我们看个看个例子啊，防火墙一和防火墙二组成双击热被，上面是一个什么路由器，下面是一个交换机，下面是什么二层，上面是什么三层。怎么做呢？ 注意，我们这里边上三下二，我们配置成什么模式？ a s 模式，比如说这边，比如说这边是主，这边是被我们把破布搭起来， 一领口连下面，一口连上面， 然后我们防滑墙一和二之间，呃，心跳孔使用四和五， 四和五，然后我们再给它呃，把外部界面呢？ 管理口啊，我们通过外部界面也能够登上来，哎， 我们使用六口作为网管口， 我这个没桥接起来，桥接到我的虚拟网卡上，十点一点十，网关 通过六六口和房强连的。 好，我们启动一下， 下面是 trust， 上面是 untrust trust， 十点一点一点零，杠二四。上面这边的话，这一块的话十点一点二点零， 然后这个的话是十点一点幺幺点零，这边是十点一点幺二点零，这边是 easy trunk， easy trunk， 一， 把它放到 d m z 区，十点一点幺三点零，杠二四。 呃，这边是管理区啊，管理区 十点一点十点零。 好，那么 ip 地址我们规划一下，防火墙一上是点一，防火墙二上是点二点二，然后路由器的话都是点二五四。 呃， pc 是 点十，那么下面还有一个什么？下面还有一个下面，如果说是二层设备的话，我们两个防火墙要跑什么？ v r p， 共同需一个 ip 作为 pc 的 网关 v r i d， 比如一， 十点一点一点二五四， a i d， 一 点二五四。 ok， 我 们做一下， 施伟东给我们规划一下，规划一下步骤来，这个实验叫什么呢？防火墙，双击热备，上三下二。什么模式？ 我们先配一下 a s 模式是吧？主备模式，第一步，配什么区域接口 ip， 第二步呢？ 需要配路由吗？对，路由，第三步呢？第四步，配置安全策略。 pc， 我 们先配上。今天的作业就是这个实验啊，十点一点一点十，十点一点二五四， 十点一点二点十，十点一点二点二五四，是这样子啊，我们这个时间多增加一步。 我们假定这是什么外网，这是什么内网，公网上是没有到达什么私网的路由的。对，我们要上网的话，我们可以要配什么？ n e t n e t 第五步，安全策略，嗯，可以，嗯，好，那么我们按照规划的步骤来做一下。 fire zone trust 一 杠零杠零口。 fire zone untrust e 口 in face is a trunk 一 truck pot 一 杠零杠四 two 一 杠零杠五，加进来 fire zoo dmz add in face is a trunk 一， 添加进来， 下来 five four z 内幕，把六口添加到管理区，我们 p i p 一 杠零杠零，十点一点一点一，二四， 一口，十点一点幺幺点一，一，再创口口，十点一点幺三点一， 管理口，十点一点十点一，打开它的管理功能。方向二，上 trust 零口 untrust 把一口添加进来。管理口 配置 ezra trunk 心跳四和五 ezra trunk 十点一点幺三点二， 然后领口，十点一点一点二，一口，十点一点幺二点二，管理口，十点一点十点二，打开所有的管理功能 下了，我们通过外部界面登上来，先看能不能登上， 可以，是吧？我们二试一下能不能登上 十点一点十点二也能，是吧？我们先不管，我们先通过命令行配置先看一下，先把管理区域给他加上 区域接口 ip 配完了是吧？下来要不要配路由？要怎么配？ 配啥？ o s p f 呀？我假定这个路由器是 s p 上的路由器可以吗？然后对于防火墙来说怎么配？出口路由？默认是吧？默认，默认路由指向云商就可以了。 十点一点幺幺点二五四， 十点一点幺二点二五四。路由器上需要配路由吗？嗯，它有直连的公网路由吗？是吧？它需要有到达一点零的内网路由吗？不需要路由 p r 下网配置双击热备怎么做呢？ 水动怎么做？在方浩强 e 上 e 的 话，对于下面来说怎么做？上面来说怎么做？上面是 a r p tr 肯定 face g 一 杠零杠一，把它加入到 v g m p 组是吧？下面呢？下面的话是 e e 一 杠零杠零 v r r p 这是上上三下二。 v r p v r i d e 一 波串 i p 十点一点一点二五四 i q。 相当于将它加入到 v g i p 组，并且我们指定它是主。哎，咱们复制上 主。然后呢？ 来，快下来呢？然后心跳是吧？ h r p interface user trunk 一 remote 十点一点幺三点二，直到对端去， 这是第二步啊，相当于 配置心跳，这是第一步，相当于往 v g m p p 里边添加接口， 然后呢？然后呢？ a r p a m 吗？ 请 h r p 背上怎么做？ h r p 串口三层的话，把这个接口添加到 v g i p 组二层。 v r p v i d e 我 串 i p 十点一点二五四十码三八 这一个，哎，添加进来了，下来的是 h r p interface user trunk 一 remote 十点一点幺三点一。指到对端去是吧？我们最好去将它 h r p standby device 是 吧？定义它为被，然后 h r p 以内保， 这是备上，我们教这是什么模式？主备模式是吧？主备模式配完了吗？ 双机热备配完了吗？ a s 模式就配完了。下来我们配置 n a t n a t 的 话，把内网的私网转换成公网出去是吧？在谁上配？主上配备上需要配吗？不需要， n a t policy your name。 诶，这里边怎么没有加加呢？我看啊，我看一下， 起用了吗？ h r p n label 起用了呀，这是背啊。我知道这是背啊。 我，我刚才 display， 我 看一下 h r p 的 state， p r 不知道 on no display h r p 的 state， 哎，它不知道对端 十点一点幺三点二嘛，这边十点一点幺三点一。 h r p interface， user 创可贴 remote 十点一点幺三点二，这边是幺三点一吗？ 不知道，邻居是谁 哎，我有没有把四口和五口加入到 d m z。 没加没加，哎，一字创可加进去了呀，我看这边加了没有， 这边没加是吧？在背上没有加，所以不同步 firefox， dmx and interface。 你 看，我有时候也犯错误了，是吧？我们看，再看一下，这是 h r p 的 state， 现在知道背了吗？知道自己是什么 i t。 对 端是什么？背，这边看一下 is being h r p 的 state。 我是 背，对端是什么？主，是吧？好，那么我们在主上再去配安全策略 n a t。 策略啊，你看这里边什么加？必要？刚才没有同步吗？是吧？肉内 to s p south zone trust destination zone untrust south of the grass 十点一点一点零 action south n a t e z i p。 行不行？行 啊，这注意，这里边我特别强调一下， 我犯了错误，一定不要忘记干什么将一则创添加到 d m z。 我 不一定是安 d m z 区啊，添加到安全区域，安全区要么是不行啊。 好， n a t。 策略配完之后呢，我们再背上去看一下 display n a t policy 入 on。 同目过来了吗？过来了，过来了是吧？同目，过来 下来还得放心。安全策略也是在主上做 root name to s p 搜索搜索 destination 搜索搜索 get 十点一点零 action commit， 这是安全策略的，放心。 好，那么做完之后呢，我们看一下 pc 去拼十点一点二点十， 哎，不通，我想一下啊，我们双击热背 nat 安全策略 都做完了呀，我看一下，十点一点二点十，这边十点一点二点十，二点二五四啊，我们这个路由器没配啊，这个路由器没配。 g 零杠零杠零，十点一点幺幺点二五四，零杠零杠一，十点一点幺二点二五四 七零杠零杠二十零一点二点二五四。再拼一下， 通了吗？通了。哎，那我多问一点啊， 对于 pc 一 来说，流量到达焦安机，焦安机怎么知？为什么知道要走走主呢？ 我再问一遍吧，就是相当于目的，就是让你们反复，你看他这里边主上有匹配是吧？备上呢？ 没有命中是吧？说明他走的主。为什么走主呢？因为他会发免费的 a r p 和 v r p 的 通告报文来引流是吧？引流你可以看到 v r v r p 的 虚麦 零零零零，引导到什么？从教员机的一口往出发流量走？主，哎，那我再问一点， pc 你 去的时候从这边走是吧？ 石伟东，我去的时候是不是从这边走？回的时候呢？回的时候从这边回还是从这边回？为什么从原路返回呢？ 他，他是主动话，为什么要走这边流量？