内容提交人审核人更新内容日期王辉安辉 V 目录 1 方案背景需求分析解决方案路由模式部署透明模式部署实现方式... 8 路由模式部署透明模式部署建设效果..

Size: px

Start display at page:

Download "内容提交人审核人更新内容日期王辉安辉 V 目录 1 方案背景需求分析解决方案路由模式部署透明模式部署实现方式... 8 路由模式部署透明模式部署建设效果.."

螗双
7 years ago
Views:

1 HA(peer-mode) 解决方案 Hillstone Networks Inc 年 8 月 25 日 1 / 24

2 内容提交人审核人更新内容日期王辉安辉 V 目录 1 方案背景需求分析解决方案路由模式部署透明模式部署实现方式... 8 路由模式部署透明模式部署建设效果 HA Traffic 起什么作用? 什么情况下使用? 由于业务流量较大, 可能导致 HA traffic 流量过大而影响 HA 工作, 如何避免? 20 HA peer-mode 的配置, 两台设备配置需要单独配置吗? 在动态路由环境下, 由于动态路由未及时学习或因网络变动未及时收敛, 导致报文无法转发的问题如何解决? 如何查看 HA 的相关配置和状态 / 24

3 1 方案背景如下拓扑图图口字形拓扑, 所有路由器都运行动态路由且流量的路径是非对称路由 ( 即 Flow0 和 Flow1 是两条不同路径, 流量的流向方向相反, 如 Flow0:R1 R2 R4 R6, Flow1:R6 R5 R3 R1), 当出现路由故障时, 两条路径可以合并为其中一条, 又变为对称路由环境图 / 24

4 2 需求分析不具备 L2-Switch 部署环境 (Group-base 的 HA 部署环境 ), 需要较为灵活的组网方式路由环境下组网且流量是非对称路由环境, 需要部署 AD/AV/IPS/NBC/URLDB 等安全防护功能提高设备使用效率, 两台设备同时工作负载网络流量, 避免单台设备工作负荷较大 3 解决方案 3.1 路由模式部署图 3-1 FW 工作在三层, 上下行连接 Router,FW 与上下行 router 之间运行动态路由协议, 通过左右两侧相同的 cost 实现 load balance 4 / 24

5 图 3-1 图 3-2 FW 工作在三层, 上下行连接 Router, 在真实的组网环境中,R1 R2, R3 R4 可以分别为两台物理 router 5 / 24

6 图 3-2 图 3-3 FW 工作在三层, 支持 SNAT,DNAT, 相同的 SNAT 地址或地址池可以在运行 Peer-mode HA 模式的两台 Device 上进行自动的端口资源分配 6 / 24

7 图透明模式部署图 3-4 在这种组网下 FW 透明接入网络, 配置比较简单, 对用户已有网络改动小, 外联 router 运行动态路由协议,R1 R3 建立 OSPF 邻居,R2 R4 建立 OSPF 邻居 7 / 24

图 3-4 4 实现方式图 4-1 HA Peer-mode 的工作原理介绍每台设备需要创建两个 HA Group 1) 一个处于 Active 状态, 可以正常收发报文, 进行正常的 HA 状态变迁 2) 另一个处于 Inactive 状态, 不收发任何报文, 一直处于

8 图实现方式图 4-1 HA Peer-mode 的工作原理介绍每台设备需要创建两个 HA Group 1) 一个处于 Active 状态, 可以正常收发报文, 进行正常的 HA 状态变迁 2) 另一个处于 Inactive 状态, 不收发任何报文, 一直处于 Disabled 状态每台设备需要配置一个 node ID(0 或 1) 1)node ID 为 0 的设备,Group 0 Active, Group 1 Inactive 2)node ID 为 1 的设备,Group 1 Active, Group 0 Inactive 8 / 24

9 两台设备中其中一台作为 Admin Master dev1 node0 dev2 node1 Group Group Group Group 图 4-1 Admin Master 的作用 1)Admin Master 是两台设备中可以进行非 local 配置的一方 2)Admin Master 是 HA 冷同步和配置同步的发起方 Admin Master 的选取当满足以下任一条件时, 该设备为 Admin Master 1) 单台设备起 HA Peer 模式 2) 当设备的 Group 0 为 Master 3) 当设备的 Group 1 为 Master 且对端设备的 Group 0 不是 Master 9 / 24

10 路由模式部署硬件平台 G2120 软件版本 5.0R3P4 步骤 1: 配置 HA Peer mode 和 HA link interfaces: 如果使用了高级应用,HA trafic 流量较大, 建议启用 Ha link date 接口, 也可用 Agg, 为保证可靠性, 建议配置至少 2 个 link interface FW1 10 / 24

