Netscreen NSRP双机典型配置及维护.docx
《Netscreen NSRP双机典型配置及维护.docx》由会员分享，可在线阅读，更多相关《Netscreen NSRP双机典型配置及维护.docx（13页珍藏版）》请在冰豆网上搜索。
NetscreenNSRP双机典型配置及维护
NETSCREENNSRP典型配置及维护
一、NSRP工作原理
NSRP（NetScreenRedundantProtocol）是Juniper公司基于VRRP协议规范自行开发的设备冗余协议。
防火墙作为企业核心网络中的关键设备，需要为所有进出网络的信息流提供安全保护，为满足客户不间断业务访问需求，要求防火墙设备必须具备高可靠性，能够在设备、链路及互连设备出现故障的情况下，提供网络访问路径无缝切换。
NSRP冗余协议提供复杂网络环境下的冗余路径保护机制。
NSRP主要功能有：
1、在高可用群组成员之间同步配置信息；2、提供活动会话同步功能，以保证发生路径切换情况下不会中断网络连接；3、采用高效的故障切换算法，能够在短短几秒内迅速完成故障检测和状态切换。
NSRP集群两种工作模式：
一、Active/Passive模式：
通过对一个冗余集群中的两台安全设备进行电缆连接和配置，使其中一台设备作为主用设备，另一台作为备用设备。
主用设备负责处理所有网络信息流，备用设备处于在线备份状态。
主设备将其网络和配置命令及当前会话信息传播到备用设备，备用设备始终保持与主用设备配置信息和会话连接信息的同步，并跟踪主用设备状态，一旦主设备出现故障，备份设备将在极短时间内晋升为主设备并接管信息流处理。
二、Active/Active模式：
在NSRP中创建两个虚拟安全设备（VSD）组，每个组都具有自己的虚拟安全接口（VSI），通过VSI接口与网络进行通信。
设备A充当VSD组1的主设备和VSD组2的备份设备。
设备B充当VSD组2的主设备和VSD组1的备份设备。
Active/Active模式中两台防火墙同时进行信息流的处理并彼此互为备份。
在双主动模式中不存在任何单一故障点。
如下图所示，通过调整防火墙上下行路由/交换设备到网络的路由指向，HostA通过左侧路径访问ServerA，HostB通过右侧路径访问ServerB，网络中任一设备或链路出现故障时，NSRP集群均能够做出正确的路径切换。
NSRP集群技术优势主要体现于：
1、消除防火墙及前后端设备单点故障，提供网络高可靠性。
即使在骨干网络中两类核心设备同时出现故障，也能够保证业务安全可靠运行。
2、根据客户网络环境和业务可靠性需要，提供灵活多样的可靠组网方式。
NSRP双机集群能够提供1、Active-Passive模式Layer2/3多虚拟路由器多虚拟系统和口型/交叉型组网方式；2、Active-Active模式Layer2/3多虚拟路由器多虚拟系统和口型/Fullmesh交叉型组网方式。
为用户提供灵活的组网选择。
3、NSRP双机结构便于网络维护管理，通过将流量在双机间的灵活切换，在防火墙软件升级、前后端网络结构优化改造及故障排查时，双机结构均能够保证业务的不间断运行。
4、结合Netscreen虚拟系统和虚拟路由器技术，部署一对NSRP集群防火墙，可以为企业更多的应用提供灵活可靠的安全防护，减少企业防火墙部署数量和维护成本。
二、NSRP典型结构与配置
1、Layer3口型A/P组网模式
Layer3口型A/P组网模式是当前很多企业广泛采用的HA模式，该模式具有对网络环境要求不高，无需网络结构做较大调整，具有较好冗余性、便于管理维护等优点。
缺点是Netscreen防火墙利用率不高，同一时间只有一台防火墙处理网络流量；冗余程度有限，仅在一侧链路和设备出现故障时提供冗余切换。
Layer3口型组网A/P模式具有较强冗余性、低端口成本和网络结构简单、便于维护管理等角度考虑，成为很多企业选用该组网模式的标准。
配置说明：
两台Netscreen设备采用相同硬件型号和软件版本，组成Active/Passive冗余模式，两台防火墙均使用一致的Ethernet接口编号连接到网络。
通过双HA端口或将2Ethernet接口放入HA区段，其中控制链路用于NSRP心跳信息、配置信息和Session会话同步，数据链路用于在两防火墙间必要时传输数据流量。
NS-A（主用）:
SethostnameNS-A/***定义主机名***/
Setinterfaceethernet1zoneuntrust
Setinterfaceethernet1ip100.1.1.4/29
Setinterfaceethernet1route
Setinterfaceethernet2zonetrust
Setinterfaceethernet2ip192.168.1.4/29
Setinterfaceethernet2route
Setinterfacemgtip192.168.2.1/24/***通过管理口远程管理NS-A***/
/***配置接口：
Untrust/TrustLayer3路由模式***/
Setinterfaceethernet3zoneHA
Setinterfaceethernet4zoneHA
/***Eth3和Eth4口用于HA互连，用于同步配置文件、会话信息和跟踪设备状态信息***/
setnsrpclusterid1
setnsrprto-mirrorsync
setnsrpvsd-groupid0priority50/***缺省值为100，低值优先成为主用设备***/
