防火墙双机热备带宽管理综合实验

原创 已于 2024-07-20 11:16:34 修改 · 627 阅读 · 5 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#安全

于 2024-07-20 11:16:23 首次发布

实验拓扑：

实验要求：

12，对现有网络进行改造升级，将当个防火墙组网改成双机热备的组网形式，做负载分担模式，游客区和DMZ区走FW3，生产区和办公区的流量走FW1
13，办公区上网用户限制流量不超过100M，其中销售部人员在其基础上限制流量不超过60M，且销售部一共10人，每人限制流量不超过6M
14，销售部保证email应用在办公时间至少可以使用10M的带宽，每个人至少1M
15，移动链路采用的是100M的带宽，要求游客区用户仅能占用50M，并且基于在线地址进行动态均分
16，外网访问内网服务器，下行流量不超过40M，DMZ中的每台服务器限制对外提供的最大下行带宽不超过20M。

实验思路：

对于新加的设备FW3进行相关的网络配置；

防火墙双机热备技术的负载分担模式的相关配置；

流量的带宽管理配置。

实验步骤：

1.将FW1和FW3之间的两条线做链路聚合

FW1：

HRP_S[USG6000V1]int Eth-Trunk  1
HRP_S[USG6000V1]int g1/0/5
HRP_S[USG6000V1-GigabitEthernet1/0/5]eth-trunk 1
HRP_S[USG6000V1]int g1/0/6
HRP_S[USG6000V1-GigabitEthernet1/0/6]eth-trunk 1
HRP_S[USG6000V1-Eth-Trunk1]ip add 13.0.0.2 24

FW3：

HRP_M[USG6000V1]int Eth-Trunk  1
HRP_M[USG6000V1]int g1/0/6
HRP_M[USG6000V1-GigabitEthernet1/0/6]eth-trunk 1
HRP_M[USG6000V1]int g1/0/5
HRP_M[USG6000V1-GigabitEthernet1/0/5]eth-trunk 1
HRP_M[USG6000V1-Eth-Trunk1]ip add 13.0.0.1 24

LSW5的0/0/4口改为trunk模式

[Huawei] int g0/0/4
[Huawei-GigabitEthernet0/0/4] port link-type trunk
[Huawei-GigabitEthernet0/0/4] port trunk allow-pass vlan 2 to 3

2.FW3的安全区域

将FW3的接口ip配置好

3.防火墙组网改成双机热备

FW1的配置

FW3的配置

双机热备启动好等一分钟，记住同步配置

路由策略不能用出接口，都用地址池配置

最终结果
FW1

FW3

4.办公区的带宽管理

要求

条件13和14其实是作用在一个区域的。

办公区上网用户限制流量不超过100M，其中销售部人员在其基础上限制流量不超过60M，且销售部一共10人，每人限制流量不超过6M。

销售部保证email应用在办公时间至少可以使用10M的带宽，每个人至少1M

带宽通道
        BG区上网总流量

        

