ASA5520防火墙双机配置
ASA5520防火墙的安装配置说明
一、通过超级终端连接防火墙。
先将防火墙固定在机架上，接好电源；用随机带来的一根蓝色的线缆将防火墙与笔记本连接起来。注意：该线缆是扁平的，一端是RJ-45接口，要接在防火墙的console端口；另一端是串口，要接到笔记本的串口上.
建立新连接，给连接起个名字。
选择COM口，具体COM1还是COM3应该根据自己接的COM来选择，一般接COM1就可以。
选择9600,回车就可以连接到命令输入行。
二、防火墙提供4种管理访问模式：
1．非特权模式。防火墙开机自检后，就是处于这种模式。系统显示为firewall> 2．特权模式。输入enable进入特权模式，可以改变当前配置。显示为firewall# 3．配置模式。在特权模式下输入configure terminal进入此模式，绝大部分的系统配置都在这里进行。显示为firewall(config)#
4．监视模式。 PIX防火墙在开机或重启过程中，按住Escape键或发送一个“Break”字符，进入监视模式。这里可以更新操作系统映象和口令恢复。显示为monitor>
三、基本配置步骤
在PC机上用串口通过cisco产品控制线连接防火墙的Console口（9600-N-8-1），使用超级终端连接。
在提示符的后面有一个大于号“>”，你处在asa用户模式。使用en或者enable命令修改权限模式。
asafirewall> en //输入en 或 enable 回车
Password： //若没有密码则直接回车即可
asafirewall# //此时便拥有了管理员模式，此模式下可以显示内容但不能配置，若要配置必须进入到通用模式
asafirewall# config t // 进入到通用模式的命令
asafirewall(config)# hostname sjzpix1 //设置防火墙的名称
Sjzpix1(config)# password zxm10 //设置登陆口令为zxm10
Sjzpix1(config)# enable password zxm10 //设置启动模式口令，用于获得管理员模式访问
1．配置各个网卡
Sjzpix1(config)# interface GigabitEthernet0/0 //配置防火墙的E0 端口Sjzpix1(config-if)# security-level 0 //设置成最低级别
Sjzpix1(config-if)# nameif outside //设置E0 端口为外部端口
Sjzpix1(config-if)# speed auto //设置成自动设置网口速率
Sjzpix1(config-if)# ip address 10.0.1.50 255.255.255.0 standby 10.0.1.51
// 10.0.1.50 为该防火墙分配的公网IP，255.255.255.0为该防火墙公网IP对应的掩码，若该防火墙没有主备用方式则配置命令中的红色字体部分不需要配置。若有主备用防火墙则红色部分必须配置且 10.0.1.51为给备用防火墙分配的公网IP地址
Sjzpix1(config-if)# no shutdown //打开防火墙的E0端口
Sjzpix1(config)# exit //完成E0 端口的配置，返回上一层
//同样的方式来配置防火墙的E1端口，并将E1端口配置为内部端口
Sjzpix1(config)# interface GigabitEthernet0/1 //配置ETH1 即 E1端口
Sjzpix1(config-if)# security-level 100 //设置成最高级别
Sjzpix1(config-if)# nameif inside //设置E1 端口为内部端口
Sjzpix1(config-if)# speed auto //设置成自动设置网口速率
Sjzpix1(config-if)# ip address 192.168.2.10 255.255.255.0 standby 192.168.2.11//设置防火墙E1（内部）端口的IP，其中：192.168.2.10 为分配给该防火墙的内部网络IP地址，255.255.0.0 为防火墙内部IP对应的掩码，若该防火墙没有主备用方式则配置命令中红色字体部分不要配置，若有主备用防火墙则红色部分必须配置且192.168.2.11为备用防火墙的内网IP地址。
Sjzpix1(config-if)# no shutdown //打开E1（内部）端口
Sjzpix1(config)# exit //完成配置，退到上一层
Sjzpix1(config)# interface GigabitEthernet0/3
Sjzpix1(config)# no shutdown //打开防火墙的E3端口
Sjzpix1(config)# exit //完成E3 端口的配置，返回上一层
2．配置failover
主防火墙：
failover //启动failover 功能
failover lan unit primary //设置为主防火墙
failover lan interface HA GigabitEthernet0/3 //定义用于Failover通讯的接口
failover mac address GigabitEthernet0/1 0018.1900.5000 0018.1900.5001
failover mac address GigabitEthernet0/2 0018.1900.6000 0018.1900.6001
failover mac address Management0/0 0018.1900.7000 0018.1900.7001 failover mac address GigabitEthernet0/0 0018.1900.4000 0018.1900.4001
//分别给四块网卡定义虚拟MAC地址
failover interface ip HA192.168.3.1 255.255.255.0 standby 192.168.3.2
no asdm history enable //定义主备机通讯接口的IP
然后打开主防火墙的GigabitEthernet0/3口
Sjzpix1(config)# interface GigabitEthernet0/3
Sjzpix1(config)# no shutdown //打开防火墙的E3端口
Sjzpix1(config)# exit //完成E3 端口的配置，返回上一层
Sjzpix1(config)#wr mem //写保存
备防火墙：
failover //启动failover 功能
failover lan unit secondary //设置为备防火墙
failover lan interface HA GigabitEthernet0/3 //定义用于Failover通讯的接口
failover interface ip HA192.168.3.1 255.255.255.0 standby 192.168.3.2 //定义主备机通讯接口的IP
然后打开备防火墙的GigabitEthernet0/3口
Sjzpix1(config)# interface GigabitEthernet0/3
Sjzpix1(config)# no shutdown //打开防火墙的E3端口
Sjzpix1(config)# exit //完成E3 端口的配置，返回上一层
Sjzpix1(config)#wr mem //写保存
Sjzpix1(config)# quit //退出配置模式
Sjzpix1# quit //退出特权模式
