Juniper NETSCREEN NSRP典型配置及維護(hù)之一：Layer3 Fullmesh連接A/A組網(wǎng)模式

Layer3 Fullmesh連接A/A結(jié)構(gòu)提供了一種更為靈活的組網(wǎng)方式，在保證網(wǎng)絡(luò)高可靠性的同時提升了網(wǎng)絡(luò)的可用性。A/A結(jié)構(gòu)中兩臺防火墻同時作為主用設(shè)備并 提供互為在線備份，各自獨立處理信息流量并共享連接會話信息。一旦發(fā)生設(shè)備故障另一臺設(shè)備將負(fù)責(zé)處理所有進(jìn)出網(wǎng)絡(luò)流量。Fullmesh連接A/A組網(wǎng)模 式對網(wǎng)絡(luò)環(huán)境要求較高，要求網(wǎng)絡(luò)維護(hù)人員具備較強(qiáng)技術(shù)能力，防火墻發(fā)生故障時，接管設(shè)備受單臺設(shè)備容量限制，可能會導(dǎo)致會話連接信息丟失，采用A/A模式 組網(wǎng)時，建議每臺防火墻負(fù)責(zé)處理的會話連接數(shù)量不超過單臺設(shè)備容量的50％，以確保故障切換時不會丟失會話連接。

配置說明：定 義VSD0和VSD1虛擬安全設(shè)備組(創(chuàng)建Cluster ID時將自動創(chuàng)建VSD0)，其中NS-A為VSD0主用設(shè)備和VSD1備用設(shè)備，NS-B為VSD1主用設(shè)備和VSD0備用設(shè)備；創(chuàng)建冗余接口實現(xiàn)兩物 理接口動態(tài)冗余；配置交換機(jī)路由指向來引導(dǎo)網(wǎng)絡(luò)流量經(jīng)過哪個防火墻。

NS-A(Active)：

set interface redundant1 zone Untrust

set interface redundant1 ip 100.1.1.4/29 /***VSD0的VSI接口使用物理接口IP地址***/

set interface ethernet1 group redundant1

set interface ethernet2 group redundant1

set interface redundant2 zone trust

set interface redundant2 ip 192.168.1.4/29

set interface redundant2 manage-ip 192.168.2.1

set interface ethernet3 group redundant2

set interface ethernet4 group redundant2

/***配置冗余接口、定義Vsd0 接口IP地址***/

set interface redundant1:1 ip 100.1.1.5/29

set interface redundant2:1 ip 192.168.1.5/29

/***VSD1的VSI接口需手動配置IP地址，冒號后面的1表示該接口屬于VSD1的VSI***/

set interface ethernet7 zone ha

set interface ethernet8 zone ha

set nsrp cluster id 1

set nsrp vsd-group id 0 priority 50

set nsrp vsd-group id 1 /*** VSD1使用缺省配置，優(yōu)先級為100***/

set nsrp rto-mirror sync

set nsrp monitor interface redundant1

set nsrp monitor interface redundant2

set nsrp secondary-path ethernet2/1

/***定義NSRP備用心跳接口，保證心跳連接信息不會丟失***/

set arp always-on-dest

/***強(qiáng)制采用基于ARP表而不是會話表中的MAC地址轉(zhuǎn)發(fā)封包***/

set vrouter trust-vr route 0.0.0.0/0 interface redundant1 gateway 100.1.1.1

set vrouter trust-vr route 0.0.0.0/0 interface redundant1:1 gateway 100.1.1.1

NS-B(Active)：

set interface redundant1 zone Untrust

set interface redundant1 ip 100.1.1.4/29 /***VSD0的VSI接口使用物理接口IP地址***/

set interface ethernet1 group redundant1

set interface ethernet2 group redundant1

set interface redundant2 zone trust

set interface redundant2 ip 192.168.1.4/29

set interface redundant2 manage-ip 192.168.2.2

set interface ethernet3 group redundant2

set interface ethernet4 group redundant2

/***配置冗余接口、定義Vsd0 接口IP地址***/

set interface redundant1:1 ip 100.1.1.5/29

set interface redundant2:1 ip 192.168.1.5/29

set interface ethernet7 zone ha

set interface ethernet8 zone ha

set nsrp cluster id 1

/***定義一致的Cluster ID，自動啟用采用缺省配置的VSD0***/

set nsrp rto-mirror sync

set nsrp vsd-group id 1 priority 50

set nsrp monitor interface redundant1

set nsrp monitor interface redundant2

set nsrp secondary-path ethernet2/1

/***定義NSRP備用心跳接口，保證心跳連接信息不會丟失***/

set arp always-on-dest

/***強(qiáng)制采用基于ARP表而不是會話中的MAC地址轉(zhuǎn)發(fā)封包***/

set vrouter trust-vr route 0.0.0.0/0 interface redundant1 gateway 100.1.1.1

set vrouter trust-vr route 0.0.0.0/0 interface redundant1:1 gateway 100.1.1.1

Juniper NETSCREEN NSRP典型配置及維護(hù)之二：NSRP常用維護(hù)命令

1、get license-key

查看防火墻支持的feature，其中NSRPA/A模式包含了A/P模式，A/P模式不支持A/A模式。Lite版本是簡化版，支持設(shè)備和鏈路冗余切換，不支持配置和會話同步。

