Juniper 防火墙JSRP高可用性HA(High Availability) chassis cluster双击冗余
程序员秘密 程序员秘密，程序员的秘密你知道吗
首页 / 联系我们 / 版权申明 / 隐私条款
NETSCREEN NSRP典型配置及维护_weixin_33688840的博客-程序员秘密
NETSCREEN NSRP典型配置及维护
一、NSRP工作原理
NSRP（NetScreen Redundant Protocol）是Juniper公司基于VRRP协议规范自行开发的设备冗余协议。防火墙作为企业核心网络中的关键设备，需要为所有进出网络的信息流提供安全保护，为满足客户不间断业务访问需求，要求防火墙设备必须具备高可靠性，能够在设备、链路及互连设备出现故障的情况下，提供网络访问路径无缝切换。NSRP冗余协议提供复杂网络环境下的冗余路径保护机制。NSRP主要功能有：1、在高可用群组成员之间同步配置信息；2、提供活动会话同步功能，以保证发生路径切换情况下不会中断网络连接；3、采用高效的故障切换算法，能够在短短几秒内迅速完成故障检测和状态切换。
NSRP集群两种工作模式：
一、 Active/Passive模式：通过对一个冗余集群中的两台安全设备进行电缆连接和配置，使其中一台设备作为主用设备，另一台作为备用设备。主用设备负责处理所有网络信息流，备用设备处于在线备份状态。主设备将其网络和配置命令及当前会话信息传播到备用设备，备用设备始终保持与主用设备配置信息和会话连接信息的同步，并跟踪主用设备状态，一旦主设备出现故障，备份设备将在极短时间内晋升为主设备并接管信息流处理。
二、 Active/Active模式：在NSRP中创建两个虚拟安全设备 (VSD) 组，每个组都具有自己的虚拟安全接口(VSI)，通过 VSI接口与网络进行通信。设备A充当VSD组1的主设备和VSD 组2的备份设备。设备B充当VSD组2的主设备和VSD组1的备份设备。 Active/Active模式中两台防火墙同时进行信息流的处理并彼此互为备份。在双主动模式中不存在任何单一故障点。如下图所示，通过调整防火墙上下行路由/交换设备到网络的路由指向，HostA通过左侧路径访问ServerA，HostB通过右侧路径访问ServerB，网络中任一设备或链路出现故障时，NSRP集群均能够做出正确的路径切换。
NSRP集群技术优势主要体现于：
1、消除防火墙及前后端设备单点故障，提供网络高可靠性。即使在骨干网络中两类核心设备同时出现故障，也能够保证业务安全可靠运行。
2、根据客户网络环境和业务可靠性需要，提供灵活多样的可靠组网方式。NSRP双机集群能够提供1、Active-Passive模式Layer2/3多虚拟路由器多虚拟系统和口型/交叉型组网方式；2、Active-Active模式Layer2/3多虚拟路由器多虚拟系统和口型/Fullmesh交叉型组网方式。为用户提供灵活的组网选择。
3、 NSRP双机结构便于网络维护管理，通过将流量在双机间的灵活切换，在防火墙软件升级、前后端网络结构优化改造及故障排查时，双机结构均能够保证业务的不间断运行。
4、结合 Netscreen虚拟系统和虚拟路由器技术，部署一对NSRP集群防火墙，可以为企业更多的应用提供灵活可靠的安全防护，减少企业防火墙部署数量和维护成本。
二、NSRP典型结构与配置
1、Layer3 口型A/P组网模式
Layer3 口型 A/P组网模式是当前很多企业广泛采用的HA模式，该模式具有对网络环境要求不高，无需网络结构做较大调整，具有较好冗余性、便于管理维护等优点。缺点是Netscreen防火墙利用率不高，同一时间只有一台防火墙处理网络流量；冗余程度有限，仅在一侧链路和设备出现故障时提供冗余切换。Layer3 口型组网A/P模式具有较强冗余性、低端口成本和网络结构简单、便于维护管理等角度考虑，成为很多企业选用该组网模式的标准。
配置说明：两台 Netscreen设备采用相同硬件型号和软件版本，组成Active/Passive冗余模式，两台防火墙均使用一致的Ethernet接口编号连接到网络。通过双HA端口或将2Ethernet接口放入HA区段，其中控制链路用于NSRP心跳信息、配置信息和Session会话同步，数据链路用于在两防火墙间必要时传输数据流量。
NS-A （主用）:
Set hostname NS-A /***定义主机名 ***/
Set interface ethernet1 zone untrust
Set interface ethernet1 ip 100.1.1.4/29
Set interface ethernet1 route
Set interface ethernet2 zone trust
Set interface ethernet2 ip 192.168.1.4/29
Set interface ethernet2 route
Set interface mgt ip 192.168.2.1/24 /***通过管理口远程管理 NS-A***/
/***配置接口： Untrust/Trust Layer3 路由模式***/
Set interface ethernet3 zone HA
Set interface ethernet4 zone HA