用直连网线把对应的端口连接起来，重启备用防火墙，主备就会同步了，只需配置主机，数据就会自动写入备机。
直接又去主机配置：
3．打开inside接口的telnet访问权限：
Sjzpix1 (config)# telnet 192.168.0.0 255.255.0.0 inside //打开inside接口的telnet访问权限
4．配置路由：
Sjzpix1(config)# route outside 0.0.0.0 0.0.0.0 10.0.1.1 1
//配置默认外网路由关系，即所有到外网的数据都发送到下一跳网关。其中10.0.1.1为用户提供给我们的网关
5．配置静态IP地址翻译（static）：
static (inside,outside) 10.0.1.5 192.168.2.5 netmask 255.255.255.255 static (inside,outside) 10.0.1.6 192.168.2.6 netmask 255.255.255.255 static (inside,outside) 10.0.1.7 192.168.2.7 netmask 255.255.255.255 static (inside,outside) 10.0.1.8 192.168.2.8 netmask 255.255.255.255 static (inside,outside) 10.0.1.11 192.168.2.21 netmask 255.255.255.255
说明：
如果从外网发起一个会话，会话的目的地址是一个内网的ip地址，static就把内部地址翻译成一个指定的全局地址，允许这个会话建立。使用static命令可以让我
们为一个特定的内部ip地址设置一个永久的全局ip地址。这样就能够为具有较低安全级的指定接口创建一个入口，使它们可以进入到具有较高安全级别的指定接口。6．配置access-list
access-list acl_out extended permit icmp any any
access-list acl_out extended permit tcp any host 10.0.1.11 eq www access-list acl_out extended permit tcp any host 10.0.1.7 eq 5000 access-list acl_out extended permit tcp any host 10.0.1.6 eq 8000 access-list inside_access_in extended permit ip any any
access-group acl_out in interface outside
7．保存退出
Sjzpix1(config)#wr mem //写保存
Sjzpix1(config)# quit //退出配置模式
Sjzpix1# quit //退出特权模式
8．其它
1)防火墙密码修改：
用命令passwd进行修改，passwd zxm10
2)防火墙配置的其它问题
在配置的过程中可以用ping inside/outside命令ping外网或内网的IP；
用show run命令查看当前所有的配置信息，
用show+“某条命令”查看该命令的当前配置；
用no+“某条命令”删除该命令的配置。
3）重启
通常使用reload命令重启系统
4）设置防火墙时钟
Firewall(config)# clock set hh:mm:ss {day month | month day} year 时钟验证 Firewall# show clock
附福州交行项目ASA5520主防火墙配置信息：
ASA Version 7.0(6)
!
hostname fzjh1
enable password ASWgRbIxBbmIUxtm encrypted
names
dns-guard
!
interface GigabitEthernet0/0
nameif outside
security-level 0
ip address 10.0.1.50 255.255.255.0 standby 10.0.1.51
!
interface GigabitEthernet0/1
nameif inside
security-level 100
ip address 192.168.2.10 255.255.255.0 standby 192.168.2.11
!
interface GigabitEthernet0/2
shutdown
no nameif
no security-level
no ip address
!
interface GigabitEthernet0/3
description LAN Failover Interface
!
interface Management0/0
nameif management
security-level 100
ip address 192.168.1.1 255.255.255.0
management-only
!
passwd ASWgRbIxBbmIUxtm encrypted
ftp mode passive
access-list acl_out extended permit icmp any any
access-list acl_out extended permit tcp any host 10.0.1.11 eq www access-list acl_out extended permit tcp any host 10.0.1.7 eq 5000 access-list acl_out extended permit tcp any host 10.0.1.6 eq 8000 access-list inside_access_in extended permit ip any any
pager lines 24
logging asdm informational
mtu outside 1500
mtu inside 1500
mtu management 1500
failover
failover lan unit primary
failover lan interface HA GigabitEthernet0/3
failover mac address GigabitEthernet0/1 0018.1900.5000 0018.1900.5001
failover mac address GigabitEthernet0/2 0018.1900.6000 0018.1900.6001
failover mac address Management0/0 0018.1900.7000 0018.1900.7001 failover mac address GigabitEthernet0/0 0018.1900.4000 0018.1900.4001
failover interface ip HA 192.168.3.1 255.255.255.0 standby 192.168.3.2
no asdm history enable
arp timeout 14400
static (inside,outside) 10.0.1.5 192.168.2.5 netmask 255.255.255.255 static (inside,outside) 10.0.1.6 192.168.2.6 netmask 255.255.255.255 static (inside,outside) 10.0.1.7 192.168.2.7 netmask 255.255.255.255 static (inside,outside) 10.0.1.8 192.168.2.8 netmask 255.255.255.255 static (inside,outside) 10.0.1.11 192.168.2.21 netmask 255.255.255.255