setnsrpmonitorinterfaceethernet2
setnsrpmonitorinterfaceethernet1
/***配置NSRP：
Vsd-group缺省为0，VSI使用物理接口IP地址,非抢占模式***/
setntpno-ha-sync
NSRP中包含一种机制，用于同步NSRP集群成员的系统时钟。
尽管同步操作以秒为单位，但NTP服务器却采用次秒级的定时机制。
由于处理延迟，可能导致每个集群成员的时间相差几秒。
当两个集群成员同时启用NTP时，junipernetworks建议禁用nsrp时间同步，因为这两个成员通过NTP服务器更新各自的时钟，要禁用NSRP时钟同步功能，请输入setntpno-ha-sync.
NS-B（备用）:
SethostnameNS-B/***定义主机名***/
Setinterfaceethernet1zoneUntrust
Setinterfaceethernet1ip100.1.1.4/29
Setinterfaceethernet1route
Setinterfaceethernet2zonetrust
Setinterfaceethernet2ip192.168.1.4/29
Setinterfaceethernet2route
Setinterfacemgtip192.168.2.2/24/***通过管理口远程管理NS-A***/
/***配置接口：
Untrust/TrustLayer3路由模式***/
Setinterfaceethernet3zoneHA
Setinterfaceethernet4zoneHA
/***Eth3和Eth4口用于HA互连，用于同步配置文件、会话信息和跟踪设备状态信息***/
setnsrpclusterid1
setnsrprto-mirrorsync
setnsrpvsd-groupid0priority100
setnsrpmonitorinterfaceethernet2
setnsrpmonitorinterfaceethernet1
/***Vsd-group缺省为0，VSI使用物理接口IP地址，备用设备：
优先级100，成为非抢占模式***/
setntpno-ha-sync
NSRP中包含一种机制，用于同步NSRP集群成员的系统时钟。
尽管同步操作以秒为单位，但NTP服务器却采用次秒级的定时机制。
由于处理延迟，可能导致每个集群成员的时间相差几秒。
当两个集群成员同时启用NTP时，junipernetworks建议禁用nsrp时间同步，因为这两个成员通过NTP服务器更新各自的时钟，要禁用NSRP时钟同步功能，请输入setntpno-ha-sync.
2、Layer3FullmeshA/P组网模式
Layer3Fullmesh连接A/P组网使用全交叉网络连接模式，容许在同一设备上提供链路级冗余，发生链路故障时，由备用链路接管网络流量，防火墙间无需进行状态切换。
仅在上行或下行两条链路同时发生故障情况下，防火墙才会进行状态切换，Fullmesh连接进一步提高了业务的可靠性。
该组网模式在提供设备冗余的同时提供链路级冗余，成为很多企业部署关键业务时的最佳选择。
NS-A（Active）:
SethostnameNS-A/***定义主机名***/
Setinterfacemgtip192.168.2.1/24/***通过管理口远程管理NS-A***/
Setinterfacered1zoneUntrust/***创建冗余接口1***/
Setinterfacee1zonenull
Setinterfacee1groupred1
Setinterfacee2zonenull
Setinterfacee2groupred1
Setinterfacered1ip10.1.1.4/29
Setinterfacered2zonetrust
Setinterfacee3zonenull
Setinterfacee3groupred2
Setinterfacee4zonenull
Setinterfacee4groupred2
Setinterfacered2ip192.168.1.4/29
/***配置接口：
Untrust/TrustLayer3路由模式***/
Setinterfaceethernet7zoneha
Setinterfaceethernet8zoneha
setnsrpclusterid1
setnsrprto-mirrorsync/***容许会话信息自动同步***/
setnsrpvsd-groupid0priority50
setnsrpmonitorinterfaceethernet2
setnsrpmonitorinterfaceethernet1
/***配置NSRP：
Vsd-group缺省为0，VSI使用物理接口IP地址，优先级为50，非抢占模式***/
setntpno-ha-sync
NSRP中包含一种机制，用于同步NSRP集群成员的系统时钟。
尽管同步操作以秒为单位，但NTP服务器却采用次秒级的定时机制。
由于处理延迟，可能导致每个集群成员的时间相差几秒。
当两个集群成员同时启用NTP时，junipernetworks建议禁用nsrp时间同步，因为这两个成员通过NTP服务器更新各自的时钟，要禁用NSRP时钟同步功能，请输入setntpno-ha-sync.