比如说二点零要访问十点一点，一点零的时候到达路由器，路由器怎么选路？你一点零的路由是不是从这边能传过去？ 哎，不应该这么说，不应该这么说，不是他这直连的啊，直连的对于他来说到达一点，哎。不，对于他来说，你去的时候从这边过去了，回的时候也从这边回，为什么？ 因为你 nat 他 没有到达这边的路由的。是不是？那么因为你 nat 的 时候，你把这个私网地址转换成这个出接口的公网地址了，你这个出接口的公网地址他怎么走？肯定只能往这边走，是吧？啊？ 如果说你这边啊，我们这个不是公网地址，我只是那什么一下，如果你他坏了呢？ 它坏了的话，它发现，哎，你的优先级四五零零零，会减二是吧？减二的话它这边是四五零零零，你的优先级比我的小，我就升级为什么主了，并且发免费 a r p 和 v i p 通告报文来实现一个引流， 走背就可以了。走背的话从背出去会有从主回来吗？ 会吗？如果我把下面这个接口挡了这一杠，零杠零关了，关了的话，流量是不是走背啊？ 是不是走背？走背的话会从主回来吗？我把下行接口关了，会不会从主回来？不会不会。为什么你 nat 已经转换成这边的公网地址了 是吧？然后你这边我们一直拼啊，一直拼，然后把这边关一下，看一下，切换， 三秒钟会丢几个包，两个包。这边 active 升级为 active， 因为这端是四四九九八，原因是到一个接口优先级减二。从这边走了，这边又回来的话，我们说需要等多长时间呢？主右回来了，等多长时间？六十秒，对，等六十秒。 display h r p 的 state warriors， 你 可以看到它抢占的话会有一个食言啊，抢占延迟默认是六十秒。 嗯，那么这个双击热备里边的上面是三层设备，下面是二层设备，我们就做完了啊，看一下有什么问题吗？ ok， 这什么模式？ 竹背模式？ ok， 施伟栋，如果想把它弄成竹竹模式怎么做？加什么秘密？这个删掉删掉。还有吗？ 绘画的快速同步是吧？还有呢，你这个接口里边我们刚才定义的是三八呀。 ok， 我 们下来改造一下 a a 模式， active active 模式，根据石伟栋给我们预测的，我们的做法是什么 亮度？ h r p 三八 device 是 吧？还有呢？ g 一 杠，零杠零接口 on 度， 然后也是什么 octave， octave 还有需要开启绘画的快速同步是吧？ 为什么要开启绘画的快速同步呢？因为你现在双主的话，从这边过出去 有可能从这边回来，你出去的时候创建了绘画表，回来没有绘画表会丢弃的，所以说我们需要开启绘画的快速同步。 h r p 的 mirror session enable 这边 h r p 的 mirror session enable。 我们看一下 display h r p 的 state， 什么 active， 对 端也是什么 active display h r p 的 state active active 模式， 我们看 ping 走哪边呢？不好说是吧？随机 state security policy row on 两边都会有匹配啊， 但是它这里边有可能是基于这种哈西亚等等啊，我们看到两边都有匹配。 好，那么这里边我们上三层下二层实现了什么？主背模式和 主主模式是吧？主背模式和主主模式看一下还有什么问题吗？
粉丝2.0万获赞21.9万
相关视频
35:47查看AI文稿AI文稿我们说在两个，两个防火墙直接跑一个什么呢？ 跑一个动态路由协议 o s p f 是 吧？然后把内网地址和 tunnel 接口宣告到 o s p f 里边去。 如果说它北京站点内网很大，西安站点内网也很大，我们通过静态路由去引流太麻烦了，我们可以通过动态路由去相互去学习就可以了。但是通过外部界面呢？我们昨天没做出来， 然后我我下来的话，给大家完整的去通过 web 界面把昨天的实验 g r e n a t 给大家看一下啊，演示一下， 我把环境启动一下。 呃，这个网段的话，这边是十点一点一点零，十点，呃，西安站点十点一点二点零，这边是幺幺点一点一点零，这边是幺二点一点零，这边是幺三点一点一点零， 这个的话是一个管理网络，是十点一点十点网，十点零，网段它是点一，它是点二，我们通过外部界面上来配一下。 let's do it， ok， 我 们登录到设备上之后，我们像一些基本的区域接口 ip， 我 们可以通过命令行配置后面的这些路由， g r e 安全策略， n a t 策略，我们都通过外部界面来配置啊。我们首先第一步把区域接口 ip 配上， 呃，它的 g 一 杠零，杠零是 trust 的 区域， g 一 杠零，杠一是 untrust 区域，然后是 firezone。 我 起一个区域啊，我这个区域的话是管理区，我起个名字叫 m g m t inface， g 一 杠零杠六，配一下 ip， 十点一点一点一，这边是幺幺零一点一，路由器都是二五四。 管理网段是十点一点，十点，这边是一。哎， 打开它的网管功能，它就做好了，在二上 trust 一 杠零，杠零，加进去 on trust 一 杠零，杠一，加进去， 一杠零，杠六，放在管理区， 十点一点二点一，幺二点一点一点二， 这个是十点一点十点二， 这个管理区它是点一，它是点二，我们之后通过 pc 外部界面去登录到十十点一点十点一和十点一点十点二的房子墙上，进行管理 好基本区域接口 ip， 然后我防火墙上配完了路由器上 幺幺点一点一点二五四，幺二点一点一点二五四， 幺三点一点一点二五四，然后我把 pc， pc 都是我配置到点十点十， 网关二五四， ok， 第一步，我们把基本接口 ip 区域呃，都配好了，那么下来我们通过 web 界面就配置后面的路由 g r e 安全策略和 a t。 通过 web 界面上来， 十点一点十点一， 十点一点十点二， 哎，我们要在防盗墙一上配置默认路由，对于路由器来说有直连的所有的互联网路由，那么对于防盗墙一来说，没有，没有这边的路由，我们可以通过配置什么 默认路由，是吧？把公网路由先走通，在哪呢？在网络里边， 路由里边，我们通过静态路由。嗯，这个地址的话是八个零，代表默认路由，其实就是所有路由，是吧？所有的。 然后出接口呢？是 g 一 杠零，杠一，吓一跳，是幺幺点一点一点二五四， 二，上指向幺二点一点二五四， 出接口是 g 一 杠零杠一 幺二点一零一点二五四，那么就配好了。第二部公网路由，防盗墙上有这所有的公网路由了下来。第三步，配置 g r e 新建起一个什么接口名称？就是 tunnel 接口的名称，比如我起个 tunnel 零安全区域，我把这个，我把这个 tunnel 接口到时间加入到哪个区域呢？ dmc 区，呃，然后 tumble 接口的 ip 是 什么呢？我是不是圆啊？ tumble 接口的 ip， 我 给它配一个十点一点幺二吧，没有人用幺二点一，这边是十点一点幺二点二， 十点一点幺二点一，野马杠二四 圆，这，这是什么呢？这是隧道圆 ip。 隧道的起点是什么？幺幺点一点一点一，中点是什么呢？幺二点一点一点二， 对端是点二啊，这是点二，这是幺幺点一点一，就配好了。确定方向二上，反过来 起一个名称， tunnel 零加入到 dmc 安全区域。呃， tunnel 接口的 ip 十点一点幺二点二， 隧道的起点幺二点一点一，二，隧道的中点幺幺点一点一点一。确定， 那么隧道就配好了，你可以看到这里边隧道的状态呢？物理协议都是 up 的， 隧道配完之后呢？呃，我们要把流量怎么办？ 北京站内和西安站内的流量之间要路由可达，我们要把流量私网的流量引到隧道上去，我们怎么引呢？我们前面是通过静态路由去引的，那么现在来说，我们跑个动态路由，比如说跑到 o s p f 去引流， 在哪呢？在路由里边，在 o s p f 的 进程。 呃， o s p f 的 process id 你 们学过疏通了就知道，这是一个 o s p f 的 进程号啊。进程号下来，路由器的 root id 就是 一个身份 id， 你 可以随便定义一个，比如说幺幺点一点一点一， 这个可以可以随便自定义啊，只要全网唯一， o s p f 进程里面唯一就可以了。确定 下来，你点这个高级，高级里边有个区域的配置，点开这里边问你 o s p f 是 不是要做认证，我们先不做认证，那 然后区域呢？零点零点零点零，大家都知道 ospf 是 花区域的，是吧？有骨干区和非骨干区，骨干区就是 area 零，我们在一些小型网络里边，把所有网端都给它宣告到 area 零，区域零就可以了。这里边区域线四个零 网段，我都要把哪些网段放在区域零里边去做宣告呢？十点一点一点零和 tunnel 接口的十点一点幺二点零，我就先写十点一点一点零反延码，零点零点零点二五，我要把十点一点一点零杠二四五整个网段宣告进去，确定 下来，再点一个网络配置区域。