        BG区销售部

        BG区销售部对email类应用

带宽策略
        BG区上网总流量

        BG区销售部

        BG区销售部对email类应用

5.移动区的带宽管理
要求：

移动链路采用的是100M的带宽，要求游客区用户仅能占用50M，并且基于在线地址进行动态均分。

移动采用100M的带宽：

带宽通道
游客区用户上网的带宽通道

带宽策略
游客区在公网上网的带宽策略

6.外网访问内网服务器的带宽管理

要求

外网访问内网服务器，下行流量不超过40M，DMZ中的每台服务器限制对外提供的最大下行带宽不超过20M。

带宽通道

外网访问内网服务器

带宽策略
外网访问内网服务器

拓扑袈裟
关注
ensp防火墙综合实验（三）
adc8848nb的博客
07-15 560
对现有网络进行改造升级，将当个防火墙组网改成双机热备的组网形式，做负载分担模式，游客区和DMZ区走FW3，生产区和办公区的流量走FW1。13，办公区上网用户限制流量不超过100M，其中销售部人员在其基础上限制流量不超过60M，且销售部一共10人，每人限制流量不超过6M。办公区上网用户限制流量不超过100M，其中销售部人员在其基础上限制流量不超过60M，且销售部一共10人，每人限制流量不超过6M。16，外网访问内网服务器，下行流量不超过40M，DMZ中的每台服务器限制对外提供的最大下行带宽不超过20M。
ensp防火墙实验
CvtNhso的博客
07-11 2798
目的地址可以直接填写DMZ区的IP地址，也可以新建地址都行，用户这里先不写，后面在进行修改，服务这里因为是服务器区，所以我们要勾选我们需要的服务，不需要的我们就不勾选，默认这边就访问了其他的服务，时间段这里新建时间段，选我们工作期间的时间，动作选允许，之后选确定。5，生产区访问DMZ区时，需要进行protal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码openlab123，首次。账号国企时间在创建用户时设置，在用户属性选项中，要求设置为10天，不允许多人使用，
ensp防火墙综合实验作业+实验报告
m0_73996670的博客
07-12 1008
实验目的要求及拓扑图：我的拓扑：更改防火墙和交换机： 防火墙配置子接口：防火墙策略建立：nat策略可以上网的关键：用户和组的创建最终
防火墙第二次实验
m0_74818048的博客
07-14 313
9，多出口环境基于带宽比例进行选路，但是，办公区中10.0.2.10该设备只能通过电信的链路访问互联网。10，分公司内部的客户端可以通过域名访问到内部的服务器，公网设备也可以通过域名访问到分公司内部服务器；7，办公区设备可以通过电信链路和移动链路上网(多对多的NAT，并且需要保留一个公网IP不能用来转换)8，分公司设备可以通过总公司的移动链路和电信链路访问到Dmz区的http服务器。11，游客区仅能通过移动链路访问互联网。办公区设备通过电信链路或移动链路上网。在FW1上配置全局选路策略。
ENSP实验：OSPF综合3
qq_28563707的博客
08-06 711
"ENSP"是华为企业级网络设备模拟器（Enterprise Network Simulation Platform）的缩写。它是华为公司提供的一款网络仿真软件，旨在帮助网络管理员和工程师在虚拟环境中规划、配置和测试企业级网络设备和拓扑。
华为ensp实现防火墙双机热备-防火墙双机热备带宽管理综合
m0_63884865的博客
08-07 1596
在FW1上之前我们设置的是公网地址。一组是12.0.0.1，一组是21.0.0.1放在FW1身上；建立安全区域HRP，将汇聚接口放入HRP，FW1地址11.0.0.1；加入FW3防火墙，启动管理，想做负载启用vrrp，要改变下面设备网关地址，引起网络波动。同样其他区域的nat策略也是一样需要改(生产区不可以访问互联网，所以生产区没有策略）建立相应安全区域（最好顺序一样，但是在这里我建立的顺序不一样了，看看是否会报错）配置同步成功，FW3上具有FW1一样的路由策略。所用的接口是同一个，但是虚拟网关是不同的。
《eNSP - 防火墙双机热备 实验》
君逍遥o
10-31 2077
eNSP；防火墙；双机热备
防火墙（ensp USG6000v）---安全策略 + 用户认证综合实验
m0_73994306的博客
07-11 1697
搞定！
华为eNSP-防火墙实验
热门推荐
weixin_45745641的博客
12-14 1万+
1规划并配置IP地址 2将网络分别加入对应的区域 3实现pc1访问pc2，pc2访问服务器，其他不能互访
防火墙期末设计大作业(ensp)
08-09
企业网可通过IPsec VPN在公网上为三个甚至三个异地私有网络提供安全通信通道,通过加密通道保证连接的安全性，此时内部的服务器仅对认可的用户开放服务，大大的提高了网络的扩展性、便捷性与安全性。 北京总部部署web服务器向外界提供web服务，使得外网用户也能访问内网中的服务器资源。 使用点到点的IPSec VPN，实现总部和各分部，分部和分部安全数据传输。
华为模拟器eNSP练习题-HCIA综合实验
01-04
实验需要的网络拓扑，配置命令，topo
2018软考网络工程师-华为基础实验手册（修订版）
09-06
软考网络工程师应用技术已经由思科改成华为，了解华为命令不可或缺。
2018华为网络技术大赛上级试题A卷 ensp
05-14
2018华为网络技术大赛上级试题A卷，我进决赛了，还得了个手机，要经验的可以找我
2018年华为网络技术大赛复赛上机试题B卷及其eNSP答案
04-25
2018年华为网络技术大赛复赛上机试题B卷及其eNSP答案，已经测试过，能完成所有要求
ENSP防火墙综合实验（GRE、IPSec、NAT通信）【防火墙安全策略】
JohnnyG2000的博客
05-18 1万+
防火墙综合实验一、实验要求1. 总部需要通过VPN与分支和合作伙伴进行通信2. 分支机构（Branch）员工使用NGFW接入总部。要求实现分支机构安全访问IPSec保护的总部内网服务器。3. 合作伙伴（Partner）使用NGFW接入总部。要求实训合作伙伴通过GRE隧道与总部进行通信。4. 所有的客户端可以通过公网IP地址来访问WEB服务器二、实验拓补三、实验配置1. 防火墙安全区域划分（包括Tunnel接口）2. 静态路由3. GRE配置4. IPSec VPN配置5. Easy-ip配置6. NAT S
