Juniperssg-140防火墻冗余配置步驟

1、Juniper ssg 140防火墻HA配置步驟一、設(shè)置步驟1、 將兩臺(tái)防火墻的第六個(gè)端口連接在一起，我們?cè)O(shè)置將原有防火墻設(shè)置為主防火墻，新增加的防火墻為備份的防火墻，備份的防火墻只連接第六個(gè)端口，其他的端口將在防火墻配置完畢后才連接上。2、 使用終端線纜連接到防火墻的Console口，超級(jí)終端參數(shù)設(shè)置為9600-8-無(wú)-1-無(wú)。二、命令行配置方式藍(lán)色字體為在超級(jí)終端上輸入的命令1、主防火墻配置ns204>unset interface e6 ip 將端口6的IP地址刪除， ns204>set interface e6 zone ha 將端口6和HA區(qū)域綁定一起配置NSRPns20

2、4-> ns204-> get nsrp 查看NSRP配置信息 nsrp version: 2.0cluster info:cluster id not set: nsrp is inactive 默認(rèn)的情況下NSRP沒有激活VSD group info:init hold time: 5heartbeat lost threshold: 3heartbeat interval: 1000(ms)group priority preempt holddown inelig master PB other memberstotal number of vsd groups: 0Tot

3、al iteration=3808,time=2721060,max=880,min=286,average=714RTO mirror info:run time object sync:disabledping session sync: enabledcoldstart sync donensrp link info:no nsrp link has been defined yetNSRP encryption: disabled- more - NSRP authentication: disabled NSRP monitor interface: nonenumber of gr

4、atuitous arps: 4 (default)track ip: disabledns204-> set nsrp cluster id 1 設(shè)置cluster組號(hào) ns204(M)-> set nsrp vsd id 0 設(shè)置VSD的組號(hào),這條命令可以不用輸入，因?yàn)榉阑饓Φ哪J(rèn)的虛擬安全數(shù)據(jù)庫(kù)（VSD）的值是0。ns204(M)-> set nsrp vsd-group id 0 priority 50 設(shè)置NSRP主設(shè)備的優(yōu)先權(quán)值，priority值越小，優(yōu)先權(quán)越高。ns204(M)-> set nsrp rto syn 設(shè)置配置同步ns204(M)->

5、 set nsrp monitor interface ethernet0 設(shè)置防火墻監(jiān)控的端口，假設(shè)端口0出現(xiàn)故障或所連接的交換機(jī)出現(xiàn)故障，防火墻的工作狀態(tài)將切換到備份防火墻上。ns204(M)-> set nsrp monitor interface ethernet1 設(shè)置防火墻監(jiān)控的端口，假設(shè)端口1出現(xiàn)故障或所連接的交換機(jī)出現(xiàn)故障，防火墻的工作狀態(tài)將切換到備份防火墻上。ns204(M)-> set nsrp monitor interface ethernet2 設(shè)置防火墻監(jiān)控的端口，假設(shè)端口2出現(xiàn)故障或所連接的交換機(jī)出現(xiàn)故障，防火墻的工作狀態(tài)將切換到備份防火墻上。設(shè)置好以

6、后，查看nsrp狀態(tài)：ns204(M)-> get nsrpnsrp version: 2.0cluster info:cluster id: 1, no namelocal unit id: 5609296active units discovered: index: 0, unit id: 5609296, total number of units: 1VSD group info:init hold time: 5heartbeat lost threshold: 3heartbeat interval: 1000(ms)group priority preempt holddo

7、wn inelig master PB other members 0 50 no 3 no myself none （備份防火墻還沒有配置，因此主設(shè)備上沒有監(jiān)測(cè)到Backup防火墻的狀態(tài)）total number of vsd groups: 2Total iteration=4682,time=4184162,max=18848,min=286,average=893TO mirror info:run time object sync:disabledping session sync: enablednsrp link info:no nsrp link has been define

8、d yetNSRP encryption: disabledNSRP authentication: disabled NSRP monitor interface: ethernet0 ethernet1 ethernet2number of gratuitous arps: 6 (default)track ip: disabled設(shè)置NSRP心跳信息ns204(M)-> set nsrp vsd-group hb-interval 200 設(shè)置心跳信息每隔200秒將發(fā)出問候信息 ns204(M)-> set nsrp vsd-group hb-threshold 3 設(shè)置心跳

9、信息總共發(fā)出3次問候信息ns204(M)-> save2、備份防火墻的配置：（新增加的防火墻）ns204>unset all 將新增防火墻的原有配置清除，恢復(fù)出廠狀態(tài) Erase all system config, are you sure y/n ? yns204> reset Configuration modified, save? y/n nSystem reset, are you sure? y/n yIn reset . 配置備份防火墻NSRPns204>set interface e6 zone ha 將端口4和HA區(qū)域綁定一起ns204-> s

10、et nsrp cluster id 1 設(shè)置cluster組號(hào) ns204(B)-> set nsrp vsd id 0 設(shè)置VSD的組號(hào),這條命令可以不用輸入，因?yàn)镹etscreen防火墻的默認(rèn)的虛擬安全數(shù)據(jù)庫(kù)（VSD）的值是0。ns204(B)-> set nsrp vsd-group id 0 priority 100 設(shè)置主設(shè)備的優(yōu)先權(quán)值，priority值越小，優(yōu)先權(quán)越高。ns204(B)-> set nsrp rto syn 設(shè)置配置同步ns204(B)-> set nsrp monitor interface ethernet0 設(shè)置防火墻監(jiān)控的端口，假