除过把十点一点一点零偏高的 o s p f 之外呢？我的 control 接口十点一点 幺二点零，我也要宣告到 o s p f 里边去，十点一点幺二点零，零点零点零点二五五确定。那么对于防盗墙一上来说，把这个接口和 tunnel 接口就宣告到了 o s p f 防盗墙二上。同理， 在路由里边点 o s p f 新建进程 id， 他的 root id 我是 写个幺二零一点一点二， 高级区域里边新建零点零点零点零，我创建了一个骨干区域零不认证，他把十点一点二点零宣告进去， 确定网络配置里边，再把 control 接口宣告进去， 十点一点幺二点零，哎，区域是零点零点零点零，十点一点幺二点零零点零点零点二五， 那就相当于我在两台防火墙上已经把 o s p f 呢也配置好了，也配置好，配置好之后呢，我们看它这里面有个 o s p f 的 协商信息，防火墙一和防火墙二之间有没有协商 o s p f 的 邻居呢？ 这里边邻居列表有吗？没有。说明没有协商起来是吧？为什么没有协商起来呢？ 因为我 g r e 你 要通过 g r e 隧道接口去协商 o s p f 邻居 g r e 有 没有协商起来呢？没有。原因是什么呢？我们 g r e 里边我们要放放通 local 和 untrust 以及 untrust 得到 local 的 双向的安全策略 没有放通，所以说 o s p f 邻居通过 tunnel 接口协商不起来。下来。我们第四步配置安全策略， 在在策略里边你找安全策略新建安全策略，首先第一个要放空 g r e 的 流量， 原区域是 local 和 untrust， 目的区域是 local 和 untrust， 然后原地址，这个地址我粗一点啊，我就不。按理来说，严格来说应该是什么 幺幺点一点一点一杠三十二和幺二点一点一点二杠三十二，原 ip 目的 ip 都要添上是吧？算了，我我详细一点吧，花点时间。 幺二点一点一点二杠三十二。 呃，不知道大家说过一句话没有？就是就是做安全一定要什么 给你，给你最小权限原则，明白意思吗？最小权限原则就是能让你用就行了，不要放大权限， 明白意思吗？呃，如果说你在实验环境的话，大家觉得你给我那么小的权限，我啥实验都做不了，感觉不行。实验实验权限的话可以开大一点，但是在生产环境里边，比如说你们之后万一成同事啊， 你在一个工作单位里边干了几年，然后你把，然后另外一个同学也去你们公司了，他可能水平比较菜，你给他权限的时候呢？ 给他一个小权限，不要给他大权限，给他大权限容易容易出事啊。呃，就是在在生产环境里边有一句话叫爱你就给你什么最小权限，明白意思吗？ 爱你就给你最小权限，呵呵，如果给你大权限是害你的，你上去之后就干一些坏事情，那之后呢？整个数据丢了，整个网络瘫了，是吧？ 所以说大家要注意啊，在实际环境里面，生产环境里面，你们做，呃，做的时候呢？一定要是最小权限原则， ok， 这里边我们应该把什么？是不是服务也是 gre 啊？是吧？把服务也明确一下， ok， 这是最这个，这个来说相对来说是最精细的啊，最精细的， ok， 确定这端我们放通 gre 的 安全策略， 新建 g r e local untrust local untrust 幺幺点一点一点一杠三十二 幺二点一点一点二杠三十二幺幺点点一点一点一杠三十二幺二点一点一点二杠三十二， 呃，服务 g r e 允许， ok， 你 现在再去观察啊，给大家看一个现象，你现在再去观察网络里边的 g r e 的 时候呢，你会发现这里边有什么 入豹纹和出豹纹，说明它有协商豹纹了，协商豹纹已经过去了， 你可以看到斜上方，我就代表你的策略应该是放，放的没问题，下来我们，而且你再去看一下啊，再给大家看一个网络里边你点路由 o s p f o s p f 的 话，大家看到一个什么连接的邻居列表，我这是什么？幺幺点一点一点一和谁？ 幺二点一点一点二已经协商起来了。一个什么 fold o s p f 的 邻居关系是通过什么口去协商的呢？通过 tunnel 口去协商是吧？ tunnel 口去协商。这边呢，你也去看一下 路由 o s p f。 可以 发现它对于二来说跟幺幺零点一点一的邻居通过端口口协商了一个 for 的 o s p f。 邻居关系已经建立起来了。建立起来之后呢？呃，你可以 再看一下这个，因为 o s p f。 两岸协商起来 o s p f。 邻居关系是不是相要相互要学习路由啊？ 你可以看一下，点一下这个，这个是什么？这个是叫动态路由监控表，是吧？动态路由表点开之后呢，你可以看到 o s p v。 二里边路表里边有十点一点一点零，二点零和幺二点十点一点幺二点零的路由条目是不是已经有了？ 本来他有二点零吗？对于防火墙一来说，他有十点一点二点零的路由吗？没有的，这是怎么来的呀？ 通过 o s p f。 动态学到了，你可以看到防火墙二上，你也可以看一下动态路由监控表，十点一点一点零是不是也学到了，是吧？说明我们这里边防火墙一和防火墙二建立了一个 o s p f 通过 tunnel 口， 并且它们两段之间 o s p f。 零矩阵 four， 相互也学习到了彼此的路由。 刚才安全策略是配置的是 g r e 的， 我们还要放通什么呢？一点零和二点零的这种业务流量是吧？业务流量的话是从 trust 和 d m z 之间放通双向。 哎，我这里边我们昨天是这样做的是吧？是不是我们昨天是这样做的？现在我有一个问题啊，我这个接口是 tunnel 接口，是加入到 加入到什么 dmz 区域的，我要放通 trust 到 dmz 之间的双向的策略是吧？如果 tunnel 接口加入到 trust 区，结果是什么呢？ tunnel 接口也加入到 trust 区域，这样它相当于从 trust 到 trust， 从 trust 到 trust 是 吧？那么需要放通安全策略吗？ 我们防火墙的特点是什么？区域和区域之间户防默认是拒绝的是吧？那么区域内的户防呢？是允许的还是拒绝的？ 区域内在同一个区域里边默认是允许的啊？默认是允许的，那么我们可以偷个懒， 把 tonic 接口给它加入到 trust 区。 我的 tunnel 接口在 g r e 里边啊，这里边我们原来把它加入到 d m a 区，我们现在偷个懒，把它加入到 trust 区， 这边也同样道理，在 g r e tunnel 接口里边把它加入到 trust 区。下来我们再试一下。注意啊，我安全策略只放通了什么 g r e 的 协商流量是吧？ local 和 untrust 之间的双向流量，没有放通业务业务的话是从 trust 到 trust， 我 们试一下能听通吗？ 如果能听通，就代表防火墙区域内是默认可以互访的是吧？区域间默认是拒绝的。 ping 十点一点二点十能通吗？说明了什么？区域内是允许库房是吧？区域间默认是拒绝。 好，那么做完呃 g r e 之后呢，我们再看一下 n a t g r e 只能实现 跨物理区域的两个内网站点之间的互通，但是没有办法让丝网防务攻网是吧？没有办法让丝网防务攻网，丝网要防务攻网的时候默认是不行的，因为公网上没有到达丝网的路由， 我们 r 一 上 st 路由器上是没有到达十点一点一点零和十点一点二点零的私网络游的。我们要访问公网的时候呢，把原地址给它转换成公网地址就可以了。怎么做呢？ nat 策略里边 nat 策略新建一个名称叫什么呢？出 nat 我 就要上网。 n e t 的 类型是 n e t n e t 六十四是呃 i p v 六里边的 n e t。 仅转换什么呢？原地址 原安全区域 trust 目的安全区域 目的安全区在这里啊。 untrust 原地址要转换哪些地址呢？十点一点一点零，一点零啊，我要让整个网段都上网。如果说你只想让某些地址上网的话，你就写某些地址是吧？ 十点一点一点零，目的地址要写吗？不要不要写了，我们要到 internet 上所有地址，我们只要是原地址是这个的，我们都要做原地址的转换。转换成什么呢？ 转换成出接口的公网 ip， 基于端口号去区分，就是 ezip 的 配置。做完之后， nat 策略之后呢？你 trust 区域要访问 on trust 区域，光做原地址的转换还不行，还得放通安全策略 to i s p 原安全区 trust 目的安全区 untrust 原地址，十点一点一点零，杠二四， 然后允许。哎，我的问题来了啊，就是我 nat 策略里边和安全策略里边，只要有任何一方不允许你 访问互联网，是不是都不行啊？如果说有任何一个不让你上去你就不行，那么也说我要阻止用户上网的时候呢，可以通过安全策略去控制，也可以通过什么呢？ nat 去控制是吧？ nat 去控制 好做完之后呢？我们测试一下聘工网，试一下聘幺三点一点一点十。 哎，我们拼的时候，我看大家有的同学也抓包了啊，我看崔启豪就抓包了， 你抓包的话，你在路工网上抓包，你可以看到十点一点一点十，去访问幺三点一点一点十的时候，在这里边抓到的地址原地址，你发现已经转换了，转换成幺幺点一点一点一，去拼幺三点一点一点十， 可以看到幺幺点一点一点一，去拼幺三点一点一点十，幺三点一点一点十，往幺幺点一点一上去回报啊去回报。你应该去解释一下 为什么抓到的是不是真正的十点一点一点十，你说啊，你看我 nat 转换成功了，我的原理已经经过了转换也拼通了， 我就，我就知道啊，你确实理解了，确实理解了，那么防火墙二上的也是同理， n a t 出 i s p。 哎，我我的问题，崔启豪，比如说我们要加个时间，呃，比如说是 周一到周五你能上网，哎，周一到周五你不能上网，呵呵，然后呢？周六周日你能上网，怎么做？你 n e t 转换的时候是周末可以转换是吧？周内不让转换也是可以的， 我们看，我们做一下啊，转换地址，然后原安全区域，呃，这里边时间段，你看它有 work， work time， 这是工作时间，这是什么？ any， 任意时间。如果说你想定义这个不是你想要的时间范围，应该怎么办？ 新建，新建在哪？新建在对象里边啊，对象里边有个时间段，看到了吗？然后新建一个，比如说是 weekend 周期时间段，开始时间。哎，它这个的话是，我看它没有周末呀。 每周生效时间，它只有一个绝对的时间范围， 一次性时间段，这是一，这是周期性时间段，开始时间，结束时间 啊，这里边有每周生效时间啊，每周生效时间。好，那么我们就零点到二十三点整个时间段吧。生效时间，周六周日 周六周日。 ok， 确定 weekend， 然后我们再写 n a t。 策略的时候呢？ 新建 to s p 原安全区 trust 目的，安全区 untrust 原地址，十点一点二点零到二四， 要到 any 的 时候呢，我们要做。哎，这，这不是啊，这是安全策略。 n a t。 策略。 新建 to i s p。 嗯，时间段， weekend 周末，原安全区 trust 目的地，安全区 untrust 原地址是零一点二点零杠二四 出接口都不往 ip。 你 看这个是灰色的，灰色的，为什么？因为今天是周三是吧？周三它是隐 active 的。 you active， 非激活状态啊，非激活状态，那么我把防火墙的时间如果调了呢？ 你可以看 a display clock 今天是周三是吧？啊？周三如果手动把它的时间调了呢？ 当然这跟我们安全说说没关系，好像也也有关系啊，我们可以改一下 clock date time。 呃，这是什么？ 小时分秒？这是什么？ 这 y 是 什么年 year 啊？年月日是吧？一看就是中国人生产的网络设备，因为你们英文里边是什么？ 英文里边应该是月日年啊，是吧？月日年，那我们改一下啊，比如说二零二二年， 我们周末的话是十四号是吧？二零二二年五月十四号。五月十四号是一个特殊的日子是吧？ 哎，青年节是哪天啊？五月四号过了五月二。哎呦，五月十四号不是特殊的时间，我们看一下 display clock saturday 是 吧？周六了是吧？对，周六了，能上网吗？可以， ok， 我 们看一下，刷新一下外部界面 那个策略里边 n a t 策略你看激活了吗？就变了颜色，能上网吗？能，我们试一下啊。 哎，安全策略没放是吧？还不行，我把安全策略没放除 s p 原安全区域 trust 目的安全区 untrust 原地至十零一点二点零二四。允许我们试一下啊，能不能上网？ ping 幺三零一点一点十。 哎，调用了，是我们改了，手动改了时间。外国界面人家看着是 ok 的， 好像不行，刷新一下是吧？ ok， 我 看一下 n e t 策略有没有命中啊，有没有命中，再拼一下看能不能命中。 应用不了呀，哈哈哈，我们手动改时间咋还不行呢？那是我把时间 weekend 的 我改成 work。 哎，我我我不改这个，我把那个防盗墙的时间再改回来。 clock， 说明这个 clock， 呃，手感时间在蒸机里边也是可以的啊，十点四十七五十二零二二 杠零五幺幺 space。 但是这个的话我们是非周末本来就不通啊，是吧？我们再改个时间，周末，呃，周内吧，周内人让他上网做 n a t 转换，把这个时间改一下 work time。 嘿，周内可以通，我们现在确实是周内是吧？ 周末的话虽说我们把，哎，我们刚才把，我想想啊，我们不是刚才是周末转换，周内不转换， 但是我们把时间也改成周末也不行，是吧？说明我们的逻辑是对的。设备模拟器有问题？ 崔启豪笑了，啊，没问题啊，我们配置是没问题的啊。来，有问题你说一下。 没问题没问题没问题没问题没问题。好，那么到此的话我们就做了一下防火墙，华为防火墙 g r e 加 n a t 使用外部界面，外部界面的话我们跟原来的配置有两点差异。差异是什么？ 一个是 tunnel 接口，我们引流的时候怎么引的？通过 ospf 引流的？ ospf 引流的时候注意啊，我们 昨天那谁配的时候我也没太注意啊，我当时也那个就是你们新建的时候呢，在高级里边，高级里边，然后在这里边编。呃，看啊， 新建的时候就把它的认证去掉，然后呢要加一个区域，首先要填一个区域上去，再去悬挂网段。还有就是第二个区别是什么呢？ 第一个是通过动态引流 tunnel 接口，第二个区别是我们原来是把这个 tunnel 接口加入到 dmz 区域的业务流要放通 traverse 和 dmz 之间的双向的 策略，是吧？要放通，那么现在的话我们把它放到什么了？ traverse 的 区域了，连业务策略都不用放了。实际环境里边你应该把这个 tunnel 接口放在哪个区域呢？ 你觉得是应该放在 trust 区还是其他区域呢？应该放在非 trust 区，哪些和哪些库房？你最好去控制一下，如果不加控制， 这这不好啊，不加控制。所以说我们还是按照原来的那那样配啊。最好把 tony 接口呢加入到非 trust 的 区域。
71ICT网络攻城狮
55:48查看AI文稿AI文稿那行，那我们来就开始这个今天的一个学习啊，那么这个双击热背的这个场景啊，呃，好的， 那么我们为什么要有这个双击热背啊？就是，呃什么样是最重要的呀？因为现在随着移动办公啊，及时通讯，呃，这个蓬勃发展，这个网络承担的业务越来越多，越来越重要，所以如何保证我们的网络啊？二十四小时不间断的去传输数据，是我们整个这个网络发展需要解决一个重大问题啊。 所以这个双击乐贝解决了一个什么问题啊？解决了一个可信的一个这么一个问题，那么它通过在出口的位置上部署两台防火墙，保证内外部网络之间的通讯的可靠。 那我们这个 i a 的 一个基本的一个课程中啊，主要是讲的这个呃直直连部署的这样一个方式啊。那么这个双击乐贝在这个路由交换的场景中有没有相关的一个类似技术呢？ 来看一下这个双击六倍的基础所产生的一个背景原理啊。其实我们再去搭这个去课程上课的时候，呃，我们一般去上课的这样的一个思路啊，以及我们这个写胶片的一个思路也是这样的，呃，那这个写胶片的一个思路呢？都是比如说第一部分我们是会有一个这个啊，产生的一个这个背景嘛，就是技术背景 啊，然后呢这个，呃就是整个的技术的基础原理 principle， 然后最终呢是 configuration 的 配置。那首先我们来看一下它产生的一个背景啊， 产生一个背景啊，传统主网啊，就是单一的一台设备内部啊网络和这个外部网络，这所有包报文啊，都是通过这个防火墙 a 的， 如果防火墙 a 出现了故障，那么内部网络的所有以防火墙 a 作为默认网关啊，以外部网络通信啊将无法啊。呃，这个 保证啊，将所有的通信啊都会中断。那么防火墙作为安全设备啊，一般会部署在需要保护的网络和不受保护网络之间，也就是说一般我们运行在是这个啊 trans 的 跟啊 trans 的 之间啊， 如果仅仅使用一台设备啊，无论其可能性多高啊，系统都有可能会承担这个单点故障所导致网络中断的一个这个风险。所以呢，我们需要有这个双击热备嘛。 呃，那么这个双击热备在我们其他的设备的场景上啊，有有没有类似的这种技术啊？啊？是有的，如果我们对这个诉通比较了解的话，那是有一个这个什么协议啊？这个 vip 协议，这 vip 协议呢，是这个 volta rot redundancy protocol， 是这个虚拟路由啊，这个备份协议啊是一种融错协议，它保证啊主机的下一条路由器啊，这个一般路由器承担的这个网关的角色，当它出现故障的时候，由备份路由器啊自动去替换呃出故障的路由器来完成报文的一个转发任务，从而来保持这个呃网络的通信的连续性和可能性 啊，这是最基本的啊，这是最基本的。