ENSP防火墙综合实验（一）
adc8848nb的博客
07-10 587
5.生产部门访问DMZ区时，需要进行protal认证，设立生产区用户组织架构，至少包含三个部门，每个部门三个用户，用户统一密码open1ab123，首次登录需要修改密码，用户过期时间设定为10天，用户不允许多人使用。4.办公区分为市场部和研发部，研发部IP地址固定，访问DMZ区使用匿名认证，市场部需要用户绑定IP地址，访问DMZ区使用免认证，游客区人员不固定，统一使用Guest用户登录，密码Admin@123，游客区人员不固定，统一使用Guest用户登录，密码Admin@123，生产区不允许访问互联网，
防火墙的双机热备+带宽管理
m0_67441173的博客
07-16 807
12，对现有网络进行改造升级，将当个防火墙组网改成双机热备的组网形式，做负载分担模式，游客区和DMZ区走FW3，生产区和办公区的流量走FW1。13，办公区上网用户限制流量不超过100M，其中销售部人员在其基础上限制流量不超过60M，且销售部一共10人，每人限制流量不超过6M。16，外网访问内网服务器，下行流量不超过40M，DMZ中的每台服务器限制对外提供的最大下行带宽不超过20M。15，移动链路采用的是100M的带宽，要求游客区用户仅能占用50M，并且基于在线地址进行动态均分。
eNSP：防火墙设置模拟公司配置（二）
qq_73704466的博客
07-12 1340
找到NAT 勾选NAT，选择办公到电信，填写公网电信的IP范围，并且配置上路由黑洞。办公设备可以通过电信连接和移动上网（多对多NAT，并且需要保留一个公网IP）这里选电信和移动，不用快速建立安全策略，因为我们之前已经建立了。分公司通过公网移动电信，访问DMZ的http服务器。点击下方高级，配置转换的个数范围和保留的IP地址。接下来给ISP设备配置静态路由，方便公司间的通讯。成功，现在我们来配置分公司的NAT和安全策略。并点击下方的安全策略，配置上安全策略(电信。除此之外，还要配置上我们的NAT,
防火墙双机热备实验
最新发布
03-08
<think>嗯，用户想了解防火墙双机热备的实验配置和工作原理。首先，我需要回忆一下双机热备的基本概念。根据引用[1]，传统单防火墙存在单点故障风险，双机热备通过部署两台设备提高可靠性。那它的核心原理应该包括冗余和故障切换。 接下来，用户可能想知道具体的工作原理。我记得VRRP协议是关键，如引用[2]提到的，VRRP提供虚拟路由器功能，主备设备通过优先级选举。主设备故障时，备设备接管。另外，双机热备可能有主备和负载分担两种模式，引用[3]提到负载分担模式，不同流量走不同防火墙。需要区分这两种模式的区别和配置方法。 然后是实验配置步骤。用户可能需要具体的操作指南。根据引用中的信息，配置步骤可能包括网络拓扑搭建、接口配置、VRRP设置、心跳线连接、状态检测和策略同步。要详细说明每一步的作用，比如心跳线用于状态检测，确保主备通信。 另外，用户可能关心协议架构，如VGMP和HRP，如引用[2]中的华为方案。VGMP统一管理VRRP组，HRP负责会话同步。这部分需要解释清楚各个协议的作用和相互关系。 还要注意配置中的关键点，比如心跳线参数、VRRP优先级、抢占模式等。可能用户在实际操作中会遇到问题，比如主备切换不成功，需要检查这些参数是否正确。 最后，生成相关问题时要覆盖原理、配置步骤、协议和优化等方面，帮助用户深入理解。比如询问主备切换条件或配置心跳线的注意事项，这些都是实验中常见的问题。</think>### 防火墙双机热备工作原理及实验配置 #### 一、双机热备技术原理 1. **核心目标** 通过部署两台防火墙形成冗余架构，避免单点故障导致网络中断。主备设备通过心跳线（Heartbeat）实时同步状态，当主设备故障时，备设备立即接管业务[^1][^2]。 2. **关键协议与机制** - **VRRP（虚拟路由冗余协议）** 提供虚拟路由器功能，主备设备通过优先级选举（如优先级100为主设备，90为备设备），对外呈现统一的虚拟IP地址。 - **VGMP（华为专有协议）** 统一管理VRRP组状态，确保防火墙接口、路由等整体切换[^2]。 - **HRP（华为冗余协议）** 负责会话表、策略等配置的实时同步，保障切换时业务连续性。 3. **工作模式** - **主备模式** 主设备处理流量，备设备仅同步状态；主故障时备接管。 - **负载分担模式** 两台设备同时处理不同业务流量（如游客区走FW3，办公区走FW1）[^3]。 #### 二、实验配置步骤（以华为防火墙为例） ```python # 示例拓扑：FW1（主）与FW3（备）部署在出口，心跳线连接 # 配置主设备FW1 sys hrp enable hrp interface GigabitEthernet1/0/1 # 指定心跳接口 hrp priority 120 # 设置优先级（默认100） hrp standby-device # 标识备设备 firewall zone trust add interface GigabitEthernet1/0/2 # 内网接口 firewall zone untrust add interface GigabitEthernet1/0/3 # 外网接口 ``` ```python # 配置虚拟IP及VRRP组 interface Vlanif10 ip address 192.168.1.1 255.255.255.0 vrrp vrid 1 virtual-ip 192.168.1.254 # 虚拟网关 vrrp vrid 1 priority 120 vrrp vrid 1 preempt-mode timer delay 20 # 抢占延迟 ``` #### 三、关键配置要点 1. **心跳线要求** 直连物理链路，带宽≥100M，延迟≤10ms。 2. **状态检测机制** 需同时配置链路层检测（如接口UP/DOWN）与应用层检测（如ICMP探针）。 3. **会话同步** 通过HRP协议同步NAT表、安全策略状态等，确保切换时现有连接不中断。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值