11 hostname(config)# ha link interface eth0/1 hostname(config)# ha link interface eth0/5 hostname(config)# ha link ip /24 hostname(config)# ha link data interface eth0/3 hostname(config) ha group 1 hostname(config-ha-group)# exit hostname (config)# ha cluster 1 peer-mode node 0 Confirm: If you changed HA node, the system need reboot by administrator, continue? [y]/n: y hostname(config)# ha mode non-group hostname(config)# exit FW2 hostname(config)# ha link interface eth0/1 hostname(config)# ha link interface eth0/5 hostname(config)# ha link ip /24 hostname(config)# ha link data interface eth0/3 hostname(config) ha group 1 hostname(config-ha-group)# exit hostname (config)# ha cluster 1 peer-mode node 1 Confirm: If you changed HA node, the system need reboot by administrator, continue? [y]/n: y 11 / 24

12 hostname(config)# ha mode non-group hostname(config)# exit 步骤 2: Enable HA traffic: 使用应用控制功能, 如 APP 识别,AV,IPS,URL 等应用层功能, 需要启用 HA traffic, 首包默认 max-size: 128 FW1 Hostname(M0D1)(config)# ha traffic enable hostname(m0d1)(config)# ha traffic first-packet hostname(m0d1) (config)# exit FW2 hostname(config)(m0d1) # ha traffic enable hostname(m0d1)(config)# ha traffic first-packet hostname(config)(m0d1) # exit 步骤 3: 在异步路由环境下所有路由器使用 OSPF 协议, 并将防火墙启用 OSPF 路由, 且使用默认 metric 和 cost FW1 hostname(m0d1) (config) # ip vrouter trust-vr hostname(m0d1) (config-vrouter)# router ospf hostname(m0d1) (config-router) # router-id local hostname(m0d1) (config-router) # network /24 area 0 12 / 24

13 hostname(m0d1) (config-router) # network /24 area 0 hostname(m0d1) (config-router)# network /24 area 0 hostname(m0d1) (config-router)# network /24 area 0 hostname(m0d1) (config-router)# end hostname(m0d1)# config hostname(m0d1) (config)# interface eth1/2 hostname(m0d1) (config-if-eth1/2)# zone trust hostname(m0d1) (config-if-eth1/2)# ip address /24 hostname(m0d1) (config-if-eth1/2)# exit hostname(m0d1) (config)# interface eth1/2:1 hostname(m0d1) (config-if-eth1/2:1)# zone trust hostname(m0d1) (config-if-eth1/2:1)# ip address /24 hostname(m0d1) (config-if-eth1/2:1)# exit hostname(m0d1) (config)# interface eth1/1 hostname(m0d1) (config-if-eth1/1)# zone trust hostname(m0d1) (config-if-eth1/1)# ip address /24 hostname(m0d1) (config-if-eth1/1)# exit hostname(m0d1) (config)# interface eth1/1:1 hostname(m0d1) (config-if-eth1/1:1)# zone trust hostname(m0d1) (config-if-eth1/1:1)# ip address /24 hostname(m0d1) (config-if-eth0/1:1)# exit 13 / 24

14 hostname(m0d1) (config-if-eth0/1:1)# end FW2 hostname(d0m1) (config)# ip vrouter trust-vr hostname(d0m1) (config-vrouter)# router ospf hostname(d0m1) (config-router)# router-id local 步骤 4: 配置监控对象, 监控对端路由 R3 的 Ethernet0/1 接口的 ip 地址 , 如果监控失败, 所有 session 将会迁移至 DeviceB 此处监控对象可根据实际需求来进行调整 FW1 hostname(m0d1) (config)# track track1 hostname(m0d1) (config-trackip)# ip interface eth1/2 hostname(m0d1) (config-trackip)# exit hostname(m0d1) (config)# ha group 0 hostname(m0d1) (config-ha-non-group)# monitor track track1 hostname(m0d1) (config-ha-non-group)# exit Step 5: 配置 AV profilce 并绑定安全域, 安全策略及其它可根据需求配置, 此处略 Device 1 hostname(m0d1) (config)# av-profile av hostname(m0d1) (config-av-prifile)# profile-type ftp action log-only hostname(m0d1) (config-av-prifile)# file-type zip 14 / 24

15 hostname(m0d1) (config-av-prifile)# exit hostname(m0d1) (config)# zone untrust hostname(m0d1) (config-zone-untrust)# av enable av hostname(m0d1) (config-zone-untrust)# exit 透明模式部署硬件平台 G2120 软件版本 5.0R3P4 步骤 1: 配置 HA Peer mode 和 HA link interfaces: 15 / 24

