三、NSRP典型结构与配置(C)
 
3. Layer3 Fullmesh A/A组网模式:

Layer3 Fullmesh
连接A/A结构提供了一种更为灵活的组网方式,在保证网络高可靠性的同时提升了网络的可用性。A/A结构中两台防火墙同时作为主用设备并提供互为在线备份,各自独立处理信息流量并共享连接会话信息。一旦发生设备故障另一台设备将负责处理所有进出网络流量。Fullmesh连接A/A组网模式对网络环境要求较高,要求网络维护人员具备较强技术能力,防火墙发生故障时,接管设备受单台设备容量限制,可能会导致会话连接信息丢失,采用A/A模式组网时,建议每台防火墙负责处理的会话连接数量不超过单台设备容量的50%,以确保故障切换时不会丢失会话连接。
   
  配置说明:定 义VSD0VSD1虚拟安全设备组(创建Cluster ID时将自动创建VSD0),其中NS-AVSD0主用设备和VSD1备用设备,NS-BVSD1主用设备和VSD0备用设备;创建冗余接口实现两物理接口动态冗余;配置交换机路由指向来引导网络流量经过哪个防火墙。
 
NS-A(Active)
       set interface redundant1 zone Untrust
       set interface redundant1 ip 100.1.1.4/29 /***VSD0
VSI接口使用物理接口IP地址***/
       set interface ethernet1 group redundant1
       set interface ethernet2 group redundant1
       set interface redundant2 zone trust
       set interface redundant2 ip 192.168.1.4/29
       set interface redundant2 manage-ip 192.168.2.1
       set interface ethernet3 group redundant2
       set interface ethernet4 group redundant2
       /***配置
冗余接口、定义Vsd0 接口IP地址***/
       set interface redundant1:1 ip 100.1.1.5/29
       set interface redundant2:1 ip 192.168.1.5/29
       /***VSD1
VSI接口需手动配置IP地址,冒号后面的1表示该接口属于VSD1VSI***/
     set interface ethernet7 zone ha
       set interface ethernet8 zone ha
       set nsrp cluster id 1
       set nsrp vsd-group id 0 priority 50
       set nsrp vsd-group id 1 /*** VSD1
使用缺省配置,优先级为100***/
       set nsrp rto-mirror sync
       set nsrp monitor interface redundant1
       set nsrp monitor interface redundant2
       set nsrp secondary-path ethernet2/1
       /***
定义NSRP备用心跳接口,保证心跳连接信息不会丢失***/
       set arp always-on-dest
       /***
强制采用基于ARP表而不是会话表中的MAC地址转发封包***/
       set vrouter trust-vr route 0.0.0.0/0 interface redundant1 gateway 100.1.1.1
       set vrouter trust-vr route 0.0.0.0/0 interface redundant1:1 gateway 100.1.1.1

       NS-B(Active)

       set interface redundant1 zone Untrust
       set interface redundant1 ip 100.1.1.4/29 /***VSD0
VSI接口使用物理接口IP地址***/
       set interface ethernet1 group redundant1
       set interface ethernet2 group redundant1
       set interface redundant2 zone trust
       set interface redundant2 ip 192.168.1.4/29
       set interface redundant2 manage-ip 192.168.2.2
       set interface ethernet3 group redundant2
       set interface ethernet4 group redundant2
       /***配置
冗余接口、定义Vsd0 接口IP地址***/
       set interface redundant1:1 ip 100.1.1.5/29
       set interface redundant2:1 ip 192.168.1.5/29
       set interface ethernet7 zone ha
       set interface ethernet8 zone ha
       set nsrp cluster id 1
       /***
定义一致的Cluster ID,自动启用采用缺省配置VSD0***/
       set nsrp rto-mirror sync
       set nsrp vsd-group id 1 priority 50
       set nsrp monitor interface redundant1
       set nsrp monitor interface redundant2
       set nsrp secondary-path ethernet2/1
       /***
定义NSRP备用心跳接口,保证心跳连接信息不会丢失***/
       set arp always-on-dest
       /***
强制采用基于ARP表而不是会话中的MAC地址转发封包***/
       set vrouter trust-vr route 0.0.0.0/0 interface redundant1 gateway 100.1.1.1
       set vrouter trust-vr route 0.0.0.0/0 interface redundant1:1 gateway 100.1.1.1