#yyds干货盘点#HCIE-Security Day17：防火墙双机热备实验：防火墙旁挂交换机，交换机静态路由引流
Posted 小梁L同学
tags:
篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了#yyds干货盘点#HCIE-Security Day17：防火墙双机热备实验：防火墙旁挂交换机，交换机静态路由引流相关的知识，希望对你有一定的参考价值。
双机热备比较常见的是旁挂部署在数据中心核心交换机上，且两台防火墙之间形成双机热备。
旁挂组网的优点
1、可以在不改变现有网络物理拓扑的情况下，将防火墙部署到网络中。
2、可以有选择低将通过核心交换机的流量引导到防火墙上，即对需要进行安全检测的流量引导到防火墙上进行处理，对不需要进行安全检测的流量直接通过交换机转发。
将流量由交换机引导到旁挂的防火墙上主要由两种常见方式：静态路由方式和策略路由方式，这一节就是通过实验验证静态路由方式。
一般核心交换机与上行路由器和下行汇聚交换机之间运行ospf，由于ospf的路由优先级高于静态路由，所以流量到达核心交换机后会根据ospf路由直接被转发到上行或者下行的设备，而不会根据静态路由被引流到防火墙上。
所以必须在核心交换机上配置vrf功能，将一台交换机虚拟成连接上行的交换机public和连接下行的交换机vrf。将两个交换机完全隔离出来，流量就会根据静态路由被送到防火墙上。
实验五：防火墙旁挂交换机，交换机静态路由引流
这个实验是比较综合的，主要的难点其实在核心交换机的配置上面，以及汇聚层stp和vrrp的配合。防火墙部分其实是比较简单的，无非是配置了两条上下行的静态路由，以及配置了vrrp和hrp。
需求和拓扑
两台FW旁挂在数据中心的核心交换机侧，保证数据中心网络安全。通过核心交换机的流量都会被引流到旁挂的FW上进行安全检测，引流的方式为静态路由方式。企业希望两台FW以主备备份方式工作。正常情况下，流量通过FW_A转发。当FW_A出现故障时，流量通过FW_B转发，保证业务不中断。
分析
如果希望通过静态路由方式将经过核心交换机的流量引导到FW，则需要在核心交换机上配置静态路由，下一跳为防火墙接口的地址。但是由于核心交换机与上行路由器和下行汇聚交换机之间运行OSPF，因此流量到达核心交换机后会直接被转发到上行或下行设备，而不会被引流到FW上。
所以如果希望通过静态路由引流，就必须在核心交换机上配置VRF功能，将一台交换机虚拟成连接上行的交换机（根交换机Public）和连接下行的交换机（虚拟交换机VRF）。由于虚拟出的两个交换机完全隔离开来，流量就会被送到FW上。即虚拟出的交换机分别和上行路由器之间运行ospf，和下行汇聚交换机之间运行ospf，但是交换机--防火墙--交换机之间运行静态路由。那么就需要在防火墙和一份为二的交换机各自配置vrrp备份组，使得它们可以通过vrrp备份组的虚拟地址进行通信。在FW上需要配置静态路由，下一跳分别为VRRP备份组3和VRRP备份组4的地址。在Public上配置静态路由，下一跳为VRRP备份组2的地址。在VRF上配置静态路由，下一跳为VRRP备份组1的地址。
对拓扑进行抽象
操作步骤
1、公网部分
1.1 接口地址配置
//r1和r2主要是对接口地址和环回口地址进行配置，保证后续路由可通
[r1]dis cu interface
interface GigabitEthernet0/0/0
ip address 12.1.1.1 255.255.255.0
interface GigabitEthernet0/0/1
ip address 1.1.1.1 255.255.255.0
interface LoopBack0
ip address 11.11.11.11 255.255.255.255
<r2>dis cu interface
interface GigabitEthernet0/0/0
ip address 12.1.1.2 255.255.255.0
interface GigabitEthernet0/0/1
ip address 2.1.1.1 255.255.255.0
interface LoopBack0
ip address 22.22.22.22 255.255.255.255
1.2 动态路由配置
<r1>dis cu con ospf
[V200R003C00]
#
ospf 1 router-id 1.1.1.1
area 0.0.0.0
network 1.1.1.1 0.0.0.0
network 11.11.11.11 0.0.0.0
network 12.1.1.1 0.0.0.0
//r2类似
2、防火墙部分
2.1 接口地址和安全区域配置
//接口地址
<f1>dis cu inter
interface GigabitEthernet1/0/0
ip address 10.0.0.1 255.255.255.0
interface GigabitEthernet1/0/1
ip address 10.1.0.1 255.255.255.0
interface GigabitEthernet1/0/6
ip address 10.10.0.1 255.255.255.0
//安全区域
dis cu con zone
firewall zone trust
add interface GigabitEthernet0/0/0
add interface GigabitEthernet1/0/0
firewall zone untrust
add interface GigabitEthernet1/0/1
firewall zone dmz
add interface GigabitEthernet1/0/6
//f2配置类似
2.2 静态路由配置
//f1
<f1>dis cu | in ip rou
2022-02-19 12:57:48.310
ip route-static 0.0.0.0 0.0.0.0 10.1.0.6
ip route-static 192.168.0.0 255.255.0.0 10.0#yyds干货盘点# HCIE-Security Day6：5个实验搞定源NAT#yyds干货盘点# HCIE-Security Day11：初步学习防火墙双机热备和VGMP概念
#yyds干货盘点#HCIE-Security Day15：防火墙双机热备实验防火墙透明接入，上下行连接交换机
#yyds干货盘点#HCIE-Security Day14：防火墙双机热备实验防火墙直路部署，上下行连接路由器