Netscreen NSRP双机典型配置及维护Word格式文档下载.docx

Netscreen NSRP双机典型配置及维护Word格式文档下载.docx

《Netscreen NSRP双机典型配置及维护Word格式文档下载.docx》由会员分享，可在线阅读，更多相关《Netscreen NSRP双机典型配置及维护Word格式文档下载.docx（13页珍藏版）》请在冰豆网上搜索。

设备B充当VSD组2的主设备和VSD组1的备份设备。

Active/Active模式中两台防火墙同时进行信息流的处理并彼此互为备份。

在双主动模式中不存在任何单一故障点。

如下图所示，通过调整防火墙上下行路由/交换设备到网络的路由指向，HostA通过左侧路径访问ServerA，HostB通过右侧路径访问ServerB，网络中任一设备或链路出现故障时，NSRP集群均能够做出正确的路径切换。

NSRP集群技术优势主要体现于：

1、消除防火墙及前后端设备单点故障，提供网络高可靠性。

即使在骨干网络中两类核心设备同时出现故障，也能够保证业务安全可靠运行。

2、根据客户网络环境和业务可靠性需要，提供灵活多样的可靠组网方式。

NSRP双机集群能够提供1、Active-Passive模式Layer2/3多虚拟路由器多虚拟系统和口型/交叉型组网方式；

2、Active-Active模式Layer2/3多虚拟路由器多虚拟系统和口型/Fullmesh交叉型组网方式。

为用户提供灵活的组网选择。

3、NSRP双机结构便于网络维护管理，通过将流量在双机间的灵活切换，在防火墙软件升级、前后端网络结构优化改造及故障排查时，双机结构均能够保证业务的不间断运行。

4、结合Netscreen虚拟系统和虚拟路由器技术，部署一对NSRP集群防火墙，可以为企业更多的应用提供灵活可靠的安全防护，减少企业防火墙部署数量和维护成本。

二、NSRP典型结构与配置

1、Layer3口型A/P组网模式

Layer3口型A/P组网模式是当前很多企业广泛采用的HA模式，该模式具有对网络环境要求不高，无需网络结构做较大调整，具有较好冗余性、便于管理维护等优点。

缺点是Netscreen防火墙利用率不高，同一时间只有一台防火墙处理网络流量；

冗余程度有限，仅在一侧链路和设备出现故障时提供冗余切换。

Layer3口型组网A/P模式具有较强冗余性、低端口成本和网络结构简单、便于维护管理等角度考虑，成为很多企业选用该组网模式的标准。

配置说明：

两台Netscreen设备采用相同硬件型号和软件版本，组成Active/Passive冗余模式，两台防火墙均使用一致的Ethernet接口编号连接到网络。

通过双HA端口或将2Ethernet接口放入HA区段，其中控制链路用于NSRP心跳信息、配置信息和Session会话同步，数据链路用于在两防火墙间必要时传输数据流量。

NS-A（主用）:

SethostnameNS-A/***定义主机名***/

Setinterfaceethernet1zoneuntrust

Setinterfaceethernet1ip100.1.1.4/29

Setinterfaceethernet1route

Setinterfaceethernet2zonetrust

Setinterfaceethernet2ip192.168.1.4/29

Setinterfaceethernet2route

Setinterfacemgtip192.168.2.1/24/***通过管理口远程管理NS-A***/

/***配置接口：

Untrust/TrustLayer3路由模式***/

Setinterfaceethernet3zoneHA

Setinterfaceethernet4zoneHA

/***Eth3和Eth4口用于HA互连，用于同步配置文件、会话信息和跟踪设备状态信息***/

setnsrpclusterid1

setnsrprto-mirrorsync

setnsrpvsd-groupid0priority50/***缺省值为100，低值优先成为主用设备***/

setnsrpmonitorinterfaceethernet2

setnsrpmonitorinterfaceethernet1

/***配置NSRP：

Vsd-group缺省为0，VSI使用物理接口IP地址,非抢占模式***/

setntpno-ha-sync

NSRP中包含一种机制，用于同步NSRP集群成员的系统时钟。

尽管同步操作以秒为单位，但NTP服务器却采用次秒级的定时机制。

由于处理延迟，可能导致每个集群成员的时间相差几秒。

当两个集群成员同时启用NTP时，junipernetworks建议禁用nsrp时间同步，因为这两个成员通过NTP服务器更新各自的时钟，要禁用NSRP时钟同步功能，请输入setntpno-ha-sync.

