山东移动PBX防火墙管理IP添加方案

项目编号 山东移动 PBX 防火墙管理 IP 添加实施方案 思华科技 版权所有 第 2 页 共 7 页 目目 录录 1 割接背景及目的 3 2 割接时间与人员安排 3 3 割接内容及概要 4 4 割接步骤 7 4 1东信网关先将之前配置的 IP 从网关系统中去掉 7 4 2在主备防火墙配置管理 IP 保证与东信网关能够联通 7 4 3验证 7 5 异常恢复 7 第 3 页 共 7 页 1 割接背景及目的割接背景及目的 目前山东移动东信网关不支持防火墙主备模式下通过添加备防火墙序列号查询设备状态命 令 即 查询主墙 snmpget v2c c public 10 213 38 153 1 3 6 1 4 1 12356 1 100 6 查询备墙 snmpget v2c c public FG50012205400050 10 213 38 153 1 3 6 1 4 1 12356 1 100 6 备注 public 为团体名 FG50012205400050 为备墙序列号 10 213 38 153 查询设备 IP 地址 1 3 6 1 4 1 12356 1 100 6 查询的 OID 值 鉴于以上情况需要对主备防火墙添加管理 IP 以支持网关系统 SNMP 监控 2 割接时间割接时间与人员安排与人员安排 2016 年 04 月 26 日 晚上 20 00 2016 年 04 月 27 日 8 00 姓名所在公司 部门职责联系方式备注 金有伟思华科技济南技 术支持中心 现场维护现场实施 第 4 页 共 7 页 张彦龙飞塔防火墙后台支撑人员马剑飞山东移动项目负责人3 割接内容及概要割接内容及概要 割接主要包括添加防火墙管理 IP 地址 FortiGate 在做Active Passive 的HA 时 由于两台设备的基本配置都一样 因此通过 数据接口的IP地址只能管理和访问到其中选举为主的设备 对于同时连到主机和备机进行管 理 或有对于主机或备机进行网管的需求 需要配置HA的带外管理接口 预留的带外管理口 FortiGate HA 的预留带外管理口可以使处于AP 模式的两台FortiGate 设备有独立的 管理地址 即这个地址不参与HA 的同步 在FortiOS 中 这个独立的管理地址有自己独 立的网关 因此不会在路由表中显示 如下图所示 第 5 页 共 7 页 我们只需在HA 的配置中选取相应的接口即可 这个接口必须不是HA 的监控接口 也 不是HA 发送heartbeat 的接口 如在上图中我们选择了port7 则接下来去配置port7 的IP 地址即可 我们也可以在命令行中完成上述配置 config system ha set ha mgmt status enable set ha mgmt interface port7 set ha mgmt interface gateway 192 168 1 1 end config system interface edit port7 第 6 页 共 7 页 set mode static set ip 192 168 1 2 24 end 注意set ha mgmt interface gateway 这个配置只能在命令行中完成 且不会在 FortiGate 的路由表中显示 由于这个独立的管理接口 一般只被动的接收访问 如接 收https ssh 的管理 SNMP的轮询 并不主动发起连接 如需要从这个管理接口发起ping 的连接来测试一下网络的连通性 我们需要通过以下命令才能进行ping config global execute enter vsys hamgmt exec ping 192 168 1 1 如果两台设备都需要连接SNMP 需要进行如下设置 config global config system snmp community edit 1 config hosts edit 1 set ha direct enable end end 第 7 页 共 7 页 4 割接步骤割接步骤 4 1 东信网关先将之前配置的东信网关先将之前配置的 IPIP 从网关系统中去掉 从网关系统中去掉 4 2 在主备防火墙配置管理在主备防火墙配置管理 IPIP 保证与东信网关能够联通 保证与东信网关能够联通 上方配置需要分别在主备防火墙上输入命令 上方是以主备防火墙第 7 口作为管理地 址为例 4 3 验证验证 1 从东信网关平台 ping 主备管理 IP 是否能 ping 通 2 添加管理 IP 到东信网关平台 5 异常