那么我们在这个呃同一个这个备份组里面的所有路由器有两种角色，一个是 backup 设备，那 backup 设备， 那么我们最基本的这个这个 v r p 是 如何实现的？我们也可以用这个简单的一个实验来去做一下 啊。稍等啊，等我把这个设备重新开起来， 那我们来，呃，这个演示一下最基本的一个简单的一个小实验啊， 冲突，那这样吧，那我们这个重新打开一下， 再来一台路由器吧， 冲突设备二三，那我再给它重新定义一个端口 啊。 那么呢，我们首先这个网段的信息啊，说是十点一点一点零的网段的信息啊， 然后呢这个上面我们就写一个这个网段吧，十点一点二点零， 十点一点三点零杠二十四的，那同样呢，这边我们可以利用一个环位口啊，来去模拟这个光网，比如说是三点，比如八点八点八吧， 八点八点八啊，杠三十二，那么我们可以利用这个路由器一和路由器二啊，作为我们的一个网关，然后呢这个去虚拟成一个这个 vip 的 这个虚拟路由器啊，我们来看一下它基本的一个工作原理啊。啊，同样呢，我们待会先把这个，呃，这个代码先打开 啊，这个防火墙一啊，鲁配鲁 back 吧，零杠零杠一， 十点一点二，二点一，二十四，十点一点一点一， 那想一下我们都这么配，是吧？二十四，呃，不好意思，以零杠零杠零 ipgs 十点一点二十三， 然后这个对 g 二，我们的备份网关，嗯， interface 是 d 零杠零杠零， ip address 是 十点一点二五二，我们来做一个这个地址段啊，然后在 d 零杠零杠一 ip address 十点一点三点一 啊，最基本的一个这个 ip 地址的配置啊。三是这个给它改成一个 internet internet， 然后改个路由器 address， 八八八点八点八点八三十二，那我们退出一下这个 e 零杠零杠一， ip address 十点一点，呃，一零杠零杠一，那我们就用十点一点三点二二四，然后呢？上行的话我们可以做一个这个做个 i c l 也行啊，零杠零杠零， i g g s， 八点八点八点十点一点二点二，上面做一个六吧，把这个路由给打通路，路由打通的话， wifi 一 用 那个零 networks 八零八零八，零点零点零点零点零， networks 十点一点二点零零点零点零点八五，还有一个是 networks， 一 点三点零零点零点零点零点八五。好，我们再回到路由器上。好，这个一般情况下我们是用的这个静态路由器啊，当然我不方便啊，我就是用一个这个 osm air 零 network， 十点一点二点零零点零点零点零点二五二五， 然后下行的这个网段是一点一点零点零网段，是吧？二五五， 呃，结束了，好，我们再到路由器二上 wifi， 十点一点一点零，零点零点零点二五，十点一点三点零 点零点零点二五。好，我把路由配完。那路由配完呢？我们先来看一下我们现在所要用的这个 vip 的 这个备份组啊，怎么去实现啊？呃，怎么去实现呢？我们在这个网关设备上啊，网关设备上 啊，网关设备上，也就说路由器一跟路由器二都会作为我们的网关，我们要在它的网关接口上啊，要去开启一个这个 vip， vip 组啊， vip 组，然后呢？这个，呃， 啊， vip 一 啊， vqip， 那 我们会要选一个这个虚拟地址啊，幺九二点幺六八啊，不好意思，我们这张图里面是十点一点一点几啊，十点一点二五四啊，然后呢，我们还可以去定义一下优先几啊， v r i d e priority 啊，比如说啊，一百五，对吧？因为它默认是多少啊？默认是这个，呃，这个一百啊，这个我们后面后边这个，呃，有这个 v r p， 还有一个这个防火墙所独有的 v g n p， 我 们都要注意一下这个，呃，我们需不需要配置这个啊？ priority 啊，后面可以对比一下 啊，防火墙二，这边我们再来看一下我们的这个啊 interface e 零杠零杠零，下面的 v r p， 我 们要把它放置在同一个 v r p 组里面啊，是十点一点二五四 啊，当我们做完之后啊，我们来看一看它有没有这个后续的一些豹纹啊，我们这个基本的 vip 实验已经做完了，是不是？我们来看一下最后一个是吧？啊？啊，我们这边已经有了这个 vip 豹纹，是不是？ 那么这个 vip 豹纹啊，我们也可以看到啊，它是一个什么协议啊？它是一个这个啊， 主播协议，是吧？我们可以看一下它的通告版啊， announcement， announcement 里面有哪些信息呢？我们再来看一下哦，诶，这里面也注意到了，这个是 protocol vip， 是 一百一十二，对吧？我们前面也是没讲了，这个 i c n p 是 一啊， t c p 是 六，然后这个 u d b 十七，然后 o s l 是 八十九，现在呢，我们有一个一百一十二了，是吧？ 好，我们再来看一下这个里面的一些基本信息啊，这里面是有这个 address， 对 吧？是一，是吧？啊？备份组 priority， 是 这个 啊，一百五啊，然后在这里面也可以看到，不是什么啊，不是这个默认的 non default backup priority 啊，那我们再来去看一看这个二五三， 嗯，二五三，我们来看一下它们俩之间的一个状态啊， display vip 是 一，是吧？ display vip 一， 我们来看一下这个里面的 master 啊， master， 这个 virtual ip 啊，还有呢？一个 master ip。 那 我们后面我们这个防火墙也会利用到这样的一个技术啊，利用到技术啊，这个，那如果有这个虚拟 ip 的 话，我们是不是要有这个虚拟的 mark 啊？这个虚拟的 mark， 这个虚拟 mark。 最后两位啊，注意一下最后两位是什么？是你的这个，呃，是你的什么？ 是你的主号啊？因为我们的主号。这个啊，是一啊，主号是一。然后呢，在这里面也可以看到一些抢占的一些时间啊，对，抢占我们就开启了，对吧？抢占已经开启了，默认开启。嗯，然后呢？我们在路由器二上，我们 display vip， 我 们来看一下这个里面也是可以看到这个 master 是 二五三啊， master 是 二五三。然后我们当前运行的是多少？是一百。哎，这个，这个后续我们还要去考虑到这个点啊， 什么点？这个 vr， 这，这个 priority wrong， 对 吧？是什么？当前运行的优先级，还有一个 configuration 的 优先级是一百。哎，那这两个是不是这个？这，这像这种情况下，我们可以看到它是一个什么？它是一样的，对吧？那像我们到这个路由器一上也看到这两个也是一样的， 那什么时候可能不一样呢？我们来买一个伏笔啊，对吧？后面也会讲啊，那我们这时候再来，回到哪里呢？回到我们最终的终端上，那终端上，那我们这时候要去加上一个 ip 地址啊，加上 ip 地址的时候我们是不是要加上，比如十点一点？ 呃，不好意思，我这个网段是多少？十点一点，比如十点一点一，那么这个二五点，二五点，二五点，二五点零，那么后续我们这边的 gateway 啊，要去加上，是吧？不也是要加上一个这个 地址啊？这是一个什么地址啊？是加上这个二五二呢？还是二五三呢？还是其他的地址呢？可以看到这里面，是吧？有二五二，有二五三的一个地址。嗯， 那么我们在这里面可以加上什么？虚拟的这个 ip 地址，所以后续我们再做一些防火墙实验呢，也是从这边类似过来啊，让你看一下。好，这个二五四，那我们来看一下这个二五四，我们能不能通啊？ 拼十点一点二五四，我们这里面是可以拼通的，对不对啊？可以拼通的，可以拼通的。我们再往下看它的一些豹纹啊，我们可以看到这里面的这个。呃，拼通豹纹，是不是拼通豹纹这种？找我们的二五四的这台设备 啊，走，我们把我试试在这里啊。好，我们再继续往下走啊，那么现在呢，我们如果要去测试我们的这个通信的话，我们来看一看，我如果用 pc 是 不是不好测那个这个 transit 它是不是不支持啊？我们来进一下，是不是不支持啊？ 先先拼一下啊，拼一下我们在这里面的，如果想要去打这个八点八点八，我们来测试一下啊，八点八点八点八。 jason， 什么不是词啊？我忘记了。八点八点八。哦，好像不可以是吧？哎，不对，我已经写错了。 哦，可以可以可以，不好意思不好意思啊。这个里面的这个 transit 我 们也可以看到它其实是走的哪一台设备？它其实是走的我们的这个路由器一出去了吧，最终到我们的这个呃的目的地八点八点八。那么这个时候啊，如果我们再去，比如说啊，把一个接口给断掉， 一零杠零杠零啊，一零杠零杠零，呃，给它断掉下档，那么我们看一看，我们首先这里面能不能通啊？ 不已经起来了吗？