上一篇文章中，我们讲述了双防火墙的基础配置，也就是利用心跳线配置防火墙的HRP，发生故障的时候，自动切换。
由于核心交换机还没配置完成，所以也不便测试，今天这篇文章会完结，所以后面会有故障测试的截图。
照顾到没看上一篇文章的读者，还是要把拓扑图贴一下，便于文章的阅读。
重申一下，上图中，AR1代表运营商双出口网络，事实上并不存在这台设备；并且，银行也并没有采用PPPOE链路，只是为了顺便展示一下PPPOE的配置而已。
两台华为的防火墙，fw1为主，fw2为备；两台华为核心交换机，没有采用堆叠技术，而是采用VRRP技术进行配置。
一、核心交换机的基础配置
[SW1]int Eth-Trunk 12
[SW1-Eth-Trunk12]mode lacp-static //两台核心交换机配置eth-trunk，并且设定聚合模式
[SW1-Eth-Trunk12]trunkport GigabitEthernet 0/0/2 to 0/0/3
[SW1-Eth-Trunk12]q
[SW1]vlan batch 10 20 100 //创建VLAN
[SW1]port-group group-member Eth-Trunk 12 GigabitEthernet 0/0/1 g0/0/4 g0/0/5
[SW1-port-group]p l t //网络设备之间的连接接口配置为trunk模式
[SW1-port-group]p t a v a //允许所有VLAN通过
[SW1-port-group]quit
[SW1]int g0/0/6
[SW1-GigabitEthernet0/0/6]p l a //6口和7口配置为access模式，并且划在VLAN100内
[SW1-GigabitEthernet0/0/6]p d v 100
[SW1-GigabitEthernet0/0/6]q
[SW1]int g0/0/7
[SW1-GigabitEthernet0/0/7]p l a
[SW1-GigabitEthernet0/0/7]p d v 100
[SW1-GigabitEthernet0/0/7]q
核心2的配置，基本上差不多，就不再重复了，下面两台接入层的交换机，也很简单
二、接入交换机的基础配置
[SW3]vlan batch 10 20 100
[SW3]port-group group-member e0/0/1 e0/0/2
[SW3-port-group]p l t
[SW3-port-group]p t a v a
[SW3-port-group]q
[SW3]int e0/0/3
[SW3-Ethernet0/0/3]p l a
[SW3-Ethernet0/0/3]p d v 10
[SW3-Ethernet0/0/3]q
[SW4]vlan batch 10 20 100
[SW4]port-group group-member e0/0/1 e0/0/2
[SW4-port-group]p l t
[SW4-port-group]p t a v a
[SW4-port-group]q
[SW4]port-group group-member e0/0/3 e0/0/4
[SW4-port-group]p l a
[SW4-port-group]p d v 20
[SW4-port-group]q
三、交换机配置MSTP和VRRP
[SW1]stp mode mstp //切换为mstp模式，应该是默认值，稳妥起见，还是输入一遍吧
[SW1]stp region-configuration
[SW1-mst-region]region-name huawei
[SW1-mst-region]revision-level 1
[SW1-mst-region]instance 1 vlan 10 100 //sw1主要跑vlan10和vlan100的数据流量
[SW1-mst-region]instance 2 vlan 20
[SW1-mst-region]ac region-configuration
[SW1-mst-region]quit
[SW1]stp instance 1 root primary
[SW1]stp instance 2 root secondary
[SW1]int g0/0/6 //6和7接口是连接电脑和服务器，所以设置为边缘端口，加快STP收敛
[SW1-GigabitEthernet0/0/6]stp edged-port enable
[SW1-GigabitEthernet0/0/6]int g0/0/7
[SW1-GigabitEthernet0/0/7]stp edged-port enable
[SW1-GigabitEthernet0/0/7]q
MSTP配完了，紧接着配置VRRP
[SW1]int vlan 10
[SW1-Vlanif10]ip add 192.168.10.1 24
[SW1-Vlanif10]vrrp vrid 1 virtual-ip 192.168.10.254
[SW1-Vlanif10]vrrp vrid 1 priority 120
[SW1-Vlanif10]quit
[SW1]int vlan 20
[SW1-Vlanif20]ip add 192.168.20.1 24
