Juniper 防火墙HA配置详解_主从(L3 路由模式).doc

Juniper HA 主双（L3）路由模式配置实际环境中防火墙做主双是不太可能实现全互联结构，juniper防火墙标配都是4个物理以太网端口，全互联架构需要防火墙增加额外的以太网接口（这样会增加用户成本），或者在物理接口上使用子接口（这样配置的复杂性增加许多），最主要的是用户的网络中大多没有像全互联模式那样多的设备。因此主双多数实现在相对冗余的网络环境中。 防火墙A上执行的命令set hostname ISG1000-Aset interface mgt ip 172.16.12.1/24set interface ethernet1/4 zone HAset nsrp cluster id 1set nsrp rto-mirror syncset nsrp vsd-group id 0 priority 10set nsrp vsd-group id 0 preemptset nsrp vsd-group id 0 monitor interface ethernet1/1set nsrp vsd-group id 0 monitor interface ethernet1/2set interface ethernet1 zone trustset interface ethernet1 ip 192.168.1.254/24set interface ethernet1 manage-ip 192.168.1.1set interface ethernet2 zone Untrustset interface ethernet2 ip 172.16.1.254/24set interface ethernet2 manage-ip 172.16.1.1set interface eth1 manageset interface eth2 manage防火墙B上执行的命令set hostname ISG1000-Bset interface mgt ip 172.16.12.2/24set interface ethernet1/4 zone HAset nsrp cluster id 1set nsrp rto-mirror syncset nsrp vsd-group id 0 priority 100set nsrp vsd-group id 0 preemptset nsrp vsd-group id 0 monitor interface ethernet1/1set nsrp vsd-group id 0 monitor interface ethernet1/2set interface ethernet1 zone trustset interface ethernet1 ip 192.168.1.254/24set interface ethernet1 manage-ip 192.168.1.2set interface ethernet2 zone Untrustset interface ethernet2 ip 172.16.1.254/24set interface ethernet2 manage-ip 172.16.1.2set interface eth1 manageset interface eth2 manage任意一个防火墙上执行的命令即可set policy id 2 from Trust to Untrust Any Any ANY permitset policy id 3 from U