access-group acl_out in interface outside
route outside 0.0.0.0 0.0.0.0 10.0.1.1 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00 timeout mgcp-pat 0:05:00 sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
http server enable
http 192.168.1.0 255.255.255.0 management
no snmp-server location
no snmp-server contact
snmp-server enable traps snmp authentication linkup linkdown coldstart
telnet timeout 5
ssh timeout 5
console timeout 0
dhcpd address 192.168.1.2-192.168.1.254 management
dhcpd lease 3600
dhcpd ping_timeout 50
dhcpd enable management
Cryptochecksum:a8bb47db864721307b3f246fcb4d7845
: end
防火墙双机热备配置案例
双机热备 网络卫士防火墙可以实现多种方式下的冗余备份，包括：双机热备模式、负载均衡模式和连接保护模式。 在双机热备模式下（最多支持九台设备），任何时刻都只有一台防火墙（主墙）处于工作状态，承担报文转发任务，一组防火墙处于备份状态并随时接替任务。当主墙的任何一个接口（不包括心跳口）出现故障时，处于备份状态的防火墙经过协商后，由优先级高的防火墙接替主墙的工作，进行数据转发。 在负载均衡模式下（最多支持九台设备），两台/多台防火墙并行工作，都处于正常的数据转发状态。每台防火墙中设置多个VRRP备份组，两台/多台防火墙中VRID相同的组之间可以相互备份，以便确保某台设备故障时，其他的设备能够接替其工作。 在连接保护模式下（最多支持九台设备），防火墙之间只同步连接信息，并不同步状态信息。当两台/多台防火墙均正常工作时，由上下游的设备通过运行VRRP或HSRP进行冗余备份，以便决定流量由哪台防火墙转发，所有防火墙处于负载分担状态，当其中一台发生故障时，上下游设备经过协商后会将其上的数据流通过其他防火墙转发。 双机热备模式 基本需求 图 1双机热备模式的网络拓扑图 上图是一个简单的双机热备的主备模式拓扑图，主墙和一台从墙并联工作，两个防火墙的Eth2接口为心跳口，由心跳线连接用来协商状态，同步对象及配置信息。 配置要点 ?设置HA心跳口属性 ?设置除心跳口以外的其余通信接口属于VRID2 ?指定HA的工作模式及心跳口的本地地址和对端地址 ?主从防火墙的配置同步 WEBUI配置步骤 1）配置HA心跳口和其他通讯接口地址 HA心跳口必须工作在路由模式下，而且要配置同一网段的IP以保证相互通信。接口属性必须要勾选“ha-static”选项，否则HA心跳口的IP地址信息会在主从墙运行配置同步时被对方覆盖。 ?主墙 a）配置HA心跳口地址。 ①点击网络管理>接口，然后选择“物理接口”页签，点击eth2接口后的“设置”图标，配置基本信息，如下图所示。 点击“确定”按钮保存配置。
CheckPoint 防火墙 双机 HA 实施 方案
本文由ｎｏ１ｍｏｏｎｂｏｙ贡献 ｄｏｃ１。 双 ＣｈｅｃｋＰｏｉｎｔ 防火墙实施方案 目 录 第一章 客户环境概述…… ４ １．１ 概述 …… ４ １．２ 网络拓扑与地址分配表 …… ４ １．３ 安装前准备事宜 …… ６ 第二章 Ｎｏｋｉａ ＩＰ３８０ 安装与配置 …… ７ ２．１ 概述 …… ７ ２．２ 初始化 ｎｏｋｉａ３８０ …… ７ ２．３ 设置 ｎｏｋｉａ 基本信息 …… ８ ２．３．１ Ｎｏｋｉａ 端口 ＩＰ 地址设定 …… ８ ２．３．２ 设置网关路由 …… ８ ２．３．３ 设置 Ｎｏｋｉａ 平台时间 …… ９ ２．３．４ 设定 Ｎｏｋｉａ 高可用 ＶＲＲＰ 参数 …… ９ ２．４ 初始化 ｃｈｅｃｋｐｏｉｎｔ …… １４ ２．４．１ 在 ｎｏｋｉａ 平台上 ｃｈｅｃｋｐｏｉｎｔ 的安装与卸载 …… １４ ２．４．２ 初始化 ｃｈｅｃｋｐｏｉｎｔ …… １６ 第三章 管理服务器的安装与配置…… １７ ３．１ｃｈｅｃｋｐｏｉｎｔ ｓｍａｒｔｃｅｎｔｅｒ 的安装…… １８ ３．１．１ 安装前的准备 …… １８ ３．１．２ 安装步骤 …… １８ ３．２ 配置 ｃｈｅｃｋｐｏｉｎｔ 对象和参数 …… ２０ ３．２．１ 建立 ｓｉｃ …… ２０ ３．２．２ 定义防火墙对象拓扑结构 …… ２１ ３．２．３ 使用同样的步骤按照表 １ 的参数建立 ＩＰ３８０Ｂ ｃｈｅｃｋｐｏｉｎｔ ｇａｔｅｗａｙ 对象。 …… ２１ ３．３ 基于 ｎｏｋｉａ ｖｒｒｐ 或者 ｃｌｕｓｔｅｒ 的设置…… ２２ ３．３．１ 基于 Ｎｏｋｉａ ＶＲＲＰ 的设置 …… ２２ ３．３．２ 为 ｎｏｋｉａ ｖｒｒｐ 定义策略 …… ２２ ３．３．３ 高可用性的检查 …… ２３ ３．４ｎｏｋｉａ ｃｌｕｓｔｅｒ 的设置 …… ２３ ３．５ 暂时没有 …… ２３ 第四章 策略设定…… ２４ ４．１ 概述 …… ２４ ４．２ ｎｅｔｓｃｒｅｅｎ 的策略 …… ２４ ４．３ 经过整理后转换成 ｃｈｅｃｋｐｏｉｎｔ 的策略 …… ２４ ４．４ 设定策略 …… ２４ ４．４．１ 定义主机对象 …… ２４ ４．４．２ 定义网络对象 …… ２５ ４．４．３ 定义组 …… ２６ ４．４．４ 定义服务 …… ２６ ４．４．５ 添加标准策略 …… ２７ ４．４．６ 添加 ＮＡＴ 策略…… ２７ 第五章 切换与测试…… ２９ ５．１ 切换 …… ２９ ５．２ 测试 …… ２９ ５．３ 回退 …… ３０ 第六章 日常维护…… ３１ ６．１ 防火墙的备份与恢复 …… ３１ ６．１．１ ｎｏｋｉａ 防火墙的备份与恢复方法 …… ３１ ６．１．２ ｃｈｅｃｋｐｏｉｎｔ ｍａｎａｇｅｍｅｎｔ 上的备份与恢复 …… ３３ 第一章 客户环境概述 １．１ 概述 ＸＸＸＸＸＸ 公司因应企业内部的网络需求，对总部网络进行扩容改动，中心 防火墙从原来的 ｎｅｔｓｃｒｅｅｎ 换成两台 Ｎｏｋｉａ ＩＰ３８０，两台 ｎｏｋｉａ 互为热备。维持原 有的服务不变。 由于这次网络改动比较大，所以先离线进行安装和测试，最后再进行切换 １．２ 网络拓扑与地址分配表 ＸＸＸＸＸＸ 改造前网络拓扑如下 改动后，ＸＸＸ 将按照以下图进行实施 改动后， 给个设备及端口的地址分配入下表所示 ＩＰ 地址分配表（表 １） 管理服务器参数 ＩＰ 地址 防火墙各端口参数 端口 Ｅｔｈ１ 用途 外网 口 Ｅｔｈ２ Ｅｔｈ３ Ｅｔｈ４ ？ ＤＭＺ 内网 同步 口 ｇａｔｅｗａｙ 静态路 由 １７２．１６．１００．５／３０ １７２．１６．１００．６／３０ １７２．１６．１００．１／３０ １０．１０１．１．１０１／２４ １０．１０１．１．１０２／２４ １０．１０１．１．１／２４ １９２．１６８．１１．１／２４ １９２．１６８．１１．２／２４ Ｎｏｋｉａ３８０Ａ Ｎｏｋｉａ３８０Ｂ 虚拟地址 １．３ 安装前准备事宜 １．管理服务器硬件平台 ＣＰＵ 奔腾 ３ ５００ 以上 内存 １２８ 以上 硬盘 ６０Ｍ 以上 操作系统，ｗｉｎｄｏｗｓ ２０００ ｓｅｒｖｅｒ ＋ＳＰ４ 补丁 ２．网络连线 ３．Ｃｈｅｃｋｐｏｉｎｔ 及 ｎｏｋｉａ 管理软件 Ｃｈｅｃｋｐｏｉｎｔ ＮＧ ＡＩ Ｒ５５ 安装包 ｆｏｒ ｗｉｎｄｏｗｓ ｈｏｔｆｉｘ０９ 或以上 ４．Ｎｏｋｉａ ＩＰ３８０ 设备两台 内置 ＩＰＳＯ３．８ ｂｕｉｌｄ ３９ 内置 ｃｈｅｃｋｐｏｉｎｔ ＮＧ ＡＩ Ｒ５５ 安装包 第二章 Ｎｏｋｉａ ＩＰ３８０ 安装与配置 ２．１ 概述 首先我们可以对两台 Ｎｏｋｉａ ＩＰ３８０ 进行安装与配置，由于 Ｎｏｋｉａ 防火墙将会 替代 Ｎｅｔｓｃｒｅｅｎ，所以 Ｎｏｋｉａ 防火墙可以进行离线配置。配置步骤如下。 ２．２ 初始化 ｎｏｋｉａ３８０ １． 使用 ｎｏｋｉａ ｃｏｎｓｏｌｅ 线，连接 ｎｏｋｉａ ｃｏｎｓｏｌｅ 口和管理 ｐｃ 的串行端口，