[SW1-Vlanif20]vrrp vrid 2 virtual-ip 192.168.20.254
[SW1-Vlanif20]q
继续配置DHCP Server
[SW1]dhcp enable
[SW1]ip pool VLAN10
[SW1-ip-pool-vlan10]network 192.168.10.0 mask 24
[SW1-ip-pool-vlan10]excluded-ip-address 192.168.10.1 192.168.10.10
[SW1-ip-pool-vlan10]gateway-list 192.168.10.254
[SW1-ip-pool-vlan10]dns-list 114.114.114.114
[SW1-ip-pool-vlan10]q
[SW1]int Vlanif 10
[SW1-Vlanif10]dhcp select global
[SW1-Vlanif10]q
[SW1]ip pool VLAN20
[SW1-ip-pool-vlan20]network 192.168.20.0 mask 24
[SW1-ip-pool-vlan20]excluded-ip-address 192.168.20.1 192.168.20.10
[SW1-ip-pool-vlan20]gateway-list 192.168.20.254
[SW1-ip-pool-vlan20]dns-list 114.114.114.114
[SW1-ip-pool-vlan20]q
[SW1]int vlan 20
[SW1-Vlanif20]dhcp select global
[SW1-Vlanif20]q
[SW2]stp region-configuration
[SW2-mst-region] region-name huawei
[SW2-mst-region] revision-level 1
[SW2-mst-region] instance 1 vlan 10 100
[SW2-mst-region] instance 2 vlan 20
[SW2-mst-region] active region-configuration
[SW2]stp instance 1 root secondary
[SW2]stp instance 2 root primary //sw2主要跑vlan20的数据流量
[SW2]int vlan 10
[SW2-Vlanif10]ip address 192.168.10.2 24
[SW2-Vlanif10]vrrp vrid 1 virtual-ip 192.168.10.254
[SW2-Vlanif10]q
[SW2]int vlan 20
[SW2-Vlanif20]ip address 192.168.20.2 24
[SW2-Vlanif20]vrrp vrid 2 virtual-ip 192.168.20.254
[SW2-Vlanif20]vrrp vrid 2 priority 120
[SW2-Vlanif20]q
[SW2]ip pool vlan10
[SW2-ip-pool-vlan10] gateway-list 192.168.10.254
[SW2-ip-pool-vlan10] network 192.168.10.0 mask 255.255.255.0
[SW2-ip-pool-vlan10] excluded-ip-address 192.168.10.1 192.168.10.10
[SW2-ip-pool-vlan10] dns-list 114.114.114.114
[SW2]ip pool vlan20
[SW2-ip-pool-vlan20] gateway-list 192.168.20.254
[SW2-ip-pool-vlan20] network 192.168.20.0 mask 255.255.255.0
[SW2-ip-pool-vlan20] excluded-ip-address 192.168.20.1 192.168.20.10
[SW2-ip-pool-vlan20] dns-list 114.114.114.114
[SW2-ip-pool-vlan20]q
[SW2]dhcp enable
[SW2]int vlan 10
[SW2-Vlanif10]dhcp se gl
[SW2-Vlanif10]q
[SW2]int vlan 20
[SW2-Vlanif20]dhcp se gl
[SW2-Vlanif20]q
两台核心交换机上都配置了DHCP，你们猜会不会有地址池冲突？会不会有DHCP服务冲突？
不仅是两台核心，下面的接入层交换机，也要做相应的配置
[SW3]stp region-configuration
[SW3-mst-region] region-name huawei
[SW3-mst-region] revision-level 1
[SW3-mst-region] instance 1 vlan 10 100
[SW3-mst-region] instance 2 vlan 20
[SW3-mst-region] active region-configuration
[SW3]int e0/0/3
[SW3-Ethernet0/0/3]stp ed enable
[SW3-Ethernet0/0/3]q