千年零八十，嗯，难道我路由器二的这个路由不对？有啊，八点八点八，我们再来看一下这个 vip 的 这个 啊，二五二啊，是的呀，哦，不好意思，它这个路由器需要一些延迟，是吧？我们可以看到它正常可以通信啊，然后再来去看一下我们的 trace 啊，确实，那我们可以看到这个时候我们走的实际的设备啊，是不是就已经变成了我们的啊？我们换另外一个，我们用个 green， 我 们用个绿颜色。好。我们这个时候是不是已经走了这么一个这个备份线路啊？由于什么？由于我们的主链路已经什么已经故障了，是不是啊？已经故障了，那么在这个时候再来说一个这个点呀，再来做一个点， 那再来说一个点哪里的点？我们再把这个接口给它打开 on 嘟下档，那 on 嘟下档我们接口打开，因为他默认情况下这个抢占已经开启了是吧我们稍等看他邻居。好他已经抢过来了是吧。啊我们可以看一下他的这个这个情这个情况。 the virtual router state backup chain to master because of the protocol timer x ray 说的是就是我们的这个设备啊从这个 backup 已经变成了这个 master 了说明它现在是不是已经把它的这个地位给抢回来了对吧。啊给给给它给抢回来了 啊它给抢回来了啊。 master ip 已经变成了二五三那这个时候呃我们再去这个 trace it 啊已经变成了什么 二五三说明呢也是一这是一次成功的导换嘛。从背啊从主切到背再从背切到主是吧那么还有一些其他的问题啊还有一些其他问题。什么其他的问题比如说我们的这个呃什么情况呢？这个呃上行链路发生故障。哪个上行链路发生故障 拿一条。 哦不行。嗯上行链路发生故障因为这边还有一个其他的链路。 我哦我有一种方法哈哈我有一种方法我如果要做这个实验我需要添加一个配置啊添加一个配置添加一个配置啊啊对对对可以啊没问题啊可以啊。这个房老师是吗可以直接说话 哎。呃房老师有什么问题吗？啊那行那我们继续啊。啊如果我要做这个东西啊因为这个里面我如果打开的话这个里面是有一个 o s 邻居关系啊我如果把这边的断掉哎好 啊没事没事没事。好我们来看一下这个他邻居关系断掉啊因为我想把这边断掉的话因为这个路由器一啊他这个里面跟路由器二他还有一个这么一个邻居关系，所以他还是能学到这个路由，他会这么说，是吧？那我，我是不是可以做一个什么？现在？ 我现在可以，我想让这个不想让谁跟谁建邻居，我现在不想 r 一 跟 r 二建邻居关系，这也是这个路由里面，对吧？我们在这个速通的这个 r 的 这个 r e 的 这个 lab 中啊，有一个这么一个要求，是吧？什么要求啊？ 啊？我们可以配置一个什么 passive in the face， 是 吧？啊？哦哦，不好意思啊，这个 passive 是 友商的，那在咱们这个华为里面是一个这个 silent in the face 啊， silent in the face， 我 要把哪个接口给给给删了掉？ e 零杠零，杠零给删了掉啊？我们再到这个路由器二上面，我们再去看一下， 同时同样呢我们也把这个 silent interface e 零杠零杠零。好，我们把邻居给它断掉啊，我们来看一下，这保证上面它只有这么一个邻居关系，只有跟上面的啊， 好，这个时候呢，我再去把这个路由器 e 的 这个啊接口给它断掉。哪个接口啊？给它的 uplink 给它断掉， 那 up link 给它断掉，我们来是 interface e zero， slash zero， slash one， 我 们进入到这个接口啊，我们把它给下档掉，那我们当我们三行链路发生故障的时候，我们再回头到我们的这个路由这个 pc 上 啊， pc 上我们可以看到一个一个现象，什么现象啊？拼通那肯定是无望了，对吧？可以看到它的 trace 的 一个这个特点啊，什么特点？ 嗯？什么特点？它是能到我们的网关的吧？那能到我们网关，而且我们的这个，这个也就是说数据是怎么走？是到达了这个 r 一 吧？ r 一 是我们现在的这个 master gateway， 对 不对？那 master gateway， 那 这个时候我们无法到达 这个目的地，是不是无法到达目的地？无法到达目的地，那为什么呢？因为上汽线路已经故障了呀？所以我们后面的这个是不是已经变成新号了？都没有了，对吧？那这样的一个切换是不是就有问题啊？这个时候我们需不需要让它切啊？老师们，我们需不需要让它切？ 需要让它切吧？那需要让它切，在这里面一个点，怎么让它切呢？是不是也也是有这么一个问题啊？后续我们再讲防火墙的时候为什么要有这个 v g m p 也是由于这个原因所导致的。 什么原因导致的？我们来看一看啊，是你要保证你的上下行的一次性以及可用性啊？以可用性我们现在下行是正常的呀，没有没有任何问题。那所以 我们的这个报文啊，能正常的所接收到，对不对？报文所正常所接收到。那这个，呃，路由器二不会去抢占阿姨的角色，因为他会，他会发现我还是只能始终能收到从这个路由器发过来的 announcement， 可以 我一直宣告我的成立，对不对？那对于路由器二，他是不是没有办法去推翻它， 所以现在要干什么？所以我们要保证上下行的一致性，这是这个路由交换中它的一个解决方法。怎么一个解决啊？我们来看一看啊， 是要进入到 e 零杠零杠零里面，我记得没错的话啊， vip 一， 然后是 track， 是 吗？ track interface e 零杠零杠一啊，零杠零杠一啊，我们再来看一下，然后我们可以看到这个里面的啊 increase 和 reduce 啊，啊？是可以看到一个是减少这个这个这个这个这个优先级，一个是增加，那我们看一下，那我们现在要做什么？现在它因为它没有办法切嘛，所以我们要让它自动去切啊，我们就通过这么一条命令就让它去切，对不对？ 这条命令去切好。呃，这个我们要 reduce 多少？我们刚才是多少？刚才这个我们的 running 里面，我们再回到我们刚才的 vip 里面啊， sorry， vip 里面我们可以看到这里面有 run priority， 还有一个这个 config priority， 所以 我们当前运行的是一百五，然后呢？我们配置的实际也是一百五，所以如果你想比我，呃，如果你想让这个路由器二做优选的话，也就是说它的优先级要变小嘛， 对吧？怎么让它变小呢？那我们是不是可以减少减少？那减少减少的是不是要最终要让它小于多少？小于一百，所以我们比如说我们可以给他多少啊？我们给他一个这个八十，对吧？我们 reduce 八十，我们来试一下 啊，我们 reduce 八十，对吧？那 reduce 八十，这个时候我们再来去看一下啊，我们再来去看一下它的这个这个这个这个，呃，信息啊， 它的这个 state from master to back up because of the priority calculation。 呃，是由于这个优先级的一个计算啊，由优先级的一个计算，那么我们这时候再来去看一下它的这个，呃， running configuration， run， run 跟这个 config 有 什么区别？好，我们这时候再来看一看， 有区别了吧？这就是为什么我们会有写两个条目啊，一个是 run configuration， 还有一个，是啊，一个是这个当前运行的 priority， 还有一个 configure priority， 一个是一百五，一个是七十的。那所以我们现在谁是 master？ 可以 看到的是 master ip 已经变换成什么了啊？已经变换成了这个，呃，大，大家是可以看到我桌面的吧？可以 啊，是可以是吗？好嘞，可以，没问题。好，现在我，我以为我这个共享会有问题呢。行，好，那么我们再来说这个八十跟七啊，这七十啊，其实现在我们的这个，呃， 路由器一啊，已经变成了一个什么 back up， 已经变成 back up， 我 们这个时候再去测试什么？测试我们的这个数据的连通信，对吧？那我们再来去听一下啊，这时候它是成功可以拼通的，那我们我们再来去看一下它的一个路径信息 啊，我们可以看到这个时候他已经切换到哪里了啊？切换到哪里了？切换到二五二了。好，这个是我们整个的一个这个铺垫的一个前提啊。我们这时候再来去看这个，呃， ppt， 那 就比较简单了，可以看到的。是啊，这个， 呃，当这，呃，这是最基本的情况啊。呃，最基本的情况，比如说我们这个下行链路故障啊，当这个路由器 b 感知到这个 vip 心跳超时的时候，就 vip 心跳超时，是不是我们刚这个 announcement 它的通话报文，从而选举为新的这个主设备，那么这个时候路由器 b 啊，发送免费 arp， 哎？ 