CISCO+ASA+5520配置手册
CD-ASA5520# show run : Saved : ASA Version 7.2(2) ! hostname CD-ASA5520 //给防火墙命名 domain-name default.domain.invalid //定义工作域 enable password 9jNfZuG3TC5tCVH0 encrypted // 进入特权模式的密码 names dns-guard ! interface GigabitEthernet0/0 //内网接口： duplex full //接口作工模式：全双工，半双，自适应 nameif inside //为端口命名：内部接口inside security-level 100 //设置安全级别 0~100 值越大越安全 ip address 192.168.1.1 255.255.255.0 //设置本端口的IP地址 ! interface GigabitEthernet0/1 //外网接口 nameif outside //为外部端口命名：外部接口outside security-level 0 ip address 202.98.131.122 255.255.255.0 //IP地址配置 ! interface GigabitEthernet0/2 nameif dmz security-level 50 ip address 192.168.2.1 255.255.255.0 ! interface GigabitEthernet0/3 shutdown no nameif no security-level no ip address ! interface Management0/0 //防火墙管理地址 shutdown no nameif no security-level no ip address ! passwd 2KFQnbNIdI.2KYOU encrypted ftp mode passive clock timezone CST 8 dns server-group DefaultDNS domain-name default.domain.invalid access-list outside_permit extended permit tcp any interface outside eq 3389 //访问控制列表 access-list outside_permit extended permit tcp any interface outside range 30000 30010 //允许外部任何用户可以访问outside 接口的30000-30010的端口。 pager lines 24 logging enable //启动日志功能
juniper防火墙双机配置案例
概述 juniper防火墙的双机具有高冗余性和安全性，便于管理，分为三种组网模式： layer3的A/P组网模式 layer3的full-mesh的A/P组网模式 layer3的full-mesh的A/A组网模式 其中layer3A/P模式对环境要求最低，是业界广为流行的配置。但是，其利用率不高，同一时间只有一台防火墙处理网络流量，一侧链路和设备出现故障时提供冗余切换。 配置要求硬件和软件版本相同，接口编号相同，放入HA的接口要统一。配置时只需清空备的那一台，然后将HA、manger ip 、MGT端口ip，及个性化配置即可。 两台防火墙用e4口连接。 配置主防火墙 unset interface e4 ip //清空e4口的ip地址 set interface e4 zone ha //将e4口和HA区域绑定
//-----配置NSRP---- set nsrp cluster id 1 //设置cluster组号 set nsrp vsd id 0 //设置虚拟安全数据库的组号0 set nsrp vsd-group id 0 priority 50 //设置nsrp主设备的优先级（优先级数值越大，优先级越小）set nsrp rto syn //设置配置同步 set nsrp vsd-group id 0 monitor interface ethernet3 set nsrp vsd-group id 0 monitor interface ethernet1 //设置防火墙监控的端口 //只有当备份防火墙配置之后，主设备上才能检测到备防火墙的状态（get nsrp） set nsrp vsd-group hb-interval 200 //设置心跳信息每隔200秒发送问候信息 set nsrp vsd-group hb-threshold 3 //设置心跳信息总共发出3次问候信息 save //保存
Cisco_ASA5520防火墙配置
tb23-asa# sh run : Saved : ASA Version 8.0(2) ! hostname tb23-asa enable password jDUXMyqeIzxQIVgK encrypted names ! interface Ethernet0/0 nameif outside security-level 0 ip address 200.200.200.124 255.255.255.128 ! interface Ethernet0/1 nameif inside security-level 100 ip address 10.10.10.9 255.255.255.252 ! interface Ethernet0/2 shutdown nameif inside-2 security-level 100 no ip address ! interface Ethernet0/3 shutdown no nameif no security-level no ip address ! interface Ethernet0/4 shutdown no nameif no security-level no ip address ! interface Ethernet0/5 shutdown no nameif no security-level no ip address ! passwd jDUXMyqeIzxQIVgK encrypted boot config disk0:/.private/startup-config ftp mode passive access-list out-in extended permit ip any any pager lines 24 mtu outside 1500 mtu inside 1500 mtu inside-2 1500 no failover icmp unreachable rate-limit 1 burst-size 1 no asdm history enable