[SW4]stp region-configuration
[SW4-mst-region] region-name huawei
[SW4-mst-region] revision-level 1
[SW4-mst-region] instance 1 vlan 10 100
[SW4-mst-region] instance 2 vlan 20
[SW4-mst-region] active region-configuration
[SW4]int e0/0/3
[SW4-Ethernet0/0/3]stp edged-port enable
[SW4-Ethernet0/0/3]q
[SW4]int e0/0/4
[SW4-Ethernet0/0/4]stp edged-port enable
[SW4-Ethernet0/0/4]q
一顿操作猛如虎，PC拿到IP；
四、与防火墙对接的配置：
[SW1]vlan 111
[SW1-vlan111]q
[SW1]int Vlanif 111
[SW1-Vlanif111]ip add 172.16.111.1 24
[SW1-Vlanif111]quit
[SW1]ospf router-id 172.1.1.1
[SW1-ospf-1]area 0
[SW1-ospf-1-area-0.0.0.0]net 192.168.10.1 0.0.0.0
[SW1-ospf-1-area-0.0.0.0]net 192.168.20.1 0.0.0.0
[SW1-ospf-1-area-0.0.0.0]net 172.16.111.1 0.0.0.0
[SW1-ospf-1-area-0.0.0.0]q
[SW2]vlan 112
[SW2-vlan112]q
[SW2]int vlan 112
[SW2-Vlanif112]ip add 172.16.112.2 24
[SW2-Vlanif112]q
[SW2]ospf router-id 172.16.112.2
[SW2-ospf-1]area 0
[SW2-ospf-1-area-0.0.0.0]network 192.168.10.2 0.0.0.0
[SW2-ospf-1-area-0.0.0.0]network 192.168.20.2 0.0.0.0
[SW2-ospf-1-area-0.0.0.0]net 172.16.112.2 0.0.0.0
[SW2-ospf-1-area-0.0.0.0]q
上一篇文章中，两台防火墙也配置了OSPF，现在OSPF能跑起来了：
这时候，PC1和PC2是无法访问PC3和Server1的，因为PC3和Server1在VLAN10里面，而VLAN10的网关是防火墙的VRRP IP，有些人会问，VLAN10的网关为什么不放在交换机的VRRP上呢？
因为，服务器更需要安全防护，所以访问服务器必须经过防火墙先生的同意和监管，嘿嘿。
所以，我们需要配置相应的安全策略才行。
security-policy
rule name in2server //创建安全策略，名称自己知道意义就行
source-zone trust //源安全区域：trust
destination-zone dmz //目的安全区域：dmz
destination-address 192.168.100.0 mask 255.255.255.0 //目标地址
service ftp //FTP服务
service http //HTTP服务
service icmp //Ping服务
action permit //行为：允许
这条安全策略的意思是：允许trust区域内的电脑访问DMZ区域内的服务器，但仅限于http、ftp，ping只是为了测试而已，加不加无所谓，先测试一下吧。
Client1能够访问Server1上面的HTTP服务了，紧接着再来一条上网的策略吧：
security-policy
rule name internet
source-zone dmz local trust //local是指防火墙本身，要不要允许连接互联网，那就见仁见智了
destination-zone untrust //互联网肯定是untrust区域
action permit
想上互联网，只有安全策略还不行，还要配置NAT策略：
nat-policy
rule name internet
source-zone trust
action source-nat easy-ip
配置完成，来模拟一下防火墙故障，看看VRRP是否会自动切换，直接在模拟器中“停止”FW1，PC1上tracert检查出路径：
从上图中可以看到，FW1故障之前，PC1是走PPPOE拨号的宽带出去的，FW1故障掉线后，PC1就从固定IP的链路出去了。
再来看防火墙的VRRP状态吧：
FW2已经接替FW1，成为VLAN100的Master设备，说明防火墙VRRP配置正确，及时响应，没有影响PC上网；
再看一下交换机的VRRP，因为FW1的故障，核心交换机的VRRP也会感知，从而切换Master角色：
虽然只是FW1挂了，核心1在正常工作中，但是由于链路down了，所以，此刻的核心2还是独自承担了所有，VLAN10和VLAN20的数量流量全部走核心2了。
至此，双防火墙+双核心交换机的配置基本上完成，后面就是一些细节上的调整和完善了。
热门跟贴