Juniper NETSCREEN NSRP典型配置及維護

一、NSRP工作原理
       NSRP（NetScreen Redundant Protocol）是Juniper公司基於VRRP協議規範自行開發的設備冗餘協議。防火牆作為企業核心網絡中的關鍵設備，需要為所有進出網絡的信息流提供安全保護，為滿足客戶不間斷業務訪問需求，要求防火牆設備必須具備高可靠性，能夠在設備、鏈路及互連設備出現故障的情況下，提供網絡訪問路徑無縫切換。NSRP冗餘協議提供複雜網絡環境下的冗餘路徑保護機制。NSRP主要功能有：
       1、在高可用群組成員之間同步配置信息；2、提供活動會話同步功能，以保證發生路徑切換情況下不會中斷網絡連接；3、採用高效的故障切換算法，能夠在短短幾秒內迅速完成故障檢測和狀態切換。
       NSRP集群兩種工作模式：
       一、Active/Passive模式：通過對一個冗餘集群中的兩台安全設備進行電纜連接和配置，使其中一台設備作為主用設備，另一台作為備用設備。主用設備負責處理所有網絡信息流，備用設備處於在線備份狀態。主設備將其網絡和配置命令及當前會話信息傳播到備用設備，備用設備始終保持與主用設備配置信息和會話連接信息的同步，並跟踪主用設備狀態，一旦主設備出現故障，備份設備將在極短時間內晉升為主設備並接管信息流處理。
       二、Active/Active模式：在NSRP中創建兩個虛擬安全設備(VSD) 組，每個組都具有自己的虛擬安全接口(VSI)，通過VSI接口與網絡進行通信。設備A充當VSD組1的主設備和VSD 組2的備份設備。設備B充當VSD組2的主設備和VSD組1的備份設備。Active/Active模式中兩台防火牆同時進行信息流的處理並彼此互為備份。在雙主動模式中不存在任何單一故障點。如下圖所示，通過調整防火牆上下行路由/交換設備到網絡的路由指向，HostA通過左側路徑訪問ServerA，HostB通過右側路徑訪問ServerB，網絡中任一設備或鏈路出現故障時，NSRP集群均能夠做出正確的路徑切換。
       NSRP集群技術優勢主要體現於：
       1、消除防火牆及前後端設備單點故障，提供網絡高可靠性。即使在骨幹網絡中兩類核心設備同時出現故障，也能夠保證業務安全可靠運行。
       2、根據客戶網絡環境和業務可靠性需要，提供靈活多樣的可靠組網方式。NSRP雙機集群能夠提供1、Active-Passive模式Layer2/3多虛擬路由器多虛擬系統和口型/交叉型組網方式；2、Active-Active模式Layer2/3多虛擬路由器多虛擬系統和口型/ Fullmesh交叉型組網方式。為用戶提供靈活的組網選擇。
       3、NSRP雙機結構便於網絡維護管理，通過將流量在雙機間的靈活切換，在防火牆軟件升級、前後端網絡結構優化改造及故障排查時，雙機結構均能夠保證業務的不間斷運行。
       4、結合Netscreen虛擬系統和虛擬路由器技術，部署一對NSRP集群防火牆，可以為企業更多的應用提供靈活可靠的安全防護，減少企業防火牆部署數量和維護成本。

二、NSRP典型結構與配置
       1、Layer3 口型A/P組網模式
       Layer3 口型A/P組網模式是當前很多企業廣泛採用的HA模式，該模式具有對網絡環境要求不高，無需網絡結構做較大調整，具有較好冗餘性、便於管理維護等優點。缺點是Netscreen防火牆利用率不高，同一時間只有一台防火牆處理網絡流量；冗餘程度有限，僅在一側鏈路和設備出現故障時提供冗餘切換。Layer3 口型組網A/P模式具有較強冗餘性、低端口成本和網絡結構簡單、便於維護管理等角度考慮，成為很多企業選用該組網模式的標準​​。
      配置說明：兩台Netscreen設備採用相同硬件型號和軟件版本，組成Active/Passive冗餘模式，兩台防火牆均使用一致的Ethernet接口編號連接到網絡。通過雙HA端口或將2Ethernet接口放入HA區段，其中控制鏈路用於NSRP心跳信息、配置信息和Session會話同步，數據鏈路用於在兩防火牆間必要時傳輸數據流量。
       NS-A（主用）: 
       Set hostname NS-A /***定義主機名***/ 
       Set interface ethernet1 zone untrust 
       Set interface ethernet1 ip 100.1.1.4/29 
       Set interface ethernet1 route 
       Set interface ethernet2 zone trust 
       Set interface ethernet2 ip 192.168.1.4/29 
       Set interface ethernet2 route 
       Set interface mgt ip 192.168.2.1/24 /***通過管理口遠程管理NS-A***/ 
       /***配置接口：Untrust/Trust Layer3路由模式** */ 
       Set interface ethernet3 zone HA 
       Set interface ethernet4 zone HA 
       /***Eth3和Eth4口用於HA互連，用於同步配置文件、會話信息和跟踪設備狀態信息***/ 
       set nsrp cluster id 1 
       set nsrp rto-mirror sync 
       set nsrp vsd-group id 0 priority 50 /***缺省值為100，低值優先成為主用設備***/ 
       set nsrp monitor interface ethernet2 
       set nsrp monitor interface ethernet1 
       /***配置NSRP ：Vsd-group缺省為0，VSI使用物理接口IP地址，非搶占模式***/ 
       NS-B（備用）: 
       Set hostname NS-B /***定義主機名***/ 
       Set interface ethernet1 zone Untrust 
       Set interface ethernet1 ip 100.1.1.4/29 
       Set interface ethernet1 route 
       Set interface ethernet2 zone trust 