免费 arp 我 们在哪边提到过？在，在之前我们讲这个 dsp 的 时候说过这么一个东西，对吧？这个 ar， 这个 vip 有 一个迹象，比如说这个最基本的 arp 啊，然后 arp proxy， 那还有呢？这个，呃，这个 gratis a r p， 它是 gratis a r p 呢？这个免费 r p， 它有哪些作用啊？啊？它可以有这个，嗯， d s c p 中我们可以进行这个房地产冲突，还有一种呢，收到这种报文，我们可以进行刷新 bug 了，因为我们现在啊， 对于这个我们内部 pc 而言，我们再回到我们刚刚的那个，这个，呃，透图上啊，那这个透图上，这个对于 pc 而言，我其实是我，我其实对我来说，我不需要知道谁才是我的这个真正网关，对不对？我去转发出去，我靠什么？ 我靠网关，还有什么？还有靠 mark 地址，那这个 mark 地址是怎么来的呀？是不是这个 vip 报文案去通告了，然后去来去学习的这个 mark 地址，这个 mark 地址并不是真实的路由器一跟路由器二的 mark 地址，对不对？那所以啊，对我来说是无感知的，我直接去走路由器二啊，是没有影响的 啊，路由器 b 啊，响应这个用户的请求啊，并负责流量的转发啊，这是一些最正常的情况。好，那么这个 vip 在 这个防火墙上的应用啊，我们再来看看啊， 这么一个问题，呃，为了，呃防火墙在多个区域中提供双击热备的时候，需要在每个防火墙配置多个这个 vip 的 备份组，那比如说我们可以看到，呃，这，这个防火墙下连了一个什么啊？下连了这个，这个一个备份组啊，还有呢？两个备份组啊，从比如说连了一个 trust 和这个呃， 这个 dmz， 对 吧？这个 dmz， 那 么我们在这里面中让防火墙作为我们的 master 啊，作为我们的 master， 然后呢，防火墙 b 作为这个 back up 啊，上行呢？还是有一个备份组的，那么如果我们要保证这个一次性啊，那是不是上行的这个，呃， vip 的 备份组的这个网关啊， master 是 谁 啊？不能说网关它的这个备份组的主设备是谁？是这个防火墙 a 吧？防火墙 a， 那 么刚才我们已经说到了这个基本的这个 vip 是 有一定的这么一个缺陷，什么缺陷呢？ 我们再来看啊，再来看这个传统的 vip 方式无法实现主位防火墙状态信息和多种 vip 的 一致性啊。什么一致性？我们刚刚是不是已经用到了这个？ 说到了这个，我们的当令可和 app link， 对 吧？下行链路和上行链路那只不过我们刚刚用的这种方式是用了什么啊？是用了一条命令来去这个解决的。哪条命令用这条命令来解决的吧。那么我们在防火墙中啊，它不是这么样去做啊，我们可以看到， 呃，当防火墙 a 和防火墙 b 状这个 v i p 状态一致时啊，这个啊， pc 一 去访问这个我们 untrust 的 这个 pc 二啊，报文，这个来回路径是一致的啊，来回路径一致的。如果这个呃 v i p 报文不一致啊，比如说这个上游发生故障啊，上游，比如说哪一个 这条线路发生故障，那么这个时候谁是 master 这边的这个啊？防火墙 b 是 这样的 master， 那 么这个，呃 trust 设备的这个访问，我们这个 on trust 来回路径不一致，防火墙的状态检测 不通过，报文丢失，所以防火墙比路由交换。呃，他是最最多要强调的一些点是什么？他有很多的这些机制啊，因为他要去控制他的网络，比如说他要通过这个绘画表象，对吧？那这个绘画表象，如果你这个要进行切换的时候，你这个相应的绘画 啊，不然如果这个这个，比如说这个中断，那我们这时候再进行回包，就是说我们的数据先往到达了我们的这个 pc 二，然后呢？ p 这个在这个到达之后啊，我们这条线路断了，然后呢想从这个 b 回来，那对于 b 而言，这个数据包我有没有接触到过？我没有接触到过，对吧？那直接什么 直接？是不是拒绝啊？所以我们就没有办法去这个帮帮忙，我们去转到我们的 pc 一 啊，是有这么一个问题的， 那在这里面收到的状态信息以及多组这个 vip 的 状态的一致性啊，所以这是有一定的缺陷的，所以我们要有什么 啊？这个防我墙的这个解决方法是 v g m p 的 管理组，就是将多个这个 v g m p 备份组啊，划分到一个这个 v g m p 组里面，那我们来继续往下看，这个 v g m p 组是如何进行工作的啊？如何进行工作？呃，这个 v g m p 的 基本原理来看一下啊。 呃，为了保证所有 vip 备份组的切换的一致性，在 vip 基础上进行了扩展啊，呃，推出了 vgmp， 也就是说 vip 组管理协议，那么同将同一台防火墙的多个 vip 备份组加入到一个管理组里面 啊，加入到一个管理组里面，由这个管理组统一去管理这样一个状态啊，也就是说啊，比如说我们这个里面呢，有下行有备份组一，上行有备份组二，如果你，呃，呃，如果你要正常通信，还要保证你的这个数据啊，在这个故障的时候也能正常通过的话，我们要保证这个，嗯，备份组一和备份组二，他的这个，呃 状态的一致性啊，状态的一致性啊，也就是说，比如说在在这两个辈分组里面，这个防火墙 a 都作为这个 master 啊，都作为 master， 那 这样的一个情况下，我们就可以称之为一个主 action 啊，主 action。 然后呢，这个防火墙 b 在 整个组里面它都是什么？这个 standby 啊，都是 standby 啊， of standby， 呃。然后呢，我们还可以看到这个防火墙的这个，呃 v g n p 的 主的这种三种状态，有 load balance， 有 这个 active， 有 standby， 那 所以意味着我们的这个，呃防火墙的这个双低热被啊，它可以有这个什么 load balance， 有 这个双，呃，有这个，呃覆盖分担的，还有这个主备的，对吧？我们来看一看高的， 呃高可能性， 嗯，高可能性，嗯啊，同时，对对对，如果我们要去看的话，还还还有一定的这些系统要求啊，那系统要求我们可以看一下这个，如果你要作为这个双极热背要去做的话，那必须要保证什么型号必须相同，然后安装的单板数量啊，位置必须相同， 而且有点类似于我们去做这个对叠的情况下啊，一般情况下我们也是要就这个设备型号相同啊，设备型号相同，我们可以通过这个呃，这个 display version 来去看待。 display version 来去看待。然后呢？这个，呃，双极乐贝，它是一个我们防火墙的一些基础功能，所以它是不需要额外去购买，来城市啊， 也可以看到啊，正好这个我们第一天我还记得我们老师在去问的时候啊，什么情况下会用到这个 license 啊？也就是说这种啊，一些特别的一些应用，比如说我们的入侵防御，还有这种反病毒的情况下，我们是需要去加载这个啊 license 的， 嗯，我们再来看一看，到哪里啊？我们来看一下它的这个，嗯，配置主备啊，我们可以看到的是这个里面是有这个主备模式的，有负债分担的啊，镜像啊，我们后面再说啊。 嗯，系统要求我们来看一下基本的简介啊。呃，还可以看到这个里面最重要的一些信息啊，什么信息啊？防火墙之间要有一个独立的电路，后面我们会讲有一个心跳线， 那么通过这个新调线啊，了解对端的健康状态，相对啊，相对端啊，备份，呃，备份配置啊啊和表象，比如绘画表象，这个 i b c 和 s a 啊，当这个防火墙出现故障的时候，业务能平滑地到另外一台处理时，业务不中断啊，是业务不中断，我们可以看到这里面有主备啊，有负债分担啊，再回到我们的这个 p p p d 上啊， 呃，可以看到的是这个，呃，这个 v g m p 的 这个优先级啊，那 v g m p 呃， v g m p 的 优先级？我记得是， 呃，我看看在哪啊？对，在这里面要注意一下啊，这个 v g m p 主从的一个选举啊，主从一个选举，这个备份组一，备份组二，指定防火墙 a 为 master， 呃， b 为 back up 啊， b 为 back up， 呃，然后呢，这个使用 v g m p 它这里面的主就失效了。所以是什么？所以你的一百两百还看不看了？不看了啊， 是由这个 v g m p。 优先级来去这个指定的啊，防火墙 a 跟防火墙 b 互相发送这个 v g m p 报文，默认情况下啊，优先级是相同的，然后呢？这个优先级 啊，是这个四呃四五零零零，这个优先级，这个值是不能改的啊，注意一下啊。然后呢，去切换，根据配置，比如说防火墙 a 作为主设备状态为 active， 防火墙 b 为备设备啊，为 standby 啊，由这个防火墙 a 来主动去转发数据啊。