2、exec nsrp sync global-config check-sum

檢查雙機(jī)配置命令是否同步

3、exec nsrp sync global-config save

如雙機(jī)配置信息沒有自動同步，請手動執(zhí)行此同步命令，需重啟系統(tǒng)。

4、get nsrp

查看NSRP集群中設(shè)備狀態(tài)、主備關(guān)系、會話同步以及參數(shù)開關(guān)信息。

5、Exec nsrp sync rto all from peer

手動執(zhí)行RTO信息同步，使雙機(jī)保持會話信息一致

6、exec nsrp vsd-group 0 mode backup

手動進(jìn)行主備狀態(tài)切換時，在主用設(shè)備上執(zhí)行該切換命令，此時該主用設(shè)備沒有啟用搶占模式。

7、exec nsrp vsd-group 0 mode ineligible

手動進(jìn)行主備狀態(tài)切換時，在主用設(shè)備上執(zhí)行該切換命令，此時該主用設(shè)備已啟用搶占模式。

8、get alarm event

檢查設(shè)備告警信息，其中將包含NSRP狀態(tài)切換信息

#p#

Juniper NETSCREEN NSRP典型配置及維護(hù)之三：Netscreen NSRP維護(hù)案例

案例1: Netscreen雙機(jī)升級步驟

1．使用Tftp備份兩臺防火墻現(xiàn)有配置文件和OS系統(tǒng)文件。

2．升級步驟為先升級備用設(shè)備后升級主用設(shè)備，如果是Active/Active模式請切換為Active/Passive模式后再 升級備用設(shè)備。用筆記本電腦連接NS-B的Console口和MGT口，通過Web界面上對NS-B進(jìn)行升級，并在Console口上觀察升級過程。

3．NS-B升級后將自動重啟，通過Console口觀察重啟過程。啟動后在console上輸入get system命令，驗證升級后的版本號。輸入get license，驗證license信息是否符合升級要求。輸入get nsrp，驗證此設(shè)備處于備機(jī)狀態(tài)。

4．Session信息應(yīng)該自動從主機(jī)上同步到備機(jī)。為進(jìn)一步確保Session信息同步，在NS-B上執(zhí)行exec nsrp syn rto all from peer，手工同步Session信息。

5．主備雙機(jī)進(jìn)行狀態(tài)切換。用筆記本接NS-A的Console口，輸入exec nsrp vsd-group 0 mode backup命令，將狀態(tài)切換。使用get nsrp命令，驗證設(shè)備狀態(tài)已切換完成，此時NS-A為備機(jī)，NS-B為主機(jī)。

6．在Web界面上對NS-A進(jìn)行升級，在Console口上觀察升級過程。

7．NS-A升級后會自動重起，在Console口上觀察重起過程。啟動后在console上輸入get system命令，驗證升級后的版本號。輸入get license，驗證license信息是否滿足升級需求。輸入get nsrp驗證此臺設(shè)備為備機(jī)狀態(tài)。

8．恢復(fù)原先的主備狀態(tài)：在NS-B上執(zhí)行exec nsrp vsd-group 0 mode backup命令，將狀態(tài)切換。驗證設(shè)備狀態(tài)已切換完成，此時NS-A為主機(jī)，NS-B為備機(jī)。

9．在設(shè)備NS-A上執(zhí)行exec nsrp syn vsd-group 0 global-config checksum，驗證兩臺設(shè)備的配置同步。如雙機(jī)配置文件沒有同步，請執(zhí)行exec nsrp syn vsd-group 0 global-config save 手動進(jìn)行配置同步。

10．觀察兩臺防火墻的日志，驗證是否存在異常告警信息。

案例2：快速配置NSRP集群備用設(shè)備

Netscreen提供快速配置NSRP集群中備用設(shè)備的方法，適用于創(chuàng)建NSRP集群雙機(jī)配置和備用設(shè)備出現(xiàn)故障時用備件進(jìn)行替換。

1、清空備機(jī)配置命令

Unset all

"Erase all system config, are you sure y / [n]?" Y

Reset

"Configuration modified, save? [y] / n" N

"System reset, are you sure? y / [n]" Y

2、系統(tǒng)重新啟動后配置命令

Set hostname xxxxxx

Set interface mgt ip x.x.x.x/x

Set nsrp cluster id 1

Exec nsrp sync file

Exec nsrp sync global-config run

/***適應(yīng)于5.1以上版本，5.0中使用Exec nsrp sync global-config save命令，需要重啟設(shè)備***/

Set nsrp rto-mirror sync

Save all

3、檢查設(shè)備狀態(tài)

Nsrp：get nsrp

接口：Get interface

路由：get route

會話：get session

Juniper NETSCREEN NSRP典型配置及維護(hù)之四：附錄一 NSRP 缺省設(shè)置值

【編輯推薦】

1. Juniper NetScreen防火墻新人指南
2. JuniperEX系列交換機(jī)大剖析
3. Juniper Networks助香港服務(wù)提供商確保業(yè)務(wù)持續(xù)增長