16 如果使用了高级应用,HA trafic 流量较大, 建议启用 Ha link date 接口, 也可用 Agg, 为保证可靠性, 建议配置至少 2 个 link interface FW1 hostname(config)# ha link interface eth0/1 hostname(config)# ha link interface eth0/2 hostname(config)# ha link ip /24 hostname(config)# ha link data interface eth0/3 hostname(config) ha group 1 hostname(config-ha-group)# exit hostname (config)# ha cluster 1 peer-mode node 0 Confirm: If you changed HA node, the system need reboot by administrator, continue? [y]/n: y hostname(config)# ha mode non-group hostname(config)# exit FW2 hostname(config)# ha link interface eth0/1 hostname(config)# ha link interface eth0/2 hostname(config)# ha link ip /24 hostname(config)# ha link data interface eth0/3 hostname(config) ha group 1 hostname(config-ha-group)# exit 16 / 24

17 hostname (config)# ha cluster 1 peer-mode node 1 Confirm: If you changed HA node, the system need reboot by administrator, continue? [y]/n: y hostname(config)# ha mode non-group hostname(config)# exit 步骤 2: Enable HA traffic: 使用应用控制功能, 如 APP 识别,AV,IPS,URL 等应用层功能, 需要启用 HA traffic FW1 hostname(m0d1) (config)# ha traffic enable hostname(m0d1)(config)# ha traffic first-packet hostname(m0d1) (config)# exit FW2 hostname(config)(m0d1) # ha traffic enable hostname(m0d1)(config)# ha traffic first-packet hostname(config)(m0d1) # exit 步骤 3: 配置接口归属二层安全域, 以及 Vswitch 及默认路由 FW1 hostname(m0d1) (config)# interface Ethernet0/5 hostname(m0d1) (config-if-eth0/5) #zone l2-trust hostname(m0d1) (config)# interface Ethernet0/5:1 17 / 24

18 hostname(m0d1) (config-if-eth0/5:1) # zone l2-trust hostname(m0d1) (config)# interface Ethernet0/6 hostname(m0d1) (config-if-eth0/6) # zone l2-untrust hostname(m0d1) (config)# interface Ethernet0/6:1 hostname(m0d1) (config-if-eth0/6:1) # zone l2-untrust hostname(m0d1) (config-if-eth0/6:1) # interface Vswitch1 hostname(m0d1) (config-if-vswitchf1)zone trust hostname(m0d1) (config-if-vswitchf1)ip address /24 hostname(m0d1) (config)#ip vrouter trust-vr hostname(m0d1) (config-vrouter)# ip route / hostname(m0d1) (config-vrouter)# ip route / hostname(m0d1) (config-vrouter)#end 步骤 4: 配置监控对象, 监控对端路由 R1 的 Ethernet0/1 接口的 ip 地址 , 如果监控失败, 所有 session 将会迁移至 DeviceB 此处监控对象可根据实际需求来进行调整 FW1 hostname(m0d1) (config)# track track1 hostname(m0d1) (config-trackip)# ip interface vswitch1 hostname(m0d1) (config-trackip)# exit hostname(m0d1) (config)# ha group 0 hostname(m0d1) (config-ha-non-group)# monitor track track1 18 / 24

19 hostname(m0d1) (config-ha-non-group)# exit Step 5: 配置 AV profilce 并绑定安全域, 安全策略及其它可根据需求配置, 此处略 Device 1 hostname(m0d1) (config)# av-profile av hostname(m0d1) (config-av-prifile)# profile-type ftp action log-only hostname(m0d1) (config-av-prifile)# file-type zip hostname(m0d1) (config-av-prifile)# exit hostname(m0d1) (config)# zone untrust hostname(m0d1) (config-zone-untrust)# av enable av hostname(m0d1) (config-zone-untrust)# exit 5 建设效果 HA Traffic 起什么作用? 什么情况下使用? a 非对称路由环境下, 初始报文通过 FW1 建立 session 后,session 同步至 FW2, 返程报文先于 session 同步消息到达了 FW2, 由于无法 match session, 返程报文在 FW2 被丢弃, 导致用户应用异常 b 非对称路由环境下, 正向流量经过左侧 FW1, 反向流量经过 FW2 转发出去, 19 / 24

