防火墙双机热备配置实例（二）

今天继续给大家介绍HCIE安全系列内容。本文使用华为eNSP模拟器，实现了镜像模式下华为防火墙双机热备配置实例。
阅读本文，您需要有一定的防火墙配置基础和防火墙双机热备理论基础，如果您对此还存在困惑，欢迎查阅我博客内的其他文章，相信您一定会有所收获！
推荐先导文章阅读：
VGMP协议详解
HRP协议详解
防火墙双机热备技术详解

一、实验目的及拓扑

实验拓扑如上所示，现在要求两台防火墙配置透明模式下双机热备。

二、实验配置命令

当防火墙工作在透明模式下后，两台防火墙相当于一台防火墙来进行使用，他们的所有的配置都是完全相同的，因此要求在防火墙物理接口上也必须完全一致。在透明模式下，防火墙接口上拥有相同的IP地址。

（一）双机热备前准备命令

首先，我们可以先配置好防火墙双机热备，之后的命令只需要在一台防火墙上配置，另一台防火墙就会自动同步命令了。
防火墙双机热备需要配置心跳线并启用双机热备功能，配置命令如下：

hrp interface GigabitEthernet 1/0/6 remote 192.168.0.2
hrp enable
#
firewall zone dmzset priority 50add interface GigabitEthernet1/0/6

除此之外，还需要在备防火墙上配置上述命令之前上执行命令：

hrp standby-device

这样，防火墙双击热备就配置成功了。

（二）双机热备配置完成后命令

在完成双机热备后，就可以配置接口IP、安全区域、安全策略和VGMP组了。相关命令如下所示：

 hrp enablehrp mirror config enablehrp standby-devicehrp interface GigabitEthernet1/0/6 remote 192.168.0.1hrp track interface GigabitEthernet1/0/0hrp track interface GigabitEthernet1/0/1
#
interface GigabitEthernet0/0/0undo shutdownip binding vpn-instance defaultip address 192.168.0.1 255.255.255.0alias GE0/METH
#
interface GigabitEthernet1/0/0undo shutdownip address 192.168.1.254 255.255.255.0
#
interface GigabitEthernet1/0/1undo shutdownip address 192.168.2.1 255.255.255.0
#
interface GigabitEthernet1/0/6undo shutdownip address 192.168.0.2 255.255.255.0
#
firewall zone trustset priority 85add interface GigabitEthernet0/0/0add interface GigabitEthernet1/0/0
#
firewall zone untrustset priority 5add interface GigabitEthernet1/0/1
#
ip route-static 0.0.0.0 0.0.0.0 192.168.2.254
#
security-policyrule name 1source-zone trustdestination-zone untrustaction permit

这样，防火墙双机热备就配置成功了。

三、实验现象

（一）双击热备配置完成后命令自动同步

从上图可看出，在透明模式下，在主设备上每次执行命令后都会有+B的符号，这就表示命令已经成功配置到备用防火墙上了。

（二）双击热备状态

（三）全部配置完成后互通实验

原创不易，转载请说明出处：https://blog.csdn.net/weixin_40228200/article/details/119282097