华为USG6350双机热备与 NAT 功能结合配置.doc

双机热备与 NAT 功能结合一 组网需求 USG作为安全设备被部署在业务节点上。 USG的业务接口工作在三层，上下行连接交换机。 USG_A、 USG_B以主备备份方式工作。内网用户可以通过公网地址访问Internet。正常情况下， USG_A作为主用设备，处理业务流量； USG_B作为备用设备，不处理业务流量。当USG_A的接口或整机发生故障时， USG_B切换为主用设备接替USG_A处理业务流量，从而保证业务不中断。图 1-44 业务接口工作在三层，上下行连接交换机的组网图配置思路1. 由于USG的业务接口工作在三层，能够配置IP地址。而且USG上下行连接交换机，交换机能够透传VRRP报文。 因此本举例选择在业务接口上配置IP地址和VRRP备份组，由VRRP备份组监控接口状态。2. 为了实现主备备份方式，需要将USG_A的VRRP备份组加入Active管理组， USG_B的VRRP备份组加入Standby管理组，由管理组统一监控接口状态。3. 为了使内网用户能够使用公网IP地址访问Internet， 需要配置Trust与Untrust域间的源NAT。由于NAT地址池中的地址与VRRP备份组的虚拟IP地址在同一网段，为了避免业务冲突，需要配置NAT地址池与管理组绑定。4. 为了使USG_B能够备份USG_A的关键配置命令和会话表状态信息， 需要在两台USG上指定HRP备份通道，然后启用HRP功能。5. 为了保证正常情况下路由可达， 且主备设备状态切换后流量能够被正确地引导到备用设备上，需要在内网的PC或设备上配置静态路由，下一跳为VRRP备份组的虚拟IP地址。操作步骤步骤1 在USG_A上配置各个接口的IP地址，并将接口加入安全区域。1. 选择“网络 接口 接口”。2. 在“接口列表”中，单击GE0/0/1对应的 ，显示“修改GigabitEthernet”界面。GE0/0/1的相关参数如下，其他参数使用默认值：l 安全区域： untrustl 模式：路由l 连接类型：静态IPl IP地址： 10.2.0.1l 子网掩码： 255.255.255.03. 单击“应用”。4. 重复上述步骤，配置接口GE0/0/2和GE0/0/3。GE0/0/2的相关参数如下，其他参数使用默认值：l 安全区域： dmzl 模式：路由l 连接类型：静态IPl IP地址： 10.10.0.1l 子网掩码： 255.255.255.0GE0/0/3的相关参数如下，其他参数使用默认值：l 安全区域： trustl 模式：路由l 连接类型：静态IPl IP地址： 10.3.0.1l 子网掩码： 255.255.255.0步骤2 配置USG_A的VRRP备份组，并将VRRP备份组加入状态为Active的管理组。1. 选择“系统 高可靠性 双机热备”。2. 在“ VRID列表”中，单击“新建”。3. 在“新建VRID”界面中，配置VRRP备份组1。4. 单击“应用”。5. 重复上述步骤，配置VRRP备份组2。Secoway USG2100/2200/5100 BSR/HSR & USG2000/5000典型配置案例-Web 方式 1 网络安全接入综合场景文档版本 02 (2013-10-15) 华为专有和保密信息版权所有 华为技术有限公司60步骤3 在USG_A上指定HRP备份通道后，启用HRP功能。1. 选择“系统 高可靠性 双机热备”。2. 在“配置双机热备”界面中选择HRP备份通道，启用HRP功能。3. 单击“应用”。步骤4 配置USG_B。USG_B和上述USG_A的配置基本相同，不同之处在于：l USG_B各接口的IP地址与USG_A各接口的IP地址不相同。l USG_B的业务接口GE0/0/1和GE0/0/3加入Standby管理组。步骤5 在USG_A上配置NAT地址池，将NAT地址池与Active管理组绑定。1. 选择“防火墙 NAT 源NAT”。2. 选择“ NAT地址池”页签。3. 在“ NAT地址池列表”中，单击“新建”。4. 在“新建NAT地址池”界面中，配置NAT地址池1。5. 单击“应用”。步骤6 在USG_A上配置源NAT，使10.3.0.0/24网段用户使用NAT地址池1中的IP访问Internet。1. 选择“防火墙 NAT 源NAT”。2. 选择“源NAT”页签。3. 在“源NAT策略列表”中，单击“新建”。4. 在“新建源NAT”界面中，配置Trust与Untrust域间的源NAT，引用NAT地址池1。Secoway USG2100/2200/5100 BSR/HSR & USG2000/5000典型配置案例-Web 方式 1 网络安全接入综合场景文档版本 02 (2013-10-15) 华为专有和保密信息版权所有 华为技术有限公司615. 单击“应用”。步骤7 在USG_A上配置安全策略，允许Trust区域的10.3.0.0/24网段的用户可以访问Untrust区域。1. 选择“防火墙 安全策略 转发策略”。2. 在“转发策略列表”中单击“新建”。配置如下参数。3. 单击