防火墙双机热备配置案例精编WORD版
防火墙双机热备配置案例精编W O R D版 IBM system office room 【A0816H-A0912AAAHH-GX8Q8-GNTHHJ8】
双机热备 网络卫士防火墙可以实现多种方式下的冗余备份，包括：双机热备模式、负载均衡模式和连接保护模式。 在双机热备模式下（最多支持九台设备），任何时刻都只有一台防火墙（主墙）处于工作状态，承担报文转发任务，一组防火墙处于备份状态并随时接替任务。当主墙的任何一个接口（不包括心跳口）出现故障时，处于备份状态的防火墙经过协商后，由优先级高的防火墙接替主墙的工作，进行数据转发。 在负载均衡模式下（最多支持九台设备），两台/多台防火墙并行工作，都处于正常的数据转发状态。每台防火墙中设置多个VRRP备份组，两台/多台防火墙中VRID 相同的组之间可以相互备份，以便确保某台设备故障时，其他的设备能够接替其工作。 在连接保护模式下（最多支持九台设备），防火墙之间只同步连接信息，并不同步状态信息。当两台/多台防火墙均正常工作时，由上下游的设备通过运行VRRP或HSRP进行冗余备份，以便决定流量由哪台防火墙转发，所有防火墙处于负载分担状态，当其中一台发生故障时，上下游设备经过协商后会将其上的数据流通过其他防火墙转发。
双机热备模式 基本需求 图 1双机热备模式的网络拓扑图 上图是一个简单的双机热备的主备模式拓扑图，主墙和一台从墙并联工作，两个防火墙的Eth2接口为心跳口，由心跳线连接用来协商状态，同步对象及配置信息。配置要点 设置HA心跳口属性 设置除心跳口以外的其余通信接口属于VRID2 指定HA的工作模式及心跳口的本地地址和对端地址 主从防火墙的配置同步 WEBUI配置步骤 1）配置HA心跳口和其他通讯接口地址 HA心跳口必须工作在路由模式下，而且要配置同一网段的IP以保证相互通信。接口属性必须要勾选“ha-static”选项，否则HA心跳口的IP地址信息会在主从墙运行配置同步时被对方覆盖。 主墙
华为防火墙(VRRP)双机热备配置及组网
防火墙双机热备配置及组网指导 防火墙双机热备，主要是提供冗余备份的功能，在网络发生故障的时候避免业务出现中断。防火墙双机热备组网根据防火墙的模式，分路由模式下的双机热备组网和透明模式下的双机热备组网，下面分别根据防火墙的不同模式下的组网提供组网说明及典型配置。 1 防火墙双机热备命令行说明 防火墙的双机热备的配置主要涉及到HRP的配置，VGMP的配置，以及VRRP的配置，防火墙的双机热备组网配置需要根据现网的业务和用户的需求来进行调整，下面就防火墙的双机热备配置涉及到的命令行做一个解释说明。 1.1 HRP命令行配置说明 HRP是华为的冗余备份协议，Eudemon 防火墙使用此协议进行备份组网，达到链路状态备份的目的，从而保证在设备发生故障的时候业务正常。 HRP协议是华为自己开发的协议，主要是在VGMP协议的基础上进行扩展得到的；VGMP是华为的私有协议，主要是用来管理VRRP的，VGMP也是华为的私有协议，是在VRRP的基础上进行扩展得到的。不管是VGMP的报文，还是HRP的报文，都是VRRP的报文，只是防火墙在识别这些报文的时候能根据自己定义的字段能判断出是VGMP的报文，HRP的报文，或者是普通的VRRP的报文。 在Eudemon防火墙上，hrp的作用主要是备份防火墙的会话表，备份防火墙的servermap 表，备份防火墙的黑名单，备份防火墙的配置，以及备份ASPF模块中的公私网地址映射表和上层会话表等。 两台防火墙正确配置VRRP，VGMP，以及HRP之后，将会形成主备关系，这个时候防火墙的命令行上会自动显示防火墙状态是主还是备，如果命令行上有HRP_M的标识，表示此防火墙和另外一台防火墙进行协商之后抢占为主防火墙，如果命令行上有HRP_S的标识，表示此防火墙和另外一台防火墙进行协商之后抢占为备防火墙。防火墙的主备状态只能在两台防火墙之间进行协商，并且协商状态稳定之后一定是一台为主状态另外一台为备状态，不可能出现两台都为主状态或者都是备状态的。 在防火墙的HRP形成主备之后，我们称HRP的主备状态为HRP主或者是HRP备状态，在形成HRP的主备状态之后默认是一部分配置在主防火墙上配置之后能自动同步到备防火墙上的，而这些命令将不能在备防火墙的命令行上执行，这些命令包括ACL，接口加入域等，但其中一些命令行是不会从主防火墙上备份到备防火墙上。 HRP的配置命令的功能和使用介绍如下： ★ hrp enable ：HRP使能命令，使能HRP之后防火墙将形成主备状态。 ★ hrp configuration check acl ：检查主备防火墙两端的ACL的配置是否一致。执行此命令之后，主备防火墙会进行交互，执行完之后可以通过命令行display hrp configuration check acl来查看两边的配置是否一致。
ASA5520防火墙双机配置
ASA5520防火墙的安装配置说明 一、通过超级终端连接防火墙。 先将防火墙固定在机架上，接好电源；用随机带来的一根蓝色的线缆将防火墙与笔记本连接起来。注意：该线缆是扁平的，一端是RJ-45接口，要接在防火墙的console端口；另一端是串口，要接到笔记本的串口上. 建立新连接，给连接起个名字。 选择COM口，具体COM1还是COM3应该根据自己接的COM来选择，一般接COM1就可以。
选择9600,回车就可以连接到命令输入行。 二、防火墙提供4种管理访问模式： 1．非特权模式。防火墙开机自检后，就是处于这种模式。系统显示为firewall> 2．特权模式。输入enable进入特权模式，可以改变当前配置。显示为firewall# 3．配置模式。在特权模式下输入configure terminal进入此模式，绝大部分的系统配置都在这里进行。显示为firewall(config)# 4．监视模式。 PIX防火墙在开机或重启过程中，按住Escape键或发送一个“Break”字符，进入监视模式。这里可以更新操作系统映象和口令恢复。显示为monitor> 三、基本配置步骤 在PC机上用串口通过cisco产品控制线连接防火墙的Console口（9600-N-8-1），使用超级终端连接。 在提示符的后面有一个大于号“>”，你处在asa用户模式。使用en或者enable命令修改权限模式。 asafirewall> en //输入en 或 enable 回车 Password： //若没有密码则直接回车即可 asafirewall# //此时便拥有了管理员模式，此模式下可以显示内容但不能配置，若要配置必须进入到通用模式 asafirewall# config t // 进入到通用模式的命令 asafirewall(config)# hostname sjzpix1 //设置防火墙的名称 Sjzpix1(config)# password zxm10 //设置登陆口令为zxm10 Sjzpix1(config)# enable password zxm10 //设置启动模式口令，用于获得管理员模式访问 1．配置各个网卡
HCSCA105 HCNA-Security-CBSN 第五章 防火墙双机热备技术V2.5
1
●双机热备份技术的出现改变了可靠性难以保证的尴尬状态，通过在网络出口位置部署两 台或多台网关设备，保证了内部网络于外部网络之间的通讯畅通。 ●USG防火墙作为安全设备，一般会部署在需要保护的网络和不受保护的网络之间，即位 于业务接口点上。在这种业务点上，如果仅仅使用一台USG防火墙设备，无论其可靠性多高，系统都可能会承受因为单点故障而导致网络中断的风险。为了防止一台设备出现 意外故障而导致网络业务中断，可以采用两台防火墙形成双机备份。