NS-B（Backup）:
SethostnameNS-B/***定义主机名***/
Setinterfacemgtip192.168.2.2/24/***通过管理口远程管理NS-A***/
Setinterfacered1zoneUntrust/***创建冗余接口***/
Setinterfacee1zonenull
Setinterfacee1groupred1/***将该物理接口放置到冗余接口中***/
Setinterfacee2zonenull
Setinterfacee2groupred1
Setinterfacered1ip10.1.1.4/29
Setinterfacered2zonetrust
Setinterfacee3zonenull
Setinterfacee3groupred2
Setinterfacee4zonenull
Setinterfacee4groupred2
Setinterfacered2ip192.168.1.4/29
/***配置接口：
Untrust/TrustLayer3路由模式***/
Setinterfaceethernet7zoneha
Setinterfaceethernet8zoneha
setnsrpclusterid1
setnsrprto-mirrorsync/***容许会话信息自动同步***/
setnsrpvsd-groupid0priority100
setnsrpmonitorinterfaceethernet2
setnsrpmonitorinterfaceethernet1
/***Vsd-group缺省为0，VSI使用物理接口IP地址，备用设备***/
setntpno-ha-sync
NSRP中包含一种机制，用于同步NSRP集群成员的系统时钟。
尽管同步操作以秒为单位，但NTP服务器却采用次秒级的定时机制。
由于处理延迟，可能导致每个集群成员的时间相差几秒。
当两个集群成员同时启用NTP时，junipernetworks建议禁用nsrp时间同步，因为这两个成员通过NTP服务器更新各自的时钟，要禁用NSRP时钟同步功能，请输入setntpno-ha-sync.
3、Layer3Fullmesh连接A/A组网模式
Layer3Fullmesh连接A/A结构提供了一种更为灵活的组网方式，在保证网络高可靠性的同时提升了网络的可用性。
A/A结构中两台防火墙同时作为主用设备并提供互为在线备份，各自独立处理信息流量并共享连接会话信息。
一旦发生设备故障另一台设备将负责处理所有进出网络流量。
Fullmesh连接A/A组网模式对网络环境要求较高，要求网络维护人员具备较强技术能力，防火墙发生故障时，接管设备受单台设备容量限制，可能会导致会话连接信息丢失，采用A/A模式组网时，建议每台防火墙负责处理的会话连接数量不超过单台设备容量的50％，以确保故障切换时不会丢失会话连接。
配置说明：
定义VSD0和VSD1虚拟安全设备组（创建ClusterID时将自动创建VSD0），其中NS-A为VSD0主用设备和VSD1备用设备，NS-B为VSD1主用设备和VSD0备用设备；创建冗余接口实现两物理接口动态冗余；配置交换机路由指向来引导网络流量经过哪个防火墙。
NS-A（Active）：
setinterfaceredundant1zoneUntrust
setinterfaceredundant1ip100.1.1.4/29/***VSD0的VSI接口使用物理接口IP地址***/
setinterfaceethernet1groupredundant1
setinterfaceethernet2groupredundant1
setinterfaceredundant2zonetrust
setinterfaceredundant2ip192.168.1.4/29
setinterfaceredundant2manage-ip192.168.2.1
setinterfaceethernet3groupredundant2
setinterfaceethernet4groupredundant2
/***配置冗余接口、定义Vsd0接口IP地址***/
setinterfaceredundant1:
1ip100.1.1.5/29
setinterfaceredundant2:
1ip192.168.1.5/29
/***VSD1的VSI接口需手动配置IP地址，冒号后面的1表示该接口属于VSD1的VSI***/
setinterfaceethernet7zoneha
setinterfaceethernet8zoneha
setnsrpclusterid1
setnsrpvsd-groupid0priority50
setnsrpvsd-groupid1/***VSD1使用缺省配置，优先级为100***/
setnsrprto-mirrorsync
setnsrpmonitorinterfaceredundant1
setnsrpmonitorinterfaceredundant2
setnsrpsecondary-pathethernet2/1
/***定义NSRP备用心跳接口，保证心跳连接信息不会丢失***/
setarpalways-on-dest
/***强制采用基于ARP表而不是会话表中的MAC地址转发封包***/
setvroutertrust-vrroute0.0.0.0/0interfaceredundant1gateway100.1.1.1
setvroutertrust-vrroute0.0.0.0/0interfaceredundant1:
1gateway100.1.1.1
NS-B（Active）：
setinterfaceredundant1zoneUntrust
setinterfaceredundant1ip100.1.1.4/29/***VSD0的VSI接口使用物理接口IP地址***/
setinterfaceethernet1groupredundant1
setinterfaceethernet2groupredundant1
setinterfaceredundant2zonetrust
setinterfaceredundant2ip192.168.1.4/29
setinterfaceredundant2manage-ip192.168.2.2
setinterfaceethernet3groupredundant2
setinterfaceethernet4groupredundant2
/***配置冗余接口、定义Vsd0接口IP地址***/
setinterfaceredundant1:
1ip100.1.1.5/29
setinterfaceredundant2:
1ip192.168.1.5/29
setinterfaceethernet7zoneha
setinterfaceethernet8zoneha
setnsrpclusterid1
/***定义一致的ClusterID，自动启用采用缺省配置的VSD0***/
setnsrprto-mirrorsync
setnsrpvsd-groupid1priority50
setnsrpmonitorinterfaceredundant1
setnsrpmonitorinterfaceredundant2
setnsrpsecondary-pathethernet2/1
/***定义NSRP备用心跳接口，保证心跳连接信息不会丢失***/
setarpalways-on-dest
/***强制采用基于ARP表而不是会话中的MAC地址转发封包***/
setvroutertrust-vrroute0.0.0.0/0interfaceredundant1gateway100.1.1.1
setvroutertrust-vrroute0.0.0.0/0interfaceredundant1:
1gateway100.1.1.1
三、NSRP常用维护命令
1、getlicense-key
查看防火墙支持的feature，其中NSRPA/A模式包含了A/P模式，A/P模式不支持A/A模式。
Lite版本是简化版，支持设备和链路冗余切换，不支持配置和会话同步。
2、execnsrpsyncglobal-configcheck-sum
检查双机配置命令是否同步
3、execnsrpsyncglobal-configsave
如双机配置信息没有自动同步，请手动执行此同步命令，需重启系统。
4、getnsrp
查看NSRP集群中设备状态、主备关系、会话同步以及参数开关信息。
5、Execnsrpsyncrtoallfrompeer
手动执行RTO信息同步，使双机保持会话信息一致
6、execnsrpvsd-group0modebackup
手动进行主备状态切换时，在主用设备上执行该切换命令，此时该主用设备没有启用抢占模式。
7、execnsrpvsd-group0modeineligible
手动进行主备状态切换时，在主用设备上执行该切换命令，此时该主用设备已启用抢占模式。
8、getalarmevent
检查设备告警信息，其中将包含NSRP状态切换信息
四、NetscreenNSRP维护案例
案例1:
Netscreen双机升级步骤
1．使用Tftp备份两台防火墙现有配置文件和OS系统文件。
2．升级步骤为先升级备用设备后升级主用设备，如果是Active/Active模式请切换为Active/Passive模式后再升级备用设备。
用笔记本电脑连接NS-B的Console口和MGT口，通过Web界面上对NS-B进行升级，并在Console口上观察升级过程。
3．NS-B升级后将自动重启，通过Console口观察重启过程。
启动后在console上输入getsystem命令，验证升级后的版本号。
输入getlicense，验证license信息是否符合升级要求。
输入getnsrp，验证此设备处于备机状态。
4．Session信息应该自动从主机上同步到备机。
为进一步确保Session信息同步，在NS-B上执行execnsrpsynrtoallfrompeer，手工同步Session信息。
5．主备双机进行状态切换。
用笔记本接NS-A的Console口，输入execnsrpvsd-group0modebackup命令，将状态切换。
使用getnsrp命令，验证设备状态已切换完成，此时NS-A为备机，NS-B为主机。
6．在Web界面上对NS-A进行升级，在Console口上观察升级过程。
7．NS-A升级后会自动重起，在Console口上观察重起过程。
启动后在console上输入getsystem命令，验证升级后的版本号。
输入getlicense，验证license信息是否满足升级需求。
输入getnsrp验证此台设备为备机状态。
8．恢复原先的主备状态：
在NS-B上执行execnsrpvsd-group0modebackup命令，将状态切换。
验证设备状态已切换完成，此时NS-A为主机，NS-B为备机。
9．在设备NS-A上执行execnsrpsynvsd-group0global-
升级会员 