NS-B（备用）:

SethostnameNS-B/***定义主机名***/

Setinterfaceethernet1zoneUntrust

Setinterfacemgtip192.168.2.2/24/***通过管理口远程管理NS-A***/

setnsrpvsd-groupid0priority100

/***Vsd-group缺省为0，VSI使用物理接口IP地址，备用设备：

优先级100，成为非抢占模式***/

2、Layer3FullmeshA/P组网模式

Layer3Fullmesh连接A/P组网使用全交叉网络连接模式，容许在同一设备上提供链路级冗余，发生链路故障时，由备用链路接管网络流量，防火墙间无需进行状态切换。

仅在上行或下行两条链路同时发生故障情况下，防火墙才会进行状态切换，Fullmesh连接进一步提高了业务的可靠性。

该组网模式在提供设备冗余的同时提供链路级冗余，成为很多企业部署关键业务时的最佳选择。

NS-A（Active）:

Setinterfacered1zoneUntrust/***创建冗余接口1***/

Setinterfacee1zonenull

Setinterfacee1groupred1

Setinterfacee2zonenull

Setinterfacee2groupred1

Setinterfacered1ip10.1.1.4/29

Setinterfacered2zonetrust

Setinterfacee3zonenull

Setinterfacee3groupred2

Setinterfacee4zonenull

Setinterfacee4groupred2

Setinterfacered2ip192.168.1.4/29

Setinterfaceethernet7zoneha

Setinterfaceethernet8zoneha

setnsrprto-mirrorsync/***容许会话信息自动同步***/

setnsrpvsd-groupid0priority50

Vsd-group缺省为0，VSI使用物理接口IP地址，优先级为50，非抢占模式***/

NS-B（Backup）:

Setinterfacered1zoneUntrust/***创建冗余接口***/

Setinterfacee1groupred1/***将该物理接口放置到冗余接口中***/

/***Vsd-group缺省为0，VSI使用物理接口IP地址，备用设备***/

3、Layer3Fullmesh连接A/A组网模式

Layer3Fullmesh连接A/A结构提供了一种更为灵活的组网方式，在保证网络高可靠性的同时提升了网络的可用性。

A/A结构中两台防火墙同时作为主用设备并提供互为在线备份，各自独立处理信息流量并共享连接会话信息。

一旦发生设备故障另一台设备将负责处理所有进出网络流量。

Fullmesh连接A/A组网模式对网络环境要求较高，要求网络维护人员具备较强技术能力，防火墙发生故障时，接管设备受单台设备容量限制，可能会导致会话连接信息丢失，采用A/A模式组网时，建议每台防火墙负责处理的会话连接数量不超过单台设备容量的50％，以确保故障切换时不会丢失会话连接。

定义VSD0和VSD1虚拟安全设备组（创建ClusterID时将自动创建VSD0），其中NS-A为VSD0主用设备和VSD1备用设备，NS-B为VSD1主用设备和VSD0备用设备；

创建冗余接口实现两物理接口动态冗余；

配置交换机路由指向来引导网络流量经过哪个防火墙。

NS-A（Active）：

setinterfaceredundant1zoneUntrust

setinterfaceredundant1ip100.1.1.4/29/***VSD0的VSI接口使用物理接口IP地址***/

setinterfaceethernet1groupredundant1

setinterfaceethernet2groupredundant1

setinterfaceredundant2zonetrust

setinterfaceredundant2ip192.168.1.4/29

setinterfaceredundant2manage-ip192.168.2.1

setinterfaceethernet3groupredundant2

setinterfaceethernet4groupredundant2

/***配置冗余接口、定义Vsd0接口IP地址***/

setinterfaceredundant1:

