Juniper防火墙灾备切换解决方案.docx

Juniper防火墙灾备切换解决方案目录现状描述2灾备切换方案2总结7现状描述IDC现有Juniper SSG550防火墙两台做NSRP双机热备， IDC主要提供DMZ服务器应用访问。为了使应用能够得到冗余保障，灾备中心拥有一套相同的系统。为了顺利的切换应用，需要事先准备应急切换方案。灾备切换方案方案描述1).相同的配置，当部分应用挂掉时，通过修改路由(需要通过策略路由控制)和MIP策略的方式切换。修改的MIP策略需要事先加好并disable。2).当整个Internet挂掉后，通过运营商BGP选路切换，需要部分应用通过修改路由(需要通过策略路由控制)和MIP策略的方式切换;修改的MIP策略需要事先加好并disable。3).MIP策略需要修改目标Zone和添加DIP，同一条策略需要同时设置MIP和DIP。4).该方案中配置可以互导，定期的手工导出防火墙配置来进行两边配置的同步工作。路由设置由于INSIDE区域之间有一条专线，所以，当故障发生时，可以将原本通过MPSL走的路由切换至INSIDE。由于SSG防火墙默认会根据MPSL接口的IP生成一条接口路由，接口路由的优先级高于静态路由，所以，需要事先添加策略路由指向INSIDE，在不需要切换的时候不启用该路由。策略路由配置示例CLI配置1.建立一个扩展ACLset access-list extended number src-ip ip/netmask dst-ip ip/netmask protocol any entry number2.建立一个Match Groupset match-group name nameset match-group name ext-acl number match-entry number3.建立一个Action Groupset action-group name nameset action-group name next-hop ip action-entry number4.建立一个PBR Policyset pbr policy name nameset pbr policy name match-group name action-group name number5.将PBR绑定到接口上(支持绑定到zone和vr)set interface name pbr pbr-policy-nameWEB配置1.建立extended acl设置ACL ID、源地址、目的地址、源目端口等信息注:需要再建立一条Protocol为ICMP的ACL，否则traceroute还是走默认路由2.配置match group3.配置action group4.PBR配置Policy5.在接口绑定策略路由MIP配置示例CLI配置set interfaceint_name mip x.x.x.x host x.x.x.x netmask x.x.x.x vrouter vr_nameset policy from zone to zone source mip-address service permitsaveWeb配置step1.定义MIPstep2.配置MIP策略DIP配置示例CLI配置set interface name dip 4-255 start-address end-addressset policy from zone to zone source destination service nat src dip 4-255 permitWEB配置step1.创建DIP-NetworkInterfaceEditDIP(click