例2:快速配置NSRP集群备用设备

Netscreen提供快速配置NSRP集群中备用设备的方法,适用于创建NSRP集群双机配置和备用设备出现故障时用备件进行替换。
1、清空备机配置命令
Unset all
"Erase all system config, are you sure y / [n]?" Y
Reset
"Configuration modified, save? [y] / n" N
"System reset, are you sure? y / [n]" Y
2 、系统重新启动后配置命令
Set hostname xxxxxx
Set interface mgt ip x.x.x.x/x
Set nsrp cluster id 1
Exec nsrp sync file
Exec nsrp sync global-config run
/*** 适应于 5.1 以上版本, 5.0 中使用 Exec nsrp sync global-config save 命令,需要重启设备 ***/
Set nsrp rto-mirror sync
Save all
3、检查设备状态
Nsrpget nsrp
接口:Get interface
路由:get route
会话:get session
 
 

附录一 NSRP 缺省设置值

VSD 组信息
l   VSD group ID:                          0
l   Device priority in the VSD group:      100
l   Preempt option:                        disable
l   Preempt hold-down time:                0 second
l   Initial state hold-down time:          5 second
l   Heartbeat interval:                    1000 milliseconds         
l   Lost heartbeat threshold:              3
l   Master (Primary) always exist:         no
RTO 镜像信息
l   RTO synchronization:                   disable
l   Heartbeat interval:                    4 second
l   Lost heartbeat threshold:              16
NSRP 链接信息
l   Number of gratuitous ARPs:                4
l   NSRP encryption:                        disable
l   NSRP authentication:                     disable
l   Track IP:                               none
l   Interfaces monitored:                      none
l   Secondary path:                          none
l   HA link probe:                           none
l   Interval:                                15
l   Threshold:                              5



     本文转自小侠唐在飞 51CTO博客,原文链接: http://blog.51cto.com/xiaoxia/61451 ,如需转载请自行联系原作者


相关文章
|
25天前
|
弹性计算 监控 开发工具
【阿里云弹性计算】阿里云ECS的网络优化实践:VPC配置与网络性能提升
【5月更文挑战第29天】阿里云ECS通过虚拟私有云(VPC)提供高性能、安全的网络环境。VPC允许用户自定义IP地址、路由规则和安全组。配置包括:创建VPC和交换机,设定安全组,然后创建ECS实例并绑定。优化网络性能涉及规划网络拓扑、优化路由、启用网络加速功能(如ENI和EIP)及监控网络性能。示例代码展示了使用Python SDK创建VPC和交换机的过程。
273 3
|
1月前
|
SQL Oracle Java
实时计算 Flink版产品使用合集之网络包大小与配置不符该如何处理
实时计算Flink版作为一种强大的流处理和批处理统一的计算框架,广泛应用于各种需要实时数据处理和分析的场景。实时计算Flink版通常结合SQL接口、DataStreamAPI、以及与上下游数据源和存储系统的丰富连接器,提供了一套全面的解决方案,以应对各种实时计算需求。其低延迟、高吞吐、容错性强的特点,使其成为众多企业和组织实时数据处理首选的技术平台。以下是实时计算Flink版的一些典型使用合集。
|
1月前
|
存储 安全 网络安全
网络设备的部署(串行与并行)
网络设备的部署(串行与并行)
29 4
|
5天前
|
机器学习/深度学习 人工智能 安全
人工智能在网络安全中的入侵检测与防御
人工智能在网络安全中的入侵检测与防御
|
6天前
|
监控 网络协议 安全
Verilog代码在上网行为管理软件中的网络设备控制与协议分析
**Verilog摘要:** Verilog是硬件描述语言,用于数字电路设计和网络设备控制。它在上网行为管理软件中用于控制路由器、交换机等,例如通过简单模块控制端口状态。此外,Verilog还支持协议分析,如解析以太网帧提取MAC地址。监控数据可结合Verilog实现自动化提交,例如通过HTTP发送请求到服务器,实现实时监控和响应。这些示例展示了Verilog在网络安全和性能优化中的应用潜力。
39 1
YOLOv8打印模型结构配置信息并查看网络模型详细参数:参数量、计算量(GFLOPS)
YOLOv8打印模型结构配置信息并查看网络模型详细参数:参数量、计算量(GFLOPS)
|
19天前
|
存储
【基础计算机网络2】物理层——物理层设备
【基础计算机网络2】物理层——物理层设备
|
9天前
|
监控 网络协议 安全
认识网络设备
认识网络设备
|
1月前
|
网络虚拟化 数据安全/隐私保护 网络架构
无线网络管理设备
无线网络管理设备
31 3
|
23天前
|
安全 网络安全 Python
【计算巢】防火墙技术:保护网络不受入侵的第一道防线
【5月更文挑战第31天】防火墙是网络安全的核心,防止未经授权的访问和攻击。它通过数据包过滤、状态检测和应用层网关等方式工作,阻止黑客入侵和病毒传播,限制内部网络对外部的不安全访问。然而,防火墙可能面临新型攻击的挑战,并不能完全防御内部威胁。Python 示例展示了数据包过滤规则的实现。有效的防火墙配置和管理至关重要,需随网络环境和安全需求变化而更新。防火墙需与其他安全技术结合,构建全面的网络安全体系。