●为了避免路由器传统组网所引起的单点故障的发生，通常情况可以采用多条链路的保护 机制，依靠动态路由协议进行链路切换。但这种路由协议来进行切换保护的方式存在一定的局限性，当不能使用动态路由协议时，仍然会导致链路中断的问题，因此推出了另一种保护机制VRRP（虚拟路由冗余协议）来进行。采用VRRP的链路保护机制比依赖动态路由协议的广播报文来进行链路切换的时间更短，同时弥补了不能使用动态路由情况下的链路保护。 ●VRRP（Virtual Router Redundancy Protocol）是一种基本的容错协议。 ●备份组：同一个广播域的一组路由器组织成一个虚拟路由器，备份组中的所有路由器一 起，共同提供一个虚拟IP地址，作为内部网络的网关地址。 ●主（Master）路由器：在同一个备份组中的多个路由器中，只有一台处于活动状态， 只有主路由器能转发以虚拟IP地址作为下一跳的报文。 ●备份（Backup）路由器：在同一个备份组中的多个路由器中，除主路由器外，其他路 由器均为备份路由器，处于备份状态。 ●主路由器通过组播方式定期向备份路由器发送通告报文（HELLO），备份路由器则负责 监听通告报文，以此来确定其状态。由于VRRP HELLO报文为组播报文，所以要求备份组中的各路由器通过二层设备相连，即启用VRRP时上下行设备必须具有二层交换功能，否则备份路由器无法收到主路由器发送的HELLO报文。如果组网条件不满足，则不能使用VRRP。
ASA防火墙基本配置
一、基本配置 #hostname name //名字的设置 #interface gigabitethernet0/0 //进入接口0/0 #nameif outside //配置接口名为outside #security-level 0 //设置安全级别。级别从0--100，级别越高安全级别越高 #ip address 218.xxx.xxx.xxx 255.255.255.248 //设置外部ip地址 #no shutdown #interface ethernet0/1 //进入接口0/1 #nameif inside //配置接口名为inside #security-level 100 //设置安全级别。级别从0--100，级别越高安全级别越高 #ip address 192.168.10.1 255.255.255.0 //设置ip地址 #duplex full //全双工 #speed 100 //速率 #no shutdown #interface ethernet0/2 //进入接口0/2 #nameif dmz //配置接口名为dmz #security-level 50 //设置安全级别。级别从0--100，级别越高安全级别越高 #ip address 192.168.9.1 255.255.255.0 //设置dmz接口ip地址 #no shutdown #interface Management0/0 //进入管理接口 # nameif guanli //接口名 # security-level 100 //安全级别 #ip address 192.168.1.1 255.255.255.0 //IP地址 注意：security-level 配置安全级别。默认外网接口为0/0 安全级别默认为0 内网接口为0/1 安全级别默认为100 dmz 接口为0/2 安全级别默认为50 默认情况下，相同安全级别接口之间不允许通信，可以使用以下命令： #same-security-traffic permit interface //允许相同安全级别接口之间互相通信。 较高安全接口访问较低安全接口：允许所有基于IP的数据流通过，除非有ACL访问控制列表，认证或授权的限制。 较低安全接口访问较高安全接口：除非有conduit或acl进行明确的许可，否则丢弃所有的数据包。
Cisco ASA5520防火墙配置
Cisco ASA5520防火墙配置 前言 ●主要从防火墙穿越的角度，描述Cisco ASA5520防火墙的配置 ●对Pix ASA系列防火墙配置具有参考意义 内容 ●防火墙与NAT介绍 ●基本介绍 ●基本配置 ●高级配置 ●其它 ●案例 防火墙与NAT介绍 ●防火墙 门卫 ●NAT 过道 ●区别 两者可以分别使用 Windows有个人防火墙 Windows有Internet Connect sharing服务 一般防火墙产品，同时带有NAT 基本介绍 ●配置连接 ●工作模式 ●常用命令 ●ASA5520介绍 配置连接 ●初次连接 使用超级终端登陆Console口 Cicso的波特率设置为9600 ●Telnet连接 默认不打开，在使用Console配置后，可以选择开启 开启命令：telnet ip_addressnetmaskif_name 连接命令：telnet 192.168.1.1 ASA5520默认不允许外网telnet,开启比较麻烦 ●ASDM连接 图形界面配置方式 ●SSH连接 工作模式 ●普通模式 连接上去后模式 进入普通模式需要有普通模式密码 Enable 进入特权模式，需要特权密码
●特权模式 Config terminal 进入配置模式 ●配置模式 ●模式转换 exit 或者ctrl-z退出当前模式，到前一模式 也适用于嵌套配置下退出当前配置 常用命令 ●命令支持缩写，只要前写到与其它命令不同的地方即可 config terminal = conf term = conf t Tab键盘补全命令 ？Or help 获取帮助 ●取消配置 no 命令取消以前的配置 Clear 取消一组配置，具体请查看帮助 ●查看配置 Show version show run [all] , write terminal Show xlat Show run nat Show run global ●保存配置 Write memory ASA5520介绍 ●硬件配置：ASA5520, 512 MB RAM, CPU Pentium 4 Celeron 2000 MHz ●1个Console口，一个Aux口，4个千兆网口 ●支持并发：280000个 ●支持VPN个数：150 ●支持双机热备、负载均衡 ●可以通过show version 查看硬件信息 基本配置 ●接口配置 ●NAT配置 ●ACL访问控制 接口配置 ●四个以太网口 GigabitEthernet0/0、gig0/1、gig0/2、gig0/3 进入接口配置: interface if_name ●配置IP ip address ip_address [netmask] ip address ip_addressdhcp
ASA防火墙基本配置
第二章ASA防火墙 实验案例一ASA防火墙基本配置 一、实验目的： 熟悉ASA基本配置 二、实验环境和需求 在WEB上建立站点https://www.wendangku.net/doc/635272534.html,.，在Out上建立站点https://www.wendangku.net/doc/635272534.html,，并配置DNS服务，负责解析https://www.wendangku.net/doc/635272534.html,(202.0.0.253/29)和https://www.wendangku.net/doc/635272534.html,（IP为202.2.2.1）,PC1的DNS 指向200.2.2.1 只能从PC1通过SSH访问ASA 从PC1可以访问outside和dmz区的网站，从Out主机可以访问DMZ区的Web站点从PC1可以ping通Out主 三、实验拓扑图 四、配置步骤 （一）路由器配置 int f1/0 ip add 200.0.0.1 255.255.255.252 no sh
