Juniper防火墙HA配置详解-双主(L2透明模式)

1、JuniperHA双主（L2）透明模式配置实际环境中防火墙做双主是不太可能实现全互联结构,juniper防火墙标配都是4个物理以太网端口，全互联架构需要防火墙增加额外的以太网接口（这样会增加用户成本），或者在物理接口上使用子接口（这样配置的复杂性增加许多），最主要的是用户的网络中大多没有像全互联模式那样多的设备。因此双主多数实现在相对冗余的网络环境中。图中服务器交换机与核心交换机间采用OSPF动态路由器协议，自动完成双链路的流量负载均衡。具体实际环境如下：Zone:v1-trustE1/3FW-AVlan100主Vlan200从E1/4服务器172.17.1.1172.16.40.254服务器

2、交换机172.17.2.1HAE1/3Vlan200主Vlan100Zone:v1-trustE1/3FW-AVlan100主Vlan200从E1/4服务器172.17.1.1172.16.40.254服务器交换机172.17.2.1HAE1/3Vlan200主Vlan100从E1/4FW-BZone:v1-trustE1/1E1/1E1/1Zone:v1-UntrustZone:v1-Untrust172.17.1.2172.1722核心-1核心-2防火墙A上执行的命令sethostnameISG1000-Asetinterfacemgtip172.16.12.1/24setintmgtma

3、nagesetinterfaceethernet1/4zoneHAsetnsrpclusterid1setnsrprto-mirrorsyncsetnsrprto-mirrorsessionageout-ackunsetnsrpvsd-groupid0setnsrpvsd-groupid1priority1setnsrpvsd-groupid1preemptsetnsrpvsd-groupid1preempthold-down10setnsrpvsd-groupid2priority255setnsrpvsd-groupid2preempthold-down10防火墙B上执行的命令sethos

4、tnameISG1000-Bsetinterfacemgtip172.16.12.2/24setintmgtmanagesetinterfaceethernet1/4zoneHAsetnsrpclusterid1setnsrprto-mirrorsyncsetnsrprto-mirrorsessionageout-acksetnsrprto-mirrorsessionnon-vsiunsetnsrpvsd-groupid0setnsrpvsd-groupid1priority255setnsrpvsd-groupid1preempthold-down10setnsrpvsd-groupid2p

5、riority1setnsrpvsd-groupid2preemptsetnsrpvsd-groupid2preempthold-down10任意一个防火墙上执行的命令即可setvlangroupnamev100setvlangroupv100100setvlangroupv100vsdid1setvlangroupnamev200setvlangroupv200200setvlangroupv200vsdid2setvlanportethernet1/3groupv100zoneV1-trustsetvlanportethernet1/1groupv100zoneV1-untrustsetvlanportethernet1/3groupv200zoneV1-trustsetvlanportethernet1/1groupv200zoneV1-untrustsetpolicyfromV1-trusttoV1-untrustanyanyanypermitsetpolicyfromV1-untrusttoV1-trust