1ip100.1.1.5/29

setinterfaceredundant2:

1ip192.168.1.5/29

/***VSD1的VSI接口需手动配置IP地址，冒号后面的1表示该接口属于VSD1的VSI***/

setinterfaceethernet7zoneha

setinterfaceethernet8zoneha

setnsrpvsd-groupid1/***VSD1使用缺省配置，优先级为100***/

setnsrpmonitorinterfaceredundant1

setnsrpmonitorinterfaceredundant2

setnsrpsecondary-pathethernet2/1

/***定义NSRP备用心跳接口，保证心跳连接信息不会丢失***/

setarpalways-on-dest

/***强制采用基于ARP表而不是会话表中的MAC地址转发封包***/

setvroutertrust-vrroute0.0.0.0/0interfaceredundant1gateway100.1.1.1

setvroutertrust-vrroute0.0.0.0/0interfaceredundant1:

1gateway100.1.1.1

NS-B（Active）：

setinterfaceredundant2manage-ip192.168.2.2

setnsrpclusterid1

/***定义一致的ClusterID，自动启用采用缺省配置的VSD0***/

setnsrpvsd-groupid1priority50

/***强制采用基于ARP表而不是会话中的MAC地址转发封包***/

三、NSRP常用维护命令

1、getlicense-key

查看防火墙支持的feature，其中NSRPA/A模式包含了A/P模式，A/P模式不支持A/A模式。

Lite版本是简化版，支持设备和链路冗余切换，不支持配置和会话同步。

2、execnsrpsyncglobal-configcheck-sum

检查双机配置命令是否同步

3、execnsrpsyncglobal-configsave

如双机配置信息没有自动同步，请手动执行此同步命令，需重启系统。

4、getnsrp

查看NSRP集群中设备状态、主备关系、会话同步以及参数开关信息。

5、Execnsrpsyncrtoallfrompeer

手动执行RTO信息同步，使双机保持会话信息一致

6、execnsrpvsd-group0modebackup

手动进行主备状态切换时，在主用设备上执行该切换命令，此时该主用设备没有启用抢占模式。

7、execnsrpvsd-group0modeineligible

手动进行主备状态切换时，在主用设备上执行该切换命令，此时该主用设备已启用抢占模式。

8、getalarmevent

检查设备告警信息，其中将包含NSRP状态切换信息

四、NetscreenNSRP维护案例

案例1:

Netscreen双机升级步骤

1．使用Tftp备份两台防火墙现有配置文件和OS系统文件。

2．升级步骤为先升级备用设备后升级主用设备，如果是Active/Active模式请切换为Active/Passive模式后再升级备用设备。

用笔记本电脑连接NS-B的Console口和MGT口，通过Web界面上对NS-B进行升级，并在Console口上观察升级过程。

3．NS-B升级后将自动重启，通过Console口观察重启过程。

启动后在console上输入getsystem命令，验证升级后的版本号。

输入getlicense，验证license信息是否符合升级要求。

输入getnsrp，验证此设备处于备机状态。

4．Session信息应该自动从主机上同步到备机。

为进一步确保Session信息同步，在NS-B上执行execnsrpsynrtoallfrompeer，手工同步Session信息。

5．主备双机进行状态切换。

用笔记本接NS-A的Console口，输入execnsrpvsd-group0modebackup命令，将状态切换。

使用getnsrp命令，验证设备状态已切换完成，此时NS-A为备机，NS-B为主机。

6．在Web界面上对NS-A进行升级，在Console口上观察升级过程。

7．NS-A升级后会自动重起，在Console口上观察重起过程。

输入getlicense，验证license信息是否满足升级需求。

输入getnsrp验证此台设备为备机状态。

8．恢复原先的主备状态：

在NS-B上执行execnsrpvsd-group0modebackup命令，将状态切换。

验证设备状态已切换完成，此时NS-A为主机，NS-B为备机。

9．在设备NS-A上执行execnsrpsynvsd-group0global-