int f0/0 ip add 200.2.2.254 255.255.255.0 no sh exit ip route 0.0.0.0 0.0.0.0 200.0.0.2 end (二) ASA基本属性配置 1、接口配置 Interface E 0/0 Ip address 192.168.0.254 255.255.255.0 Nameif inside //设置内接口名字 Security-level 100 //设置内接口安全级别 No shutdown Interface E 0/1 Ip add 192.168.1.254 255.255.255.0 Nameif dmz //设置接口为DMZ Security-level 50 //设置DMZ接口的安全级别 No shutdown Interface E 0/2 Ip address 200.0.0.2 255.255.255.252 Nameif outside //设置外接口名字 Security-level 0 //设置外接口安全级别 No shutdown 2、ASA路由配置：静态路由方式 (config)#Route outside 0.0.0.0 0.0.0.0 200.0.0.1 3、从PC1上可以PING通OUT主机 默认情况下不允许ICMP流量穿过，从内Ping外网是不通的，因为ICMP应答的报文返回时不能穿越防火墙，可以配置允许几种报文通过， (Config)# Access-list 111 permit icmp any any
CISCO ASA5520配置手册
CISCO ASA5520配置手册 CD-ASA5520# show run: Saved : ASA V ersion 7.2(2) ! hostname CD-ASA5520 //给防火墙命名 domain-name default.domain.invalid //定义工作域 enable password 9jNfZuG3TC5tCVH0 encrypted // 进入特权模式的密码 Names dns-guard ! interface GigabitEthernet0/0 //内网接口： duplex full //接口作工模式：全双工，半双，自适应 nameif inside //为端口命名：内部接口inside security-level 100 //设置安全级别0~100 值越大越安全 ip address 192.168.1.1 255.255.255.0 //设置本端口的IP地址 ! interface GigabitEthernet0/1 //外网接口 nameif outside //为外部端口命名：外部接口outside security-level 0 ip address 202.98.131.122 255.255.255.0 //IP地址配置 ! interface GigabitEthernet0/2 nameif dmz security-level 50 ip address 192.168.2.1 255.255.255.0 ! interface GigabitEthernet0/3 Shutdown no nameif no security-level no ip address ! interface Management0/0 //防火墙管理地址shutdown no nameif no security-level no ip address !passwd 2KFQnbNIdI.2KYOU encrypted ftp mode passive clock timezone CST 8 dns server-group DefaultDNS domain-name default.domain.invalid access-list outside_permit extended permit tcp any interface outside eq 3389 //访问控制列表 access-list outside_permit extended permit tcp any interface outside range 30000 30010
CISCO ASA5520的基本配置
CISCO ASA5520的基本配置 1、配置接口：interface、名字：nameif、IP address、security-level nameif 是我们为这个接口指定的具体名字。 security-level表示这个接口的安全等级。一般情况下，可以把企业内部接口的安全等级可以设置的高一点，而企业外部接口的安全等级则可以设置的低一点。如此的话，根据防火墙的访问规则，安全级别高的接口可以防卫安全级别低的接口。也就是说，不需要经过特殊的设置，企业内部网络就可以访问企业外部网络。而如果外部网络访问内部网络，由于是安全级别低的接口访问安全级别高的接口，则必须要要进行一些特殊的设置，如需要访问控制列表的支持 ；这里是配置外网的接口，名字是outside，安全级别0，IP地址我隐藏了。输入ISP给您提供的地址就行了。 interface GigabitEthernet0/0 nameif outside security-level 0 ip address *.*.*.* 255.255.255.0 ；这里是配置内网的接口 interface GigabitEthernet0/1 nameif inside security-level 100 ip address 172.19.12.2 255.255.255.0 ! 2、网络部分设置 global (outside) 1 interface /*所有IP访问外网全部转换成该端口的IP出去，即PAT nat (inside) 1 0.0.0.0 0.0.0.0 /*表示转换网段中的所有地址。定义内部网络地址将要翻译成的全局地址或地址范围 route outside 0.0.0.0 0.0.0.0 *.*.*.* 1 /*设置外网路由的网关，最后的1是路由的跳数route inside 172.19.74.0 255.255.254.0 172.19.12.1 1 /*设定路由回指到内部的子网route inside 172.19.76.0 255.255.252.0 172.19.12.1 1 3、!开启asdm http server enable
华为防火墙路由双机备份手册
配置路由模式下主备备份方式的双机热备份举例 组网需求 Eudemon 1000E作为安全设备被部署在业务节点上。其中上下行设备均是交换机，Eudemon 1000E A、Eudemon 1000E B分别充当主用设备和备用设备，且均工作在路由模式下。 网络规划如下： ?需要保护的网段地址为10.100.10.0/24，与Eudemon 1000E的GigabitEthernet 0/0/1接口相连，部署在Trust区域。 ?外部网络与Eudemon 1000E的GigabitEthernet 0/0/3接口相连，部署在Untrust区域。 ?两台Eudemon 1000E的HRP备份通道接口GigabitEthernet 0/0/2部署在DMZ区域。 其中，各安全区域对应的VRRP组虚拟IP地址如下： ?Trust区域对应的VRRP组虚拟IP地址为10.100.10.1/24。 ?Untrust区域对应的VRRP组虚拟IP地址为202.38.10.1/24。 ?DMZ区域对应的VRRP组虚拟IP地址为10.100.20.1/24。 组网图如图1所示。 图1 路由模式下主备备份方式的双机热备份配置举例组网图 数据规划
