Juniper实现HA

a13698822086

　　NSRP（NetScreen Redundant Protocol）是Juniper公司基于VRRP协议规范自行开发的设备冗余协议。
　　Active/Passive模式：通过对一个冗余集群中的两台安全设备进行电缆连接和配置，使其中一台设备作为主用设备，另一台作为备用设备。主用设备负责处理所有网络信息流，备用设备处于在线备份状态。主设备将其网络和配置命令及当前会话信息传播到备用设备，备用设备始终保持与主用设备配置信息和会话连接信息的同步，并跟踪主用设备状态，一旦主设备出现故障，备份设备将在极短时间内晋升为主设备并接管信息流处理。
　　Active/Passive模式也就是主/备模式，该组网模式是当前很多企业广泛采用的HA模式，该模式具有对网络环境要求不高，无需网络结构做较大调整，具有较好冗余性、便于管理维护等优点。缺点是Netscreen防火墙利用率不高，同一时间只有一台防火墙处理网络流量；冗余程度有限，仅在一侧链路和设备出现故障时提供冗余切换。但主/备模式具有较强冗余性、低端口成本和网络结构简单、便于维护管理等角度考虑，成为很多企业选用该组网模式的标准。
　　配置说明：两台Netscreen设备采用相同硬件型号和软件版本，组成Active/Passive冗余模式，两台防火墙均使用一致的Ethernet接口编号连接到网络。通过双Ethernet端口或将1个Ethernet接口放入HA区段，其中控制链路用于NSRP心跳信息、配置信息和Session会话同步，数据链路用于在两防火墙间必要时传输数据流量。
　　拓扑图：

　　命令模式配置说明如下：
　　
　　第一台Netscreen防火墙
　　set hostname fw-1定义主机名
　　set interface "ethernet1" zone "Trust"
　　set interface "ethernet2" zone "DMZ"
　　set interface "ethernet3" zone "Untrust"
　　set interface "ethernet4" zone "HA"Eth4口用于HA互连，用于同步配置文件、会话信息和跟踪设备状态信息
　　unset interface vlan1 ip
　　set interface ethernet1 ip 192.168.1.254/24端口配置IP
　　set interface ethernet1 route配置接口路由模式
　　set interface ethernet3 ip 192.168.2.254/24端口配置IP
　　set interface ethernet3 route配置接口路由模式
　　
　　set interface ethernet1 ip manageable设置能够IP管理
　　set interface ethernet3 ip manageable设置能够IP管理
　　set nsrp cluster>
　　set nsrp vsd-group>
　　set nsrp monitor interface ethernet1配置NSRP监控端口,非抢占模式
　　set nsrp monitor interface ethernet3配置NSRP监控端口,非抢占模式
　　exit
　　set policy>
　　set policy>
　　
　　第二台Netscreen防火墙
　　
　　set hostname fw-2定义主机名
　　set interface "ethernet1" zone "Trust"
　　set interface "ethernet2" zone "DMZ"
　　set interface "ethernet3" zone "Untrust"
　　set interface "ethernet4" zone "HA"Eth4口用于HA互连，用于同步配置文件、会话信息和跟踪设备状态信息
　　unset interface vlan1 ip
　　set interface ethernet1 ip 192.168.1.254/24端口配置IP
　　set interface ethernet1 route配置接口路由模式
　　set interface ethernet3 ip 192.168.2.254/24端口配置IP
　　set interface ethernet3 route配置接口路由模式
　　set interface ethernet1 ip manageable设置能够IP管理
　　set interface ethernet3 ip manageable设置能够IP管理
　　set nsrp cluster>
　　set nsrp vsd-group>
　　set nsrp monitor interface ethernet1配置NSRP监控端口,非抢占模式
　　set nsrp monitor interface ethernet3配置NSRP监控端口,非抢占模式
　　
　　
　　set policy>
　　set policy>
　　
　　测试
　　
　　将fw-1的eth3线路拔掉时
　　
　　fw-1(I)->get nsrp
　　nsrp version: 2.0
　　
　　cluster info:
　　cluster>
　　local unit>
　　active units discovered:
　　index: 0, unit>
　　total number of units: 2
　　
　　VSD group info:
　　init hold time: 5
　　heartbeat lost threshold: 3
　　heartbeat interval: 1000(ms)
　　master always exist: disabled
　　group priority preempt holddown inelig   master       PB other members
　　0       50 no             3 no      4220080     none myself(inoperable)
　　total number of vsd groups: 1
　　Total iteration=3164,time=41762278,max=71948,min=5015,average=13199
　　
　　RTO mirror info:
　　run time object sync:disabled
　　ping session sync: enabled
　　coldstart sync done
　　
　　nsrp link info:
　　control   channel: ethernet4 (ifnum: 7)  mac: 0019e24067d7 state: up
　　ha data link not available
　　ha secondary path link not available
　　
　　NSRP encryption: disabled
　　NSRP authentication: disabled
　　device based nsrp monitoring threshold: 255, weighted sum: 255, failed
　　device based nsrp monitor interface: ethernet1(weight 255, UP) ethernet3(weight 255, DOWN)
　　device based nsrp monitor zone:
　　device based nsrp track ip: (weight: 255, disabled)
　　number of gratuitous arps: 4 (default)
　　config sync: enabled
　　
　　他很快就会转化为初始化状态，而fw-2会迅速成为主设备，网络通信会正常。