       Set interface ethernet2 ip 192.168.1.4/29 
       Set interface ethernet2 route 
       Set interface mgt ip 192.168.2.2/24 /***通過管理口遠程管理NS-A***/ 
       /***配置接口：Untrust/Trust Layer3路由模式***/ 
       Set interface ethernet3 zone HA 
       Set interface ethernet4 zone HA 
       /***Eth3和Eth4口用於HA互連，用於同步配置文件、會話信息和跟踪設備狀態信息***/ 
       set nsrp cluster id 1 
       set nsrp rto-mirror sync 
       set nsrp vsd-group id 0 priority 100 
       set nsrp monitor interface ethernet2 
       set nsrp monitor interface ethernet1 
       /***Vsd -group缺省為0，VSI使用物理接口IP地址，備用設備：優先級100，成為非搶占模式***/
       2、Layer3 Fullmesh A/P組網模式
       Layer3 Fullmesh連接A/P組網使用全交叉網絡連接模式，容許在同一設備上提供鏈路級冗餘，發生鏈路故障時，由備用鏈路接管網絡流量，防火牆間無需進行狀態切換。僅在上行或下行兩條鏈路同時發生故障情況下，防火牆才會進行狀態切換，Fullmesh連接進一步提高了業務的可靠性。該組網模式在提供設備冗餘的同時提供鏈路級冗餘，成為很多企業部署關鍵業務時的最佳選擇。
       NS-A（Active）: 
       Set hostname NS-A /***定義主機名***/ 
       Set interface mgt ip 192.168.2.1/24 /***通過管理口遠程管理NS-A***/ 
       Set interface red1 zone Untrust /***創建冗餘接口1***/ 
       Set interface e1 zone null 
       Set interface e1 group red1 
       Set interface e2 zone null 
       Set interface e2 group red1 
       Set interface red1 ip 10.1.1.4/29 
       Set interface red2 zone trust 
       Set interface e3 zone null 
       Set interface e3 group red2 
       Set interface e4 zone null 
       Set interface e4 group red2 
       Set interface red2 ip 192.168.1.4/29 
       /***配置接口：Untrust/Trust Layer3路由模式***/ 
       Set interface ethernet7 zone ha 
       Set interface ethernet8 zone ha 
       set nsrp cluster id 1 
       set nsrp rto-mirror sync /***容許會話信息自動同步***/ 
       set nsrp vsd-group id 0 priority 50 
       set nsrp monitor interface ethernet2 
       set nsrp monitor interface ethernet1 
       / ***配置NSRP：Vsd-group缺省為0，VSI使用物理接口IP地址，優先級為50，非搶占模式***/ 
       NS-B（Backup）: 
       Set hostname NS-B /***定義主機名***/ 
       Set interface mgt ip 192.168.2.2/24 /***通過管理口遠程管理NS-A***/ 
       Set interface red1 zone Untrust /***創建冗餘接口***/ 
       Set interface e1 zone null 
       Set interface e1 group red1 /***將該物理接口放置到冗餘接口中***/ 
       Set interface e2 zone null 
       Set interface e2 group red1 
       Set interface red1 ip 10.1.1.4/29 
       Set interface red2 zone trust 
       Set interface e3 zone null 
       Set interface e3 group red2 
       Set interface e4 zone null 
       Set interface e4 group red2 
       Set interface red2 ip 192.168.1.4/29 
       /***配置接口：Untrust/Trust Layer3路由模式***/ 
       Set interface ethernet7 zone ha 
       Set interface ethernet8 zone ha 
       set nsrp cluster id 1 
       set nsrp rto-mirror sync /***容許會話信息自動同步***/ 
       set nsrp vsd-group id 0 priority 100 
       set nsrp monitor interface ethernet2 
       set nsrp monitor interface ethernet1 
       / ***Vsd-group缺省為0，VSI使用物理接口IP地址，備用設備***/