Juniper ssg-140防火墙冗余配置步骤.docx

Juniper ssg 140防火墙HA配置步骤一、设置步骤1、 将两台防火墙的第六个端口连接在一起，我们设置将原有防火墙设置为主防火墙，新增加的防火墙为备份的防火墙，备份的防火墙只连接第六个端口，其他的端口将在防火墙配置完毕后才连接上。2、 使用终端线缆连接到防火墙的Console口，超级终端参数设置为9600-8-无-1-无。二、命令行配置方式蓝色字体为在超级终端上输入的命令1、主防火墙配置ns204unset interface e6 ip 将端口6的IP地址删除， ns204set interface e6 zone ha 将端口6和HA区域绑定一起配置NSRPns204- ns204- get nsrp 查看NSRP配置信息 nsrp version: 2.0cluster info:cluster id not set: nsrp is inactive 默认的情况下NSRP没有激活VSD group info:init hold time: 5heartbeat lost threshold: 3heartbeat interval: 1000(ms)group priority preempt holddown inelig master PB other memberstotal number of vsd groups: 0Total iteration=3808,time=2721060,max=880,min=286,average=714RTO mirror info:run time object sync:disabledping session sync: enabledcoldstart sync donensrp link info:no nsrp link has been defined yetNSRP encryption: disabled- more - NSRP authentication: disabled NSRP monitor interface: nonenumber of gratuitous arps: 4 (default)track ip: disabledns204- set nsrp cluster id 1 设置cluster组号 ns204(M)- set nsrp vsd id 0 设置VSD的组号,这条命令可以不用输入，因为防火墙的默认的虚拟安全数据库（VSD）的值是0。ns204(M)- set nsrp vsd-group id 0 priority 50 设置NSRP主设备的优先权值，priority值越小，优先权越高。ns204(M)- set nsrp rto syn 设置配置同步ns204(M)- set nsrp monitor interface ethernet0 设置防火墙监控的端口，假设端口0出现故障或所连接的交换机出现故障，防火墙的工作状态将切换到备份防火墙上。ns204(M)- set nsrp monitor interface ethernet1 设置防火墙监控的端口，假设端口1出现故障或所连接的交换机出现故障，防火墙的工作状态将切换到备份防火墙上。ns204(M)- set nsrp monitor interface ethernet2 设置防火墙监控的端口，假设端口2出现故障或所连接的交换机出现故障，防火墙的工作状态将切换到备份防火墙上。设置好以后，查看nsrp状态：ns204(M)- get nsrpnsrp version: 2.0cluster info:cluster id: 1, no namelocal unit id: 5609296active units discovered: index: 0, unit id: 5609296, total number of units: 1VSD group info:init hold time: 5heartbeat lost threshold: 3heartbeat interval: 1000(ms)group priority preempt holddown inelig master PB other members 0 50 no 3 no myself none （备份防火墙还没有配置，因此主设备上没有监测到Backup防火墙的状态）total number of vsd groups: 2Total iteration=4682,time=4184162,max=18848,min=286,average=893TO mirror info:run time object sync:disabledping session sync: enablednsrp link info:no nsrp link has been defined yetNSRP encryption: disabledNSRP authentication: disabled NSRP monitor interface: ethernet0 ethernet1 ethernet2number of gratuitous arps: 6 (default)track ip: disabled设置NSRP心跳信息ns204(M)- set nsrp vsd-group hb-interval 200 设置心跳信息每隔200秒将发出问候信息 ns204(M)- set nsrp vsd-group hb-threshold 3 设置心跳信息总共发出3次问候信息ns204(M)- save2、备份防火墙的配置：（新增加的防火墙）ns204unset all 将新增防火墙的原有配置清除，恢复出厂状态 Erase all system config, are you sure y/n ? yns204 reset Configuration modified, save? y/n nSystem reset, are you sure? y/n yIn reset . 配置备份防火墙NSRPns204set interface e6 zone ha 将端口4和HA区域绑定一起ns204- set nsrp cluster id 1 设置cluster组号 ns204(B)- set nsrp vsd id 0 设置VSD的组号,这条命令可以不用输入，因为Netscreen防火墙的默认的虚拟安全数据库（VSD）的值是0。