/***Eth3和 Eth4口用于HA互连，用于同步配置文件、会话信息和跟踪设备状态信息***/
set nsrp cluster id 1
set nsrp rto-mirror sync
set nsrp vsd-group id 0 priority 50 /***缺省值为100，低值优先成为主用设备***/
set nsrp monitor interface ethernet2
set nsrp monitor interface ethernet1
/***配置 NSRP：Vsd-group缺省为0，VSI使用物理接口IP地址,非抢占模式***/
NS-B （备用）:
Set hostname NS-B /***定义主机名 ***/
Set interface ethernet1 zone Untrust
Set interface ethernet1 ip 100.1.1.4/29
Set interface ethernet1 route
Set interface ethernet2 zone trust
Set interface ethernet2 ip 192.168.1.4/29
Set interface ethernet2 route
Set interface mgt ip 192.168.2.2/24 /***通过管理口远程管理 NS-A***/
/***配置接口： Untrust/Trust Layer3 路由模式***/
Set interface ethernet3 zone HA
Set interface ethernet4 zone HA
/***Eth3和 Eth4口用于HA互连，用于同步配置文件、会话信息和跟踪设备状态信息***/
set nsrp cluster id 1
set nsrp rto-mirror sync
set nsrp vsd-group id 0 priority 100
set nsrp monitor interface ethernet2
set nsrp monitor interface ethernet1
/***Vsd-group缺省为 0，VSI使用物理接口IP地址，备用设备：优先级100，成为非抢占模式***/
2、Layer3 Fullmesh A/P组网模式
Layer3 Fullmesh连接A/P组网使用全交叉网络连接模式，容许在同一设备上提供链路级冗余，发生链路故障时，由备用链路接管网络流量，防火墙间无需进行状态切换。仅在上行或下行两条链路同时发生故障情况下，防火墙才会进行状态切换，Fullmesh连接进一步提高了业务的可靠性。该组网模式在提供设备冗余的同时提供链路级冗余，成为很多企业部署关键业务时的最佳选择。
NS-A （ Active ）:
Set hostname NS-A /***定义主机名 ***/
Set interface mgt ip 192.168.2.1/24 /***通过管理口远程管理 NS-A***/
Set interface red1 zone Untrust /***创建冗余接口 1***/
Set interface e1 zone null
Set interface e1 group red1
Set interface e2 zone null
Set interface e2 group red1
Set interface red1 ip 10.1.1.4/29
Set interface red2 zone trust
Set interface e3 zone null
Set interface e3 group red2
Set interface e4 zone null
Set interface e4 group red2
Set interface red2 ip 192.168.1.4/29
/***配置接口： Untrust/Trust Layer3 路由模式***/
Set interface ethernet7 zone ha
Set interface ethernet8 zone ha
set nsrp cluster id 1
set nsrp rto-mirror sync /***容许会话信息自动同步***/
set nsrp vsd-group id 0 priority 50
set nsrp monitor interface ethernet2
set nsrp monitor interface ethernet1
/***配置 NSRP：Vsd-group缺省为0，VSI使用物理接口IP地址，优先级为50，非抢占模式***/
NS-B （ Backup ）:
Set hostname NS-B /***定义主机名 ***/
Set interface mgt ip 192.168.2.2/24 /***通过管理口远程管理 NS-A***/
Set interface red1 zone Untrust /***创建冗余接口 ***/
Set interface e1 zone null
Set interface e1 group red1 /***将该物理接口放置到冗余接口中 ***/
Set interface e2 zone null