20 IPS/AV/NBC/URLDB/ 应用识别不能正常工作, 导致应用异常为了解决 a,b 两种问题,HA Traffic 支持首包转发和首包延时转发注意事项 : HA traffic first-packet 只适用于路由模式同时开启 HA traffic first-packet 和 traffic delay, 前者优先, 不满足前者条件的 packet 则进行 traffic delay 具体配置如下 : hostname(m0d1)(config)# ha traffic enable hostname (M0D1)(config)# ha traffic first-packet max-size 128 hostname (M0D1)(config)# ha traffic delay 30 由于业务流量较大, 可能导致 HA traffic 流量过大而影响 HA 工作, 如何避免? 可以配置 ha date link, 配置之后,ha control link 和 ha date link 将使用不同的物理通道发送流量, control link 负责发送 HA 协商消息及控制报文,date link 发送数据报文如果 date link 流量过大而接近接口的性能瓶颈, 也可以使用 AGG 接口来作为 date link 没有配置 HA link data interface 时,HA 的控制和同步消息都通过 HA link interface 发送配置如下 : hostname (M0D1)(config)# ha link data interface ethernet0/0 20 / 24

21 或者 hostname (M0D1)(config)# interface ethernet0/0 hostname (M0D1)(config)# iaggregate aggregate1 hostname (M0D1)(config)# interface ethernet0/1 hostname (M0D1)(config)# iaggregate aggregate1 hostname (M0D1)(config)# ha link data interface aggregate1 HA peer-mode 的配置, 两台设备配置需要单独配置吗? 除了 HA 部分的配置外, 其它配置全部在 admin master 设备上进行配置, 两台处在 HA 工作正常状态下的设备, 只有一台是 admin master, 也就是说, 除了 HA 部分以外的配置在 admin master 上配置即可在动态路由环境下, 由于动态路由未及时学习或因网络变动未及时收敛, 导致报文无法转发的问题如何解决? 其中路由没有快速学习的问题可以通过配置 direct-send default- nexthop x.x.x.x 解决, 即找不到路由转发时, 转发给默认的下一跳配置 : hostname(m0d1)(config-if-eth0/1)# direct-send default-nexthop / 24

22 如何查看 HA 的相关配置和状态 hostname(m0d1)(config-if-eth0/1)# show ha cluster HA cluster is 1, node is 0 peer-mode is enabled with asymmetric-routing Admin Master hostname(m0d1)(config-if-eth0/1)# show ha link status HA link status: HA link ip= HA link 1: HA link if ifid=11 ifname=ethernet0/2 status=up HA data link: HA link if ifid=9 ifname=ethernet0/0 status=up hostname(m0d1)(config-if-eth0/1)# show ha group 0 HA Group id=0 state Master priority 100 preempt N/A monitor HA peer num 1 HA peer 0 22 / 24

23 device id ip state Master priority 100 hostname(m0d1)(config-if-eth0/1)# show ha group 1 HA Group id=1 state Disabled priority 100 preempt N/A monitor HA peer num 0 hostname(m0d1)(config-if-eth0/1)# show ha sync state pki Key/Certificate/CRL dns Dns cache dhcp Dhcp lease vpn VPN info ntp Ntp clock config Configure flow ARP/Session/MAC scvpn SCVPN info route Route info 23 / 24

24 hostname(m0d1)(config)# exec ha sync configuration Sync configuration is finished 24 / 24

内容提交人审核人更新内容日期张自良陈天骄 V1 2015/9/28 目录 1 方案背景需求分析解决方案透明模式下 OSPF 动态路由协议透传透明模式下通过策略控制流量透明模式下防火墙整机冗余

内容提交人审核人更新内容日期张自良陈天骄 V1 2015/9/28 目录 1 方案背景需求分析解决方案透明模式下 OSPF 动态路由协议透传透明模式下通过策略控制流量透明模式下防火墙整机冗余二层透传 OSPF 解决方案 Hillstone Networks Inc. 2015 年 9 月 28 日 1 / 19 内容提交人审核人更新内容日期张自良陈天骄 V1 2015/9/28 目录 1 方案背景... 3 2 需求分析... 4 3 解决方案... 4 3.1 透明模式下 OSPF 动态路由协议透传... 4 3.2 透明模式下通过策略控制流量... 5 3.3 透明模式下防火墙整机冗余...

内容提交人审核人更新内容日期 王辉安辉 V 目录 1 方案背景 需求分析 解决方案 路由模式部署 透明模式部署 实现方式... 8 路由模式部署 透明模式部署 建设效果..

内容提交人审核人更新内容日期王辉安辉 V 目录 1 方案背景需求分析解决方案路由模式部署透明模式部署实现方式... 8 路由模式部署透明模式部署建设效果..