您当前的位置:首页 > 电脑百科 > 安全防护 > 软件工具

防火墙主备切换案例分析,干货值得收藏

时间:2019-11-27 16:02:08  来源:  作者:

在规划网络时,往往需要考虑整体网络的可靠性和可用性,通常采用一些技术手段,提高整体网络的冗余能力,避免出现单点故障。今天通过分享一个核心交换机不做堆叠的情况下防火墙热备的案例。

拓扑图

防火墙主备切换案例分析,干货值得收藏

 

设计思路

  1. 为了节约公网IP地址所以在防火墙接口上面配置IP地址为内网地址,同时将公网IP地址设置成为VRRP组中的虚拟地址。
  2. 在防火墙A和防火墙B上使用单链路做聚合,配置好IP地址加入到HRP安全域中并指为HRP心跳检测端口。
  3. 核心交换机A和核心交换机B使用多链路做聚合,再将聚合端口配置为trunk属性透传业务VLAN,在核心交换机A上配置业务VLAN网关并为VRRP组中的master。在核心交换机B上配置VLAN的网关并作为VRRP组中的slav。同时交换机上的DHCP分配都采用全局地址池方式并指定虚拟IP地址为业务网关。
  4. 正常情况下流量由核心交换机A和防火墙A处理,当防火墙故障或者核心交换机故障都会戳发主备切换。
  5. 防火墙A上通过配置IP-link监控外网链路或者短裤状态同时与HRP主备进行联动(防火墙上的业务端口down了或者失效的情况触发HRP主备切换)
  6. 核心交换机A上通过配置VRRP组与上行端口进行联动(一旦与防火墙互联的端口down掉或者失效将会戳发vrrp主备切换)。

主备切换测试

正常的情况下流量走向

防火墙主备切换案例分析,干货值得收藏

 

可以通过在PC2和PC3上进行tracert,验证流量的走向。如下图

防火墙主备切换案例分析,干货值得收藏

 

主防火墙故障情况

这里通过把防火墙A关机模拟主防火墙故障

内网一台主机ping外网的测试(掉了几个包,真实情况收敛速度会快点) 备防火墙替代主防火墙的业务,快速会话同步。

防火墙主备切换案例分析,干货值得收藏

 

在防火墙B上的HRP状态,通过执行display hrp state命令,如下图

防火墙主备切换案例分析,干货值得收藏

 

此时防火墙上B的会话表情况,如下

防火墙主备切换案例分析,干货值得收藏

 

此时核心交换机的情况

防火墙主备切换案例分析,干货值得收藏

 

通过上图可以看到核心交换机A的VRRP组成为了备份状态,那么核心交换机B上的VRRP主成为了master状态。为什么会出现这种情况呢?

这是由于配置了VRRP联动,当防火墙A上的GE0/0/1端口出现故障,会触发下游的核心交换机进行主备切换,核心交换机A关键配置如下:

interface Vlanif3
 ip address 192.168.3.1 255.255.255.0
 vrrp vrid 3 virtual-ip 192.168.3.254
 vrrp vrid 3 priority 120
 vrrp vrid 3 track interface GigabitEthernet0/0/1 reduced 30
 dhcp select global
interface Vlanif4
 ip address 192.168.4.1 255.255.255.0
 vrrp vrid 4 virtual-ip 192.168.4.254
 vrrp vrid 4 priority 120
 vrrp vrid 4 track interface GigabitEthernet0/0/1 reduced 30
 dhcp select global

此时的流量走向

防火墙主备切换案例分析,干货值得收藏

 

防火墙上行链路故障情况

通过把防火墙A的GE0/0/0进行shutdown来模拟故障。当GE0/0/0故障也触发了主备切换。

此时的流量走向

防火墙主备切换案例分析,干货值得收藏

 