Set interface e2 group red1
Set interface red1 ip 10.1.1.4/29
Set interface red2 zone trust
Set interface e3 zone null
Set interface e3 group red2
Set interface e4 zone null
Set interface e4 group red2
Set interface red2 ip 192.168.1.4/29
/***配置接口： Untrust/Trust Layer3 路由模式***/
Set interface ethernet7 zone ha
Set interface ethernet8 zone ha
set nsrp cluster id 1
set nsrp rto-mirror sync /***容许会话信息自动同步 ***/
set nsrp vsd-group id 0 priority 100
set nsrp monitor interface ethernet2
set nsrp monitor interface ethernet1
/***Vsd-group缺省为 0，VSI使用物理接口IP地址，备用设备***/
3、Layer3 Fullmesh连接A/A组网模式
Layer3 Fullmesh连接 A/A结构提供了一种更为灵活的组网方式，在保证网络高可靠性的同时提升了网络的可用性。A/A结构中两台防火墙同时作为主用设备并提供互为在线备份，各自独立处理信息流量并共享连接会话信息。一旦发生设备故障另一台设备将负责处理所有进出网络流量。Fullmesh连接 A/A组网模式对网络环境要求较高，要求网络维护人员具备较强技术能力，防火墙发生故障时，接管设备受单台设备容量限制，可能会导致会话连接信息丢失，采用 A/A模式组网时，建议每台防火墙负责处理的会话连接数量不超过单台设备容量的50％，以确保故障切换时不会丢失会话连接。
配置说明：定义 VSD0和VSD1虚拟安全设备组(创建Cluster ID时将自动创建VSD0)，其中NS-A为VSD0主用设备和VSD1备用设备，NS-B为VSD1主用设备和VSD0备用设备；创建冗余接口实现两物理接口动态冗余；配置交换机路由指向来引导网络流量经过哪个防火墙。
NS-A(Active) ：
set interface redundant1 zone Untrust
set interface redundant1 ip 100.1.1.4/29 /***VSD0的VSI接口使用物理接口IP地址***/
set interface ethernet1 group redundant1
set interface ethernet2 group redundant1
set interface redundant2 zone trust
set interface redundant2 ip 192.168.1.4/29
set interface redundant2 manage-ip 192.168.2.1
set interface ethernet3 group redundant2
set interface ethernet4 group redundant2
/***配置冗余接口、定义 Vsd0 接口IP地址***/
set interface redundant1:1 ip 100.1.1.5/29
set interface redundant2:1 ip 192.168.1.5/29
/***VSD1的VSI接口需手动配置IP地址，冒号后面的1表示该接口属于VSD1的VSI***/
set interface ethernet7 zone ha
set interface ethernet8 zone ha
set nsrp cluster id 1
set nsrp vsd-group id 0 priority 50
set nsrp vsd-group id 1 /*** VSD1使用缺省配置，优先级为100***/
set nsrp rto-mirror sync
set nsrp monitor interface redundant1
set nsrp monitor interface redundant2
set nsrp secondary-path ethernet2/1
/***定义NSRP备用心跳接口，保证心跳连接信息不会丢失***/
set arp always-on-dest
/***强制采用基于ARP表而不是会话表中的MAC地址转发封包***/
set vrouter trust-vr route 0.0.0.0/0 interface redundant1 gateway 100.1.1.1
set vrouter trust-vr route 0.0.0.0/0 interface redundant1:1 gateway 100.1.1.1
NS-B(Active) ：
set interface redundant1 zone Untrust
set interface redundant1 ip 100.1.1.4/29 /***VSD0的VSI接口使用物理接口IP地址***/