ns204(B)- set nsrp vsd-group id 0 priority 100 设置主设备的优先权值，priority值越小，优先权越高。ns204(B)- set nsrp rto syn 设置配置同步ns204(B)- set nsrp monitor interface ethernet0 设置防火墙监控的端口，假设端口0出现故障或所连接的交换机出现故障，防火墙的工作状态将切换到备份防火墙上。ns204(B)- set nsrp monitor interface ethernet1 设置防火墙监控的端口，假设端口1出现故障或所连接的交换机出现故障，防火墙的工作状态将切换到备份防火墙上。ns204(B)- set nsrp monitor interface ethernet2 设置防火墙监控的端口，假设端口2出现故障或所连接的交换机出现故障，防火墙的工作状态将切换到备份防火墙上。ns204(B)- get nsrpnsrp version: 2.0cluster info:cluster id: 1, no namelocal unit id: 5609745active units discovered: index: 0, unit id: 5609745, total number of units: 1VSD group info:init hold time: 5heartbeat lost threshold: 3heartbeat interval: 1000(ms)group priority preempt holddown inelig master PB other members 0 50 no 3 no 5609296(主设备) myself total number of vsd groups: 2Total iteration=4682,time=4184162,max=18848,min=286,average=893RTO mirror info:run time object sync:disabledping session sync: enablednsrp link info:no nsrp link has been defined yetNSRP encryption: disabledNSRP authentication: disabled NSRP monitor interface: ethernet0 ethernet1 ethernet2 number of gratuitous arps: 6 (default)track ip: disabled设置NSRP心跳信息ns204(B)- set nsrp vsd-group hb-interval 200 设置心跳信息每隔200秒将发出问候信息 ns204(B)- set nsrp vsd-group hb-threshold 3 设置心跳信息总共发出3次问候信息ns204(B)- save3、同步配置(备份防火墙上面配置)该步骤将主防火墙的配置和备份防火墙的配置进行同步，（设置前请先将主防火墙的配置备份一次）。ns204(B)- exec nsrp sync rto all from peer （将从主设备上向备份主机同步会话状态信息）ns204(B)- exec nsrp sync file from peer （将从主设备上向备份主机同步配置信息）ns204(B)- exec nsrp sync global-config check-sum （将两台设备的配置进行校检，如有不同，备份的设备将会在重启后把主设备上的配置导入备份主机中）ns204(B)- exec nsrp sync global-config save （如有不同，备份的设备将会在重启后把主设备上的配置导入备份主机中）重启备份防火墙，在重启的过程中，备份的防火墙将会从主设备上同步配置ns204(B)- reset Juniper防火墙的冗余配置结束。三、图形界面下的配置步骤1、 登录防火墙的图形管理界面选择networkInterface Ethernet6 edit将Ethernet6端口的Zone name 选择HA，2、NSRP设置选择Network NSRP Cluster在Cluster ID中输入1 选择Network NSRP VSD GroupPriority设置设备的优先权值，priority值越小，优先权越高。（主防火墙要低于备份防火墙）。设置监控接口，选择Network NSRP Monitorinterface设置同步信息，选择Network NSRP Synchronization注：以上图形界面配置除主备防火墙的优先权值外，配置一样。3、同步配置（图形界面无法配置，使用超级终端配置）该步骤将主防火墙的配置和备份防火墙的配置进行同步，（设置前请先将主防火墙的配置备份一次）。ns204(B)- exec nsrp sync rto all from peer （将从主设备上向备份主机同步会话状态信息）ns204(B)- exec nsrp sync file from peer （将从主设备上向备份主机同步配置信息）ns204(B)- exec nsrp sync global-config check-sum （将两台设备的配置进行校检，如有不同，备份的设备将会在重启后把主设备上的配置导入备份主机中）ns204(B)- exec nsrp sync global-config save （如有不同，备份的设备将会在重启后把主设备上的配置导入备份主机中）重启备份防火墙，在重启的过程中，备份的防火墙将会从主设备上同步配置ns204(B)- reset Juniper防火墙的冗余配置结束。五、配置中出现的问题1、 在主防火墙配置时，备份防火墙没有同步信息解析：用超级终端Console口登录到备份防火墙，使用get nsrp命令查看同步配置。如果没有同步配置增加相关配置。设备同步信息系统默认是200s，就是在主防火墙配置后，不会立即同步到备份防火墙上面，200s后可以查看备份防火墙信息。2、 主防火墙出现故障，备