由于防火墙A上把vrrp1和vrrp2加入了master的VGMP组,当其中一个vrrp进行了主备切换,整个master的VRRP都会进行切换。

防火墙上A的关键配置

interface GigabitEthernet0/0/1
 ip address 10.0.0.2 255.255.255.0
 vrrp vrid 2 virtual-ip 10.0.0.254 master
 vrrp virtual-mac enable
interface GigabitEthernet0/0/3
 ip address 172.31.0.1 255.255.255.0
 vrrp vrid 1 virtual-ip 222.222.222.2 255.255.255.0 master
 vrrp virtual-mac enable

以上就是核心交换机不做堆叠的情况下防火墙热备的案例的讲解,感谢的小伙伴们,可以转发关注,获取网络拓扑和全部的配置。



Tags:防火墙   点击:()  评论:()
声明:本站部分内容及图片来自互联网,转载是出于传递更多信息之目的,内容观点仅代表作者本人,如有任何标注错误或版权侵犯请与我们联系(Email:2595517585@qq.com),我们将及时更正、删除,谢谢。
▌相关推荐
一、背景介绍大家在Linux的日常使用中都晓得如何通过命令行去配置Linux的端口开放规则,但是大家知道如何配置Windows入站出站规则吗?有哪些常见的危险端口呢?如何解决上述问题...【详细内容】
2021-12-01  Tags: 防火墙  点击:(30)  评论:(0)  加入收藏
一、背景介绍大家在Linux的日常使用中都晓得如何通过命令行去配置Linux的端口开放规则,但是大家知道如何配置Windows入站出站规则吗?有哪些常见的危险端口呢?如何解决上述问题...【详细内容】
2021-11-15  Tags: 防火墙  点击:(39)  评论:(0)  加入收藏
介绍其实Iptables服务不是真正的防火墙,只是用来定义防火墙规则功能的"防火墙管理工具",将定义好的规则交由内核中的netfilter即网络过滤器来读取,从而真正实现防火墙功能。fil...【详细内容】
2021-10-18  Tags: 防火墙  点击:(52)  评论:(0)  加入收藏
waf拦截在打某市 Hvv 第一天就找到一个文件上传的点,经过测试,可以直接任意文件上传,没有什么道理。 直接尝试上传 Php 文件,被 waf 拦截了 2021最新整理网络安全/渗透测试/安...【详细内容】
2021-10-11  Tags: 防火墙  点击:(56)  评论:(0)  加入收藏
防火墙一般布置在逻辑区域的入口处,位于三层网络架构的核心和汇聚之间,起到隔离逻辑区域,为逻辑区域创建安全策略的作用。 上面就是应用区的防火墙布置方式,他布置在应用区,可以...【详细内容】
2021-09-03  Tags: 防火墙  点击:(109)  评论:(0)  加入收藏
从实现原理上分,防火墙的技术包括四大类:网络级防火墙、应用级网关、电路级网关和规则检查防火墙。1、网络级防火墙一般是基于源地址和目的地址、应用、协议以及每个IP包的端...【详细内容】
2021-07-20  Tags: 防火墙  点击:(225)  评论:(0)  加入收藏
防火墙是网络和万维网之间的关系,位于网络的入口和出口。它评估网络流量,只允许某些流量进出。防火墙分析网络数据包头,包括关于进出网络流量的信息。然后,根据防火墙配置的策略...【详细内容】
2021-06-22  Tags: 防火墙  点击:(101)  评论:(0)  加入收藏
Windows防火墙是Windows操作系统的组成部分,它管理流经计算机网络端口的流量,以确保未被注意的数据包不会进入计算机并确保其安全。它还负责打开和关闭或侦听网络端口。Window...【详细内容】
2021-04-30  Tags: 防火墙  点击:(215)  评论:(0)  加入收藏
随着越来越多的企业陆续上云,并通过云平台为用户提供服务,云端的 Web 应用程序防火墙(WAF)服务开始逐渐变得流行起来。面对与传统部署截然不同的环境和新的安全威胁,云端 WAF 服...【详细内容】