set interface ethernet1 group redundant1
set interface ethernet2 group redundant1
set interface redundant2 zone trust
set interface redundant2 ip 192.168.1.4/29
set interface redundant2 manage-ip 192.168.2.2
set interface ethernet3 group redundant2
set interface ethernet4 group redundant2
/***配置冗余接口、定义 Vsd0 接口IP地址***/
set interface redundant1:1 ip 100.1.1.5/29
set interface redundant2:1 ip 192.168.1.5/29
set interface ethernet7 zone ha
set interface ethernet8 zone ha
set nsrp cluster id 1
/***定义一致的Cluster ID，自动启用采用缺省配置的VSD0***/
set nsrp rto-mirror sync
set nsrp vsd-group id 1 priority 50
set nsrp monitor interface redundant1
set nsrp monitor interface redundant2
set nsrp secondary-path ethernet2/1
/***定义NSRP备用心跳接口，保证心跳连接信息不会丢失***/
set arp always-on-dest
/***强制采用基于ARP表而不是会话中的MAC地址转发封包***/
set vrouter trust-vr route 0.0.0.0/0 interface redundant1 gateway 100.1.1.1
set vrouter trust-vr route 0.0.0.0/0 interface redundant1:1 gateway 100.1.1.1
三、NSRP常用维护命令
1、get license-key
查看防火墙支持的 feature，其中NSRPA/A模式包含了A/P模式，A/P模式不支持A/A模式。Lite版本是简化版，支持设备和链路冗余切换，不支持配置和会话同步。
2、exec nsrp sync global-config check-sum
检查双机配置命令是否同步
3、exec nsrp sync global-config save
如双机配置信息没有自动同步，请手动执行此同步命令，需重启系统。
4、 get nsrp
查看 NSRP集群中设备状态、主备关系、会话同步以及参数开关信息。
5、Exec nsrp sync rto all from peer
手动执行 RTO信息同步，使双机保持会话信息一致
6、exec nsrp vsd-group 0 mode backup
手动进行主备状态切换时，在主用设备上执行该切换命令，此时该主用设备没有启用抢占模式。
7、exec nsrp vsd-group 0 mode ineligible
手动进行主备状态切换时，在主用设备上执行该切换命令，此时该主用设备已启用抢占模式。
8、 get alarm event
检查设备告警信息，其中将包含 NSRP状态切换信息
四、Netscreen NSRP维护案例
案例1: Netscreen双机升级步骤
1．使用Tftp备份两台防火墙现有配置文件和OS系统文件。
2．升级步骤为先升级备用设备后升级主用设备，如果是Active/Active模式请切换为Active/Passive模式后再升级备用设备。用笔记本电脑连接NS-B的Console口和MGT口，通过Web界面上对NS-B进行升级，并在Console口上观察升级过程。
3．NS-B升级后将自动重启，通过Console口观察重启过程。启动后在console上输入get system命令，验证升级后的版本号。输入get license，验证license信息是否符合升级要求。输入get nsrp，验证此设备处于备机状态。
4．Session信息应该自动从主机上同步到备机。为进一步确保Session信息同步，在NS-B上执行exec nsrp syn rto all from peer，手工同步Session信息。
5．主备双机进行状态切换。用笔记本接NS-A的Console口，输入exec nsrp vsd-group 0 mode backup命令，将状态切换。使用get nsrp命令，验证设备状态已切换完成，此时NS-A为备机，NS-B为主机。
6．在Web界面上对NS-A进行升级，在Console口上观察升级过程。
7．NS-A升级后会自动重起，在Console口上观察重起过程。启动后在console上输入get system命令，验证升级后的版本号。输入get license，验证license信息是否满足升级需求。输入get nsrp验证此台设备为备机状态。
