华为防火墙双机热备HRP配置

双机热备HRP配置"/>

华为防火墙双机热备HRP配置

FW1
#
interface GigabitEthernet1/0/0    undo shutdownip address 192.168.1.10 255.255.255.0vrrp vrid 2 virtual-ip 192.168.1.254 active          //配置FW1处于untrust的接口的vrrp 虚拟地址为192.168.1.254 并且加入VGMP的主动组active内
#
interface GigabitEthernet1/0/1undo shutdownip address 10.1.1.10 255.255.255.0vrrp vrid 1 virtual-ip 10.1.1.254 active		配置FW1处于trust的就接口的vrrp 虚拟地址为10.1.1.254 并且加入VGMP的主动组active内
#
interface GigabitEthernet1/0/5undo shutdownip address 172.16.1.1 255.255.255.0		//心跳线地址，不参与业务流量的转发，只进行状态同步和配置同步
#
#
firewall zone trust             set priority 85add interface GigabitEthernet1/0/1
#
firewall zone untrustset priority 5add interface GigabitEthernet1/0/0
#
firewall zone dmz				//将心跳口加入dmz区域set priority 50add interface GigabitEthernet1/0/5
#hrp interface GigabitEthernet1/0/5 remote 172.16.1.2    //设置心跳线端口和对端地址 在FW1上写对端接口地址，FW2反之
#hrp enable                             //启动hrp#
//使用dis hrp state 查询状态是否建立成功。
命令第一行会显示对端和自己端处于的优先级
#
同步成功以后，配置安全策略会显示（+B）并且不能在备设备上进行配置。默认为负载均衡状态
#
hrp standby-device 在备设备上使用该命令调整为双机热备主备备份状态，备不参与流量转发
#
security-policy			//配置安全策略让pc1可以使用icmp协议ping通pc2rule name 1-2source-zone trustdestination-zone untrustsource-address 10.1.1.1 mask 255.255.255.255destination-address 192.168.1.1 mask 255.255.255.255service icmpaction permit
#

FW2

FW1
#
interface GigabitEthernet1/0/0    undo shutdownip address 192.168.1.20 255.255.255.0vrrp vrid 2 virtual-ip 192.168.1.254 standby          //配置FW1处于untrust的接口的vrrp 虚拟地址为192.168.1.254 并且加入VGMP的主动组standby内
#
interface GigabitEthernet1/0/1undo shutdownip address 10.1.1.20 255.255.255.0vrrp vrid 1 virtual-ip 10.1.1.254 standby		配置FW1处于trust的就接口的vrrp 虚拟地址为10.1.1.254 并且加入VGMP的主动组standby内
#
interface GigabitEthernet1/0/5undo shutdownip address 172.16.1.2 255.255.255.0		//心跳线地址，不参与业务流量的转发，只进行状态同步和配置同步
#
#
firewall zone trust             set priority 85add interface GigabitEthernet1/0/1
#
firewall zone untrustset priority 5add interface GigabitEthernet1/0/0
#
firewall zone dmz				//将心跳口加入dmz区域set priority 50add interface GigabitEthernet1/0/5
#hrp interface GigabitEthernet1/0/5 remote 172.16.1.1    //设置心跳线端口和对端地址 在FW1上写对端接口地址，FW2反之
#hrp enable                             //启动hrp#
//使用dis hrp state 查询状态是否建立成功。
命令第一行会显示对端和自己端处于的优先级
#
同步成功以后，配置安全策略会显示（+B）并且不能在备设备上进行配置。默认为负载均衡状态
#
hrp standby-device 在备设备上使用该命令调整为双机热备主备备份状态，备不参与流量转发
#
security-policy			//配置安全策略让pc1可以使用icmp协议ping通pc2rule name 1-2source-zone trustdestination-zone untrustsource-address 10.1.1.1 mask 255.255.255.255destination-address 192.168.1.1 mask 255.255.255.255service icmpaction permit
#