操作步骤 1.在Eudemon 1000E A上完成以下基本配置。 # 配置GigabitEthernet 0/0/1的IP地址。
asa5520防火墙透明模式的配置例子
asa5520防火墙透明模式的配置例子 ciscoasa# sh run : Saved : ASA Version (3) ! firewall transparent hostname ciscoasa domain-name enable password 8Ry2YjIyt7RRXU24 encrypted names ! interface GigabitEthernet0/0 nameif outside security-level 0 ! interface GigabitEthernet0/1 nameif inside security-level 100 ! interface GigabitEthernet0/2 shutdown no nameif
no security-level ! interface GigabitEthernet0/3 shutdown no nameif no security-level ! interface Management0/0 nameif management security-level 100 ip address management-only ! passwd encrypted ftp mode passive dns server-group DefaultDNS domain-name access-list acl_inside extended permit ip any any access-list acl_inside extended permit icmp any any access-list acl_outside extended permit tcp any any eq 3306 access-list acl_outside extended permit tcp any any eq www access-list acl_outside extended permit tcp any any eq 8080 access-list acl_outside extended permit tcp any any eq https access-list acl_outside extended permit tcp any any eq sqlnet
网神防火墙配置HA双机热备
VRRP的演示试验 fw1 fw2 pc1pc2 172.16.30.2 172.16.30.3 172.16.30.4 fe2 fe2 fe3 fe3 fe4 fe4 192.168.1.3 192.168.1.4 192.168.1.2 1.1.1.1 1.1.1.2 172.16.30.1192.168.1.1 链路1 链路2 拓扑说明：PC1通过HUB连接到fw1和fw2（172.16.30.1这个地址是虚拟IP，下面将会在配置防火墙的过程中讲到），PC2也是通过HUB连接到fw1和fw2。 实验要求：PC1和PC2能够互相ping通，当链路1或者链路2断开时，照样可以互相PING，并且可以在两个防火墙上抓包分析，ICMP包是通过哪个防火墙。 实验步骤： 我们设fw1为主墙，下面我们首先为主墙进行配置。 1、配置IP
2、配置安全规则 P1这条规则允许双向同步secgate_ha_conf服务，必须加的。其中P2这条规则是允许VRRP组播报告，可加可不加，不会影响实验过程。 P3、P4两个包过滤想必不说也应该清楚吧。 3、HA基本配置 同步网口为fe4，同步IP为1.1.1.1，主墙一定要设置为控制节点。
注意实例名称和VRID和备墙一一对应起来。
把两个接口关联起来点启启动。 下面我们再来配置下备墙。 1、配置IP 2、HA基本配置 需要手动同步的话可以在从安全网关那输入网关地址1.1.1.1,然后点击同步所有配置，这样就能实现手动同步。 注：同步完后需重启备墙才能生效，备墙不能选择为控制节点。 3、添加VRRP实例
4、添加VRRP关联 添加完后点击启动
Cisco ASA 5505 防火墙常用配置案例
interface Vlan2 nameif outside --------------------对端口命名外端口 security-level 0 --------------------设置端口等级 ip address X.X.X.X 255.255.255.224 --------------------调试外网地址 ! interface Vlan3 nameif inside --------------------对端口命名内端口 security-level 100 --------------------调试外网地址 ip address 192.168.1.1 255.255.255.0 --------------------设置端口等级 ! interface Ethernet0/0 switchport access vlan 2 --------------------设置端口VLAN与VLAN2绑定 ! interface Ethernet0/1 switchport access vlan 3 --------------------设置端口VLAN与VLAN3绑定 ! interface Ethernet0/2 shutdown ! interface Ethernet0/3 shutdown ! interface Ethernet0/4 shutdown ! interface Ethernet0/5 shutdown ! interface Ethernet0/6 shutdown ! interface Ethernet0/7 shutdown ! passwd 2KFQnbNIdI.2KYOU encrypted ftp mode passive dns domain-lookup inside dns server-group DefaultDNS name-server 211.99.129.210 name-server 202.106.196.115 access-list 102 extended permit icmp any any ------------------设置ACL列表（允许ICMP全部通过） access-list 102 extended permit ip any any ------------------设置ACL列表（允许所有IP全部通过）
- 华为防火墙路由双机备份手册
- 华为防火墙双机热备配置及组网(DOC)
- Cisco防火墙双机配置文档
- CheckPoint 防火墙 双机 HA 实施 方案
- SecPath-防火墙双机热备典型配置
- 华为防火墙-双机热备配置
- 华为防火墙VRRP双机热备配置及组网
- SecPath-防火墙双机热备典型配置
- HC120119004 USG防火墙双机热备业务特性与配置
- 华为防火墙(VRRP)双机热备配置及组网
- ASA5520防火墙双机配置
- 防火墙双机热备配置案例
- -华为防火墙(VRRP)双机热备配置及组网
- 防火墙双机热备配置案例
- H3C 防火墙双机热备虚拟防火墙精编版
- 防火墙双机热备 配置案例
- 防火墙双机热备3.3配置案例
- 天融信防火墙双机热备配置说明
- 华为一道门防火墙的双机配置
- 防火墙双机热备配置案例精编WORD版