8．恢复原先的主备状态：在NS-B上执行exec nsrp vsd-group 0 mode backup命令，将状态切换。验证设备状态已切换完成，此时NS-A为主机，NS-B为备机。
9．在设备NS-A上执行exec nsrp syn vsd-group 0 global-config checksum，验证两台设备的配置同步。如双机配置文件没有同步，请执行exec nsrp syn vsd-group 0 global-config save 手动进行配置同步。
10．观察两台防火墙的日志，验证是否存在异常告警信息。
案例2：快速配置NSRP集群备用设备
Netscreen提供快速配置NSRP集群中备用设备的方法，适用于创建NSRP集群双机配置和备用设备出现故障时用备件进行替换。
1、清空备机配置命令
Unset all
"Erase all system config, are you sure y / [n]?" Y
Reset
"Configuration modified, save? [y] / n" N
"System reset, are you sure? y / [n]" Y
2、系统重新启动后配置命令
Set hostname xxxxxx
Set interface mgt ip x.x.x.x/x
Set nsrp cluster id 1
Exec nsrp sync file
Exec nsrp sync global-config run
/***适应于5.1以上版本，5.0中使用Exec nsrp sync global-config save命令，需要重启设备***/
Set nsrp rto-mirror sync
Save all
3、检查设备状态
Nsrp：get nsrp
接口：Get interface
路由：get route
会话：get session
附录一 NSRP 缺省设置值
VSD 组信息
l VSD group ID: 0
l Device priority in the VSD group: 100
l Preempt option: disable
l Preempt hold-down time: 0 second
l Initial state hold-down time: 5 second
l Heartbeat interval: 1000 milliseconds
l Lost heartbeat threshold: 3
l Master (Primary) always exist: no
RTO 镜像信息
l RTO synchronization: disable
l Heartbeat interval: 4 second
l Lost heartbeat threshold: 16
NSRP 链接信息
l Number of gratuitous ARPs: 4
l NSRP encryption: disable
l NSRP authentication: disable
l Track IP: none
l Interfaces monitored: none
l Secondary path: none
l HA link probe: none
l Interval: 15
l Threshold: 5
附高可用规划拓扑
该方案可以使用的产品： Juniper SRX系列防火墙（Juniper SRX系列防火墙均支持双机高可用性，无需许可） SRX300-345属Branch分支系列，适用于200人以内的环境 SRX550M适用大型分支，适用于500人以内环境 SRX1500适用于入门型数据中心设备 SRX4000及以上设备适用于中型及大型数据中心 Juniper EX系列企业交换机 Juniper QFX数据中心级交换机系列 Juniper VSRX虚拟防火墙（用于私有云及公有云环境） 本方案中采用2台Juniper EX系列交换机，构建企业核心交换网络。EX系列交换机可以多台（至少2台）组建成一个VC（虚拟机箱），即逻辑上变为一台设备，可以实现跨交换机聚合，管理和业务层的冗余容错，当任意一台设备故障或进行设备维护时，均不会造成业务中断。 再来看一下边缘，边缘是企业对外交流的窗口，非常重要。不仅要考虑设备本身的故障问题，还要考虑设备的功能和扩展性方面，是否能够满足基本安全和更多的安全功能扩展。本方案中采用2台Juniper SRX系列防火墙，以HA（高可用性）模式部署。Juniper SRX的HA使用Juniper的私有JSRP协议，支持双活和主备2种模式，调整灵活，即可解决单点故障带来的风险，也可在来不及升级设备容量时，临时将处理能力翻倍。 该场景下，实现了核心和边缘的冗余，去除了设备单点故障带来的影响
Juniper 防火墙JSRP高可用性HA(High Availability) chassis cluster双击冗余相关推荐
- Nsrp实现juniper防火墙的高可用性【HA】！
1.实验拓扑图: 2.ip规划: eth1 :192.168.101.68/24 eth3 : 192.168.100.10/24 3.设备描述: trust区域使用的交换机为神州数码DCS-395 ...
