华为防火墙双机热备HRP配置

li工

已于 2023-03-05 14:44:16 修改

阅读量7.1k

点赞数 4

分类专栏：华为学习日记文章标签：服务器网络负载均衡

于 2022-10-18 12:13:25 首次发布

本文链接：https://blog.youkuaiyun.com/Ddfgxfgg/article/details/127385851

版权

华为学习日记专栏收录该内容

30 篇文章

订阅专栏

本文档详细介绍了如何配置两台防火墙FW1和FW2的VRRP（虚拟路由冗余协议）和HRP（高速冗余协议），以实现主备切换和流量负载均衡。配置包括接口IP地址、VRRP虚拟地址、防火墙区域、心跳线设置以及安全策略，确保在FW1和FW2之间实现高可用性和故障切换。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

FW1
#
interface GigabitEthernet1/0/0    
 undo shutdown
 ip address 192.168.1.10 255.255.255.0
 vrrp vrid 2 virtual-ip 192.168.1.254 active          //配置FW1处于untrust的接口的vrrp 虚拟地址为192.168.1.254 并且加入VGMP的主动组active内
#
interface GigabitEthernet1/0/1
 undo shutdown
 ip address 10.1.1.10 255.255.255.0
 vrrp vrid 1 virtual-ip 10.1.1.254 active		配置FW1处于trust的就接口的vrrp 虚拟地址为10.1.1.254 并且加入VGMP的主动组active内
#
interface GigabitEthernet1/0/5
 undo shutdown
 ip address 172.16.1.1 255.255.255.0		//心跳线地址，不参与业务流量的转发，只进行状态同步和配置同步
#
#
firewall zone trust             
 set priority 85
 add interface GigabitEthernet1/0/1
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet1/0/0
#
firewall zone dmz				//将心跳口加入dmz区域
 set priority 50
 add interface GigabitEthernet1/0/5
#
 hrp interface GigabitEthernet1/0/5 remote 172.16.1.2    //设置心跳线端口和对端地址 在FW1上写对端接口地址，FW2反之
#
 hrp enable                             //启动hrp

#
//使用dis hrp state 查询状态是否建立成功。
命令第一行会显示对端和自己端处于的优先级
#
同步成功以后，配置安全策略会显示（+B）并且不能在备设备上进行配置。默认为负载均衡状态
#
hrp standby-device 在备设备上使用该命令调整为双机热备主备备份状态，备不参与流量转发
#
security-policy			//配置安全策略让pc1可以使用icmp协议ping通pc2
 rule name 1-2
  source-zone trust
  destination-zone untrust
  source-address 10.1.1.1 mask 255.255.255.255
  destination-address 192.168.1.1 mask 255.255.255.255
  service icmp
  action permit
#

FW2

FW1
#
interface GigabitEthernet1/0/0    
 undo shutdown
 ip address 192.168.1.20 255.255.255.0
 vrrp vrid 2 virtual-ip 192.168.1.254 standby          //配置FW1处于untrust的接口的vrrp 虚拟地址为192.168.1.254 并且加入VGMP的主动组standby内
#
interface GigabitEthernet1/0/1
 undo shutdown
 ip address 10.1.1.20 255.255.255.0
 vrrp vrid 1 virtual-ip 10.1.1.254 standby		配置FW1处于trust的就接口的vrrp 虚拟地址为10.1.1.254 并且加入VGMP的主动组standby内
#
interface GigabitEthernet1/0/5
 undo shutdown
 ip address 172.16.1.2 255.255.255.0		//心跳线地址，不参与业务流量的转发，只进行状态同步和配置同步
#
#
firewall zone trust             
 set priority 85
 add interface GigabitEthernet1/0/1
#
firewall zone untrust
 set priority 5
 add interface GigabitEthernet1/0/0
#
firewall zone dmz				//将心跳口加入dmz区域
 set priority 50
 add interface GigabitEthernet1/0/5
#
 hrp interface GigabitEthernet1/0/5 remote 172.16.1.1    //设置心跳线端口和对端地址 在FW1上写对端接口地址，FW2反之
#
 hrp enable                             //启动hrp

#
//使用dis hrp state 查询状态是否建立成功。
命令第一行会显示对端和自己端处于的优先级
#
同步成功以后，配置安全策略会显示（+B）并且不能在备设备上进行配置。默认为负载均衡状态
#
hrp standby-device 在备设备上使用该命令调整为双机热备主备备份状态，备不参与流量转发
#
security-policy			//配置安全策略让pc1可以使用icmp协议ping通pc2
 rule name 1-2
  source-zone trust
  destination-zone untrust
  source-address 10.1.1.1 mask 255.255.255.255
  destination-address 192.168.1.1 mask 255.255.255.255
  service icmp
  action permit
#