11、設(shè)端口0出現(xiàn)故障或所連接的交換機(jī)出現(xiàn)故障，防火墻的工作狀態(tài)將切換到備份防火墻上。ns204(B)-> set nsrp monitor interface ethernet1 設(shè)置防火墻監(jiān)控的端口，假設(shè)端口1出現(xiàn)故障或所連接的交換機(jī)出現(xiàn)故障，防火墻的工作狀態(tài)將切換到備份防火墻上。ns204(B)-> set nsrp monitor interface ethernet2 設(shè)置防火墻監(jiān)控的端口，假設(shè)端口2出現(xiàn)故障或所連接的交換機(jī)出現(xiàn)故障，防火墻的工作狀態(tài)將切換到備份防火墻上。ns204(B)-> get nsrpnsrp version: 2.0cluster info:cl

12、uster id: 1, no namelocal unit id: 5609745active units discovered: index: 0, unit id: 5609745, total number of units: 1VSD group info:init hold time: 5heartbeat lost threshold: 3heartbeat interval: 1000(ms)group priority preempt holddown inelig master PB other members 0 50 no 3 no 5609296(主設(shè)備) mysel

13、f total number of vsd groups: 2Total iteration=4682,time=4184162,max=18848,min=286,average=893RTO mirror info:run time object sync:disabledping session sync: enablednsrp link info:no nsrp link has been defined yetNSRP encryption: disabledNSRP authentication: disabled NSRP monitor interface: ethernet

14、0 ethernet1 ethernet2 number of gratuitous arps: 6 (default)track ip: disabled設(shè)置NSRP心跳信息ns204(B)-> set nsrp vsd-group hb-interval 200 設(shè)置心跳信息每隔200秒將發(fā)出問候信息 ns204(B)-> set nsrp vsd-group hb-threshold 3 設(shè)置心跳信息總共發(fā)出3次問候信息ns204(B)-> save3、同步配置(備份防火墻上面配置)該步驟將主防火墻的配置和備份防火墻的配置進(jìn)行同步，（設(shè)置前請(qǐng)先將主防火墻的配置備份一次）

15、。ns204(B)-> exec nsrp sync rto all from peer （將從主設(shè)備上向備份主機(jī)同步會(huì)話狀態(tài)信息）ns204(B)-> exec nsrp sync file from peer （將從主設(shè)備上向備份主機(jī)同步配置信息）ns204(B)-> exec nsrp sync global-config check-sum （將兩臺(tái)設(shè)備的配置進(jìn)行校檢，如有不同，備份的設(shè)備將會(huì)在重啟后把主設(shè)備上的配置導(dǎo)入備份主機(jī)中）ns204(B)-> exec nsrp sync global-config save （如有不同，備份的設(shè)備將會(huì)在重啟后把主設(shè)備

16、上的配置導(dǎo)入備份主機(jī)中）重啟備份防火墻，在重啟的過(guò)程中，備份的防火墻將會(huì)從主設(shè)備上同步配置ns204(B)-> reset Juniper防火墻的冗余配置結(jié)束。三、圖形界面下的配置步驟1、 登錄防火墻的圖形管理界面選擇network>Interface> Ethernet6 > edit將Ethernet6端口的Zone name 選擇HA，2、NSRP設(shè)置選擇Network > NSRP >Cluster在Cluster ID中輸入1 選擇Network > NSRP >VSD GroupPriority設(shè)置設(shè)備的優(yōu)先權(quán)值，priority值越

17、小，優(yōu)先權(quán)越高。（主防火墻要低于備份防火墻）。設(shè)置監(jiān)控接口，選擇Network > NSRP >Monitor>interface設(shè)置同步信息，選擇Network > NSRP >Synchronization注：以上圖形界面配置除主備防火墻的優(yōu)先權(quán)值外，配置一樣。3、同步配置（圖形界面無(wú)法配置，使用超級(jí)終端配置）該步驟將主防火墻的配置和備份防火墻的配置進(jìn)行同步，（設(shè)置前請(qǐng)先將主防火墻的配置備份一次）。ns204(B)-> exec nsrp sync rto all from peer （將從主設(shè)備上向備份主機(jī)同步會(huì)話狀態(tài)信息）ns204(B)->

18、exec nsrp sync file from peer （將從主設(shè)備上向備份主機(jī)同步配置信息）ns204(B)-> exec nsrp sync global-config check-sum （將兩臺(tái)設(shè)備的配置進(jìn)行校檢，如有不同，備份的設(shè)備將會(huì)在重啟后把主設(shè)備上的配置導(dǎo)入備份主機(jī)中）ns204(B)-> exec nsrp sync global-config save （如有不同，備份的設(shè)備將會(huì)在重啟后把主設(shè)備上的配置導(dǎo)入備份主機(jī)中）重啟備份防火墻，在重啟的過(guò)程中，備份的防火墻將會(huì)從主設(shè)備上同步配置ns204(B)-> reset Juniper防火墻的冗余配置結(jié)束。五、配置中出現(xiàn)的問題1、 在主防火墻配置時(shí)，備份防火墻沒有同步信息解析：用超級(jí)終端Console口登錄到備份防火墻，使用get nsrp命令查看同步配置。如果沒有同步配置增加相關(guān)配置。設(shè)備同步信息系統(tǒng)默認(rèn)是200s，就是在主防火墻配置后，不會(huì)立即同步到備份防火墻上面，200s后可以查看備份防火墻信息。2、