- 高可用性HA（High Availability）双机热备
对于日益承担企事业单位核心业务的NT网络来说,数据的高可用性和系统的连续运转能力极其重要,服务器是企事业单位存放数据的重要设备,如果一旦因为服务器的故障而无法正常运转,就会造成业务停顿,导致不可挽回的 ...
- HA(High Availability高可用性)
简介 HA(High Availability高可用性)这里指的是hadoop的高可用机制,设计之初就是为了解决单节点故障问题. HDFS(Hadoop分布式文件系统)中NameNode只有一个,当这 ...
- Juniper 防火墙简明配置手册
Juniper SRX防火墙简明配置手册 SRX系列防火墙是Juniper公司基于JUNOS操作系统的安全系列产品,JUNOS集成了路由.交换.安全性和一系列丰富的网络服务.目前Juniper公司的 ...
- Juniper SRX JSRP 配置文档
请访问原文链接:https://sysin.org/blog/juniper-srx-jsrp-config/,查看最新版.原创作品,转载请保留出处. 作者:gc(at)sysin.org,主页:ww ...
- 集群（cluster）amp;高可用性(HA)概念
1.1 什么是集群 简单的说,集群(cluster)就是一组计算机,它们作为一个整体向用户提供一组网络资源.这些单个的计算机系统就是集群的节点(node).一个理想的集群是,用户从来不会意识到 ...
- Juniper防火墙备份与恢复处理方法
为防止Juniper防火墙设备故障情况下造成网络中断,保障用户业务不间断运行,现针对Juniper防火墙故障情况下的快速恢复做具体描述. 一.设备重启动:Juniper防火墙在工作期间出现运行异常 ...
- 让“云”无处不在-Citrix Xenserver之六 高可用性： High Availability
让"云"无处不在-Citrix Xenserver 六.高可用性: High Availability 马博峰 2011年8月 -------------------------- ...
- 教程篇(7.0) 07. FortiGate基础架构 高可用性(HA) ❀ Fortinet 网络安全专家 NSE 4
在本课中,你将了解FortiGate高可用性(HA)的基础知识以及如何配置它.FortiGate HA提供了提高可靠性和性能的解决方案. 本节课,你将学习上图显示的主题. 通过展示在HA运行模式 ...
- Juniper防火墙丢失ScreenOS的灾难恢复
Juniper的防火墙是一台硬件防火墙,有硬件系统也有软件系统也就是ScreenOS,硬件会出故障软件自然也会出故障,在实际使用中我就碰到过多次Juniper防火墙ScreenOS丢失的情况,大多数情 ...
最新文章
- 使用npm init生成package.json
- 无线循环里面 string = “i”会内存溢出吗?_记一次公司JVM堆溢出抽茧剥丝定位的过程...
- JS之Promise
- 再谈用MFC实现文件拖放到编辑框
- oracle查询:分组查询，取出每组中的第一条记录
- 怎样设计访谈提纲_访谈提纲设计
- 逆向工程平台 Radare2
- PMC 任命Edward Sharp为首席战略及技术官
- Elasticsearch5.X 搜索引擎框架 安装配置及analysis-ik中文分词插件安装
- 网络 如何解决输入路由器管理地址192.168.1.1进不去
- 基于大数据的个性化推荐系统
- 修改文件错误：E45: 'readonly' option is set (add ! to override)
- Linux网络技术学习（二）—— net_device数据结构解析
- drf路由组件Routers
- 【XSY2500】都城（树形dp）
- 计算机毕业设计题目100例
- 深入理解Linux进程描述符task_struct结构体
- 记一次Electron+vue实现动态打印小票
- Vscode上使用opencv（C++接口，Windows篇）
- Hadoop从入门到入土（第九天）