Juniper防火墙HA配置详解_双主(L2透明模式)(精)

1、Juniper HA 双主（L2 透明模式配置实际环境中防火墙做双主是不太可能实现全互联结构，juniper 防火墙标配都 是4 个物理以太网端口，全互联架构需要防火墙增加额外的以太网接口（这样会增加用户成本，或者在物理接口上使用子接口（这样配置的复杂性增加许多，最主要的是 用户的网络中大多没有像全互联模式那样多的设备。因此双主多数实现在相对冗余的网络环境中。图中服务器交换机与核心交换机间采用 OSPF 动态路由器协议, 自动完成双链路的流量负载均衡。具体实际环境如下：FW-A FW-B 核心-1 核心-2 E1/1E1/1E1/4E1/4HAZone: v1-U ntrustZone: v1

2、-trustE1/3E1/3服务器交换机服务器服务器172.16.40.254172.17.1.1172.1721172.1722Zone: v1-trust Zone: v1-U ntrust172.17.1.21.1.1.11.1.1.2Via n100 主Via n200 从Via n200 主Via n100 从防火墙 A 上执行的命令set host name ISG1000-Aset in terface mgt ip 172.16.12.1/24set int mgt man ageset in terface ethernet1/4 zo ne HAset nsrp clust

3、er id 1set nsrp rto-mirror syncset nsrp rto-mirror sessi on ageout-ackun set nsrp vsd-group id 0set nsrp vsd-group id 1 priority 1set nsrp vsd-group id 1 preemptset nsrp vsd-group id 1 preempt hold-dow n 10 set nsrp vsd-group id 2 priority 255set nsrp vsd-group id 2 preempt hold-dow n 10 防火墙 B 上执行的命

4、令set host name ISG1000-Bset in terface mgt ip 172.16.12.2/24set int mgt man ageset in terface ethernet1/4 zone HAset nsrp cluster id 1set nsrp rto-mirror syncset nsrp rto-mirror sessi on ageout-ackset nsrp rto-mirror sessi on non-vsiun set nsrp vsd-group id 0set nsrp vsd-group id 1 priority 255set n

5、srp vsd-group id 1 preempt hold-dow n 10 set nsrp vsd-group id 2 priority 1set nsrp vsd-group id 2 preemptset nsrp vsd-group id 2 preempt hold-dow n 10任意一个防火墙上执行的命令即可set vla n group n ame v100set vlan group v100 100set via n group v100 vsd id 1set via n group n ame v200set vlan group v200 200set via

6、 n group v200 vsd id 2set vian port ethernet1/3 group v100 zone V1-trust set vian port ethernet1/1 groupv100 zone V1-un trust set via n port ether net1/3 group v200 zone V1-trust set via n portethernet1/1 group v200 zone V1- un trustset poiicy from V1-trust to V1-un trust any any any permit set poiicy from V1-un trust to V1-trust any an