2021-04-25  Tags: 防火墙  点击:(246)  评论:(0)  加入收藏
为什么要关闭防火墙防火墙对电脑的安全起着重要的保护作用,为什么这一节小课堂会教你如何关闭防火墙呢?因为防火墙在电脑与其他电脑通信的时候会起到保护作用,但是在我们进行一...【详细内容】
2021-03-19  Tags: 防火墙  点击:(200)  评论:(0)  加入收藏
▌简易百科推荐
已经观察到一种新的基于JavaScript的远程访问木马(RAT)利用社会工程学传播,采用隐蔽的"无文件"技术作为其逃避检测和分析的方法。该恶意软件由Prevalyion的对抗性反情报团队(PA...【详细内容】
2021-12-17  网安老葫    Tags:恶意软件   点击:(13)  评论:(0)  加入收藏
关于windows Defender防病毒的问题升级win10后,我们会经常遇到打开或下载文件时弹出提示框提示你下载的文件是病毒之类,直接给你删除。你好不容易找了个激活工具,你刚打开发现...【详细内容】
2021-11-08  IT小哥吧    Tags:defender   点击:(47)  评论:(0)  加入收藏
喽!大家好,我是小易,欢迎来到我的知识分享站!今天给大家分享5个杀毒神器,让你的电脑干干净净,建议收藏起来哟! 1、Windows Defender随着Win10系统的更新已经日趋完善,它可以很好的解...【详细内容】
2021-11-08  知识与技能    Tags:流氓软件   点击:(74)  评论:(0)  加入收藏
介绍其实Iptables服务不是真正的防火墙,只是用来定义防火墙规则功能的"防火墙管理工具",将定义好的规则交由内核中的netfilter即网络过滤器来读取,从而真正实现防火墙功能。fil...【详细内容】
2021-10-18  互联网IT技术全栈    Tags:   点击:(52)  评论:(0)  加入收藏
什么是Nessus?Nessus 是目前全世界最多人使用的系统漏洞扫描与分析软件。总共有超过75,000个机构使用Nessus 作为扫描该机构电脑系统的软件步骤如下:查看当前kali系统内核版本...【详细内容】
2021-09-09  TestGO    Tags:Nessus   点击:(112)  评论:(0)  加入收藏
http 头部信息http头部信息经常包含着主机服务的一些版本信息,经常使用的字段信息有:Server, X-Powered-By, X-AspNet-Version工具可采用curl进行curl --location --head $URL...【详细内容】
2021-08-19  80后IT老民工    Tags:渗透   点击:(227)  评论:(0)  加入收藏
一、杀软常见的三种方式二、免杀的三种常用方式三、利用工具实现免杀1、veil工具基础实现免杀+进阶2、venom免杀3、利用kali自带的shellter进行免杀4、利用avet实现免杀四、...【详细内容】
2021-08-18  白帽hacker淬炼    Tags:免杀   点击:(82)  评论:(0)  加入收藏
关于工具现有工具现在,现成的污点分析工具已经有很多了。其中,我最感兴趣的是Triton和bincat,因为两者已经相当成熟。然而,我们却无法使用这两种工具,因为它们不支持目标设备所...【详细内容】
2021-08-12  Hbo涵    Tags:安全漏洞   点击:(94)  评论:(0)  加入收藏
从实现原理上分,防火墙的技术包括四大类:网络级防火墙、应用级网关、电路级网关和规则检查防火墙。1、网络级防火墙一般是基于源地址和目的地址、应用、协议以及每个IP包的端...【详细内容】
2021-07-20  趣谈文化  搜狐号  Tags:防火墙   点击:(225)  评论:(0)  加入收藏
一、VMware部分1、Vmware简介虚拟机就是一个用来模拟真实的物理机环境的一个软件,可以在虚拟机中安装不同版本的操作系统。就是一个把下载好的ISO安装在物理机操作系统的一个...【详细内容】
2021-07-12  Kali与编程  公众号  Tags:Kali Linux   点击:(113)  评论:(0)  加入收藏
最新更新
栏目热门
栏目头条