E200基础知识和常见问题.pptVIP

E200基础知识和常见问题 8060 E200基础知识 防火墙的基本工作流程 防火墙的新增概念和功能 升级方法 使用注意事项 故障收集信息 防火墙的基本工作流程 传统包过滤防火墙（路由器） E200状态防火墙 新增概念和功能 1.域的概念 2.工作模式 3.HRP 新增概念和功能 1.域的概念 优先级 域间 加入接口 注意 本域内不同接口间不过滤直接转发 进、出接口相同的报文被丢弃 接口没有加入域之前不能转发包文 新增概念和功能（2） 2.工作模式 路由模式（主要的模式，接近路由器） 透明模式（类似于桥接） 混合模式（为了解决透明模式无法双机热被而实现的模式） 注意 混合模式现在有问题，实际上透明模式无法支持双机热备份 新增概念和功能（3） 3.HRP——D013之后一个重要功能 1、VRRP和VGMP 2、HRP VRRP和VGMP 传统VRRP备份组 在防火墙上应用的问题（多个组主备不一致） Vrrp Group Management Protocol 状态一致性（组内vrrp同步变换状态） 抢占管理（屏蔽vrrp抢占） 通道管理（data，trans-only） 两个防火墙上各接口之间的隶属关系 两个防火墙上的接口和安全区域的连接必须严格一一对应，包括接口插槽、类型、编号、相关配置等（IP地址除外）。 两个防火墙上各VRRP备份组之间的隶属关系 两个防火墙上的备份组编号、构成必须完全一样。这就是说EudemonA上的A1接口隶属备份组1，A2接口隶属备份组2，A3接口隶属备份组3；则EudemonB上的B1、B2和B3接口也必须分别隶属备份组1、2和3。 两个防火墙上各VRRP管理组之间的隶属关系 两个防火墙上的管理组编号、构成必须完全一样。这就是说EudemonA上的管理组包括备份组1、2和3，则EudemonB上的同样编号的管理组也必须包含备份组1、2和3。 同一防火墙上接口、备份组、管理组之间的隶属关系 同一防火墙（例如EudemonA）上，一个物理接口可以隶属多个VRRP备份组。一个备份组中能包含多个物理接口，对应多个虚拟IP地址。同一VRRP管理组可以包含多个备份组，但是相同备份组不能隶属多个VRRP管理组。 VRRP备份组提供的备份功能是相对于安全区域而言的，即每个安全区域对应一个备份组；而VRRP管理组实现了各VRRP状态的一致性，是相对于Eudemon防火墙而言的，在每个防火墙上都定义至少一个VRRP管理组，负责管理该Eudemon防火墙与各安全区域相关的备份组 VRRP的配置任务 (无◆符号，表示该配置仅适用于未加入管理组的备份组) 配置备份组的虚拟IP地址 ◆ 配置备份组的优先级◆ 配置备份组的抢占方式和延迟时间 配置备份组的认证方式和认证字◆ 配置备份组的定时器◆ 配置监视指定接口 VRRP管理组的配置包括： 创建VRRP管理组 使能VRRP管理组功能 配置向VRRP管理组添加备份组 配置VRRP管理组优先级 配置VRRP管理组抢占功能 配置VRRP管理组Hello报文的发送间隔 配置VRRP管理组的报文群发标志 HRP HRP（Huawei Redundancy Protocol）。 HRP协议是承载在VGMP报文上进行传输的，在Master和Backup防火墙设备之间备份关键配置命令和会话表状态信息 配置主备 当采用负载分担方式时，网络中存在两台Master防火墙。为了避免备份时混乱，Eudemon防火墙中引入了配置主设备、配置从设备概念。 配置主设备：发送配置备份内容的防火墙 配置从设备：接收配置备份内容的防火墙 只有VRRP管理组中状态为Master的防火墙才有机会成为配置主设备。 在负载分担方式下，参与双机热备份的两台Eudemon防火墙都是Master，此时则按照VRRP组优先级、接口真实IP地址从大到小的顺序选择配置主设备。 HRP/VGMP/VRRP关系 升级方法 E200升级方法 比较简单，大包中包含大Bootrom，直接升级大包即解决问题 老命令行E100升级方法 应对E100问题，三月出新命令行升级版本 首先要升级小Bootrom 然后升级为防火墙Bootrom 最后下载防火墙新软件 可以支持软件升级，不用更换硬件 使用注意事项 推荐配置 管理网口性能高，推荐作为主要业务口 打开快转（D013之前，之后缺省打开） 接口模式设置为百兆、全双工，不要协商 ACL条目较多，使用ACL加速算法 不使能ftp服务器（黑名单现在无法防范） 尽可能使用路由模式 TCP相关会话老化时间设置长一些 可以使能黑名单，防止非法登录防火墙 使用注意事项（2） 功能限制 目前版本尽量避免使用动态路由，D10SP1 目前不支持同一个报文在同一个接口上下，组