好，我们来看一下这个，这个一般的基本原理啊， 啊，比如说这个下行的这个啊，我们可以看到啊，如这个右图所示，呃，当防火墙 a 的 接口故障时， 这个 v g m p 控制这个备份组统一进行切换啊，统一切换，那就意味着这个线链路中断的时候，我们要为了保证上下行的一致性啊，我们它这个里面，它会，比如说这个下行啊，它会发生什么？从 master 变成什么？ 这个 initial 状态啊， initial 状态感知了这个故乡状态，会降低自身的这个优先级啊，会降低自身的优先级，然后与这个防火墙壁的优先级进行这个优先级比较，所以意味着我们在做这个，哪里啊？ 呃，我们在做这个，不好意思啊，这这这个是吧？那这个命令我们在这个防火墙上是不需要配置的，它会是一个自动，自动实现的，自动实现的要注意一下 啊，也是通过降低优先级的方式，然后去让它去切换的吧啊，去让它去切换，然后呢？协商完之后啊，从呃，这个呃防火墙 a 的 v g m p 状态是由这个 active 转化为这个 standby 啊，防火墙 b 的 v g m p 啊，状态呢？由这个 standby 切换为这个 active 切换为 active， 然后呢，同时也主呃也决定了主内其他的这个备份组的状态，那也就是说我们这个防火墙 a 这个主啊，这个 vip 主会强制组内的哪个？这个 v vip 二从 master 切成 back up 啊，从 master 切成 back up， 然后呢？这个也就是说这边呢，它会切换，为什么 master 防火墙 b 就 成为啊主一跟主二的 master， 那 这个时候它就成为啊主用设备啊，主用设备，那这个时候它就可以去接管啊，接管了。 那么这个主管理啊，它是怎么样进行一个切换啊？ 加入组里面之后就不能进行单独切换啊，抢占管理啊，比如说从啊，原来出现的故障的组设备恢复之后啊，这个这个 u 线机也会自动恢复，此时重新将什么啊？重新将自己的 ip 啊状态会抢占为主啊，那备份组加入到这个 v g m p 组后啊，那么原来的抢占功能将会失效，抢占行为必须由这个主来统一决定啊，主一决定。那么下面呢，我们还有一个这个所谓的一个通道，这个通道管理是管的什么呢？就是确定我们这个双 g m p 有 哪些接口是这个可用的，比如说由这个 v g m p 和 h r p 模块自动去选用可用的接口来去发送 v g m p 报文和这个呃 啊 h r p 豹纹，那么我们通常会指定这个某条线为我们的这个呃这个 h r p 这个心跳接口啊，心跳接口啊，那好在这个我们讲这个 h r p 这个呃基本概念之前啊，希望大家把这个基本这个呃如何交换的一个小实验，把它这个做一下啊， 放在这边。那我们给大家这个大概十分钟，二二十分钟吧，二十分钟左右的时间我们就再继续上课，把这个呃 h r p 讲完之后啊，我们再来做一下这个呃防火墙的双击六倍的一个实验，好吧， 试用一下，好，我们把这个端口号给它改了。 那好，那继续看一些这个呃一些其他的场景啊，比如说我们已经知道了这个直连部署啊，那我们再来看一下这个其他的部署方式，比如说这个旁挂，这个旁挂还是比较有一些难度的，为什么说这个旁挂有一定的难度呢？ 啊？这这个只是做我们一种扩充的，我们在课堂上也可以去这个补充去讲，在 ip 里面会也会把这个继继续往下传输啊， 那我们可以看到的是这个啊，两台防火墙旁挂在数据中心的核心交换机侧，为了保证数据安全啊，数据中心安全通过核心交换的流量都要被引流到旁挂的 f w 上。旁挂的这个防火墙上引流的方式为静态这个路由啊，引流方式为静态路由， 呃，这个，呃，希望两台防火墙以储备方式工工作，刚才已经讲了，正常情况下，也就是说防火墙他的这个数据啊，他是怎么走这么出去啊？这么出去啊？你是要这么一个引流来保证这个业务不中断，当我们防火墙故障故障之后啊，这个流量通过这个防火墙壁进行相应的转发。我们来看一下这里面具体的一个配置思路。 那如果要做的话，我们会有一个什么啊？会有一个这个这个静态路由的配置啊？静态路由的配置，这个将吓一跳，为防火墙的接口地址啊。 由于核心交换机与上行路由器下行运行 o s p f， 呃流量，呃，因此流量到达核心交换后啊，这个直接什么？直接就直接转发了，也就是说直接转发了而不会引流的。所以如果希望通过这个静态方式引流，就必须配置这个 v i f 功能， 这个 v r f 呢，是我们在这个 m p r 这个阶段里面会有一定的这个参数啊。啊，在这里面我们可以看到的是将一个这个呃交换机啊，虚拟层上下，呃上行的这个， 呃 public public 交换机，还有一个下行的 v r f。 那 么将两个这个虚拟来进行相互的隔离啊，那如何去配置呢？我们可以看到中啊，有一个 public， 还有一个这个 v r f， 那 所以这个路由该怎么样去这个传递呢？所以我们看到了一个点是什么？ 我们其实原来的这个 public 跟这个呃 v i f 啊，是不是都属于谁的？都属于这个交换机的吗？呃，如果没有这个防火墙，因为是旁挂的方式，因为它是直接就收到一个报文，我们直接通过交换机，然后直接这个上到我们的这个路由器上，再由路由器直接去传递了，而我们现在呢，想要把这个 呃防火墙加入到我们的通信的过程中，是，所以将这个呃交换机一分为二啊，一分为二，有一个上行的这个 public， 还有一个下行的这个 v i f， 所以 那我们这时候才看到，所以防火墙去连接我们的这个呃呃交换机要，我们要用几条线来？要用几条线来？可以看到 有两条吧？有两条，一个是，所以所以你哪边是一个 alt 方向？这边是一个 alt 方向吧？啊，这边是一个 alt 方向，然后呢？这边是一个硬方向，是吧？所以你要出去从哪个出去？先从这个接口三到达我们的防火墙，再去往接口一，这个时候我们再来看一下这个图，就比较清楚明了了啊，我们来看一下 那最终的这个设备啊，我们通过 v i f， 然后呢再通过接口三，再这样去出去啊， 然后我们再来往下看啊，然后呢指定这个呃 g 零杠零杠七啊，出去啊，怎么出去呢？ 就要用其中一个双击六倍行为，这个双，这个我们就看一下 c i c i 可能比较清晰一点，首先配置相应的 ip 地址啊，这是最基本的，对不对？配置完 ip 地之后啊，我们要去配置这个 trust 跟 autotrust， 怎么样去定义啊？ 怎么样定义 trance， 你 要知道哪个接口是你的上行，哪个接口是你的下行，这时候就好判断，我们可以看到，呃，这个防火墙的这个，呃接口的零杠零杠二啊，是连接的这个这个零杠零杠三一杠零杠三，所以它是一个下行口，然后这个口呢是一个上行口， 所以我们把这个接口把它划分到哪里 trance 里面，下行的就这个 trance 里面，所以相同的操作在防火墙壁上也是一样做的啊，相同的做，那然后呢就配置这个静态路由啊，配置这个静态路由的时候我们就要去注意，比如说啊， 这个就往上甩嘛，往上甩，然后这个是很明显往上甩的意思，就是用上行的这个链路配的是这个静态路由，而这个下行呢是使用静态路由，目的地址为服务区区啊，目的地址为服务器区，因为它这里面是通过静态路由引流的方式，而下面是用的是这个 os 的 配置， 然后配齐这个，呃这个双击乐贝，那双击乐贝的功能，我们就是如果你刚才我们看到那种是这个，呃，微博界面嘛，那微博界面是通过一个这个点啊，直接点就成为了一个这个 active， 那 在这里面他在这两个情况下是不是都要配为这个呃， active 情况啊，对吧？ 这个两个分别为什么呀？分别为什么呀？有一个，有一个这个主一和这个主二吧，啊？主一跟主二要注意一下啊 啊，主一跟主二，所以它是有两个这个网段啊，两个网段，所以，呃上下行两个网段。呃，这个防火墙 b 就是 两个都配了这个 standby 啊，两个防火墙都配了 standby， 然后再者呢就是这个配置相应的这个，嗯， 呃，去路由去甩。那我们可以看到一个问题啊，你们有一个问题，哎，老师，你不是说这个不是有 v i f 的 吗？你如果配 v i f 的 时候，我们这个防火墙上怎么没有了？这 v i f 在 哪配置啊？我们再回到上面的这个图啊， 是配在哪里的？配在这个核心的交换机上嘛？所以对于你的这个防火墙而言，他会认为我们是就是一个这个，呃呃，正常的 ip 报文嘛，对吧？所以这个 v i f 是 本地有效的啊，本地有效，只要在你这个啊这个交换机上去配置就好了。所以我们可以看到这个当防火墙去配置的时候，这里面是没有这个什么 这个 v i f 的 啊， v i f 的 啊，然后呢？配置相应的安全策略，从这个啊 trust 到 untrust 这样的一个互相访问啊， 然后再来看一下这边是有什么有这个 v r f 吧。啊？ v r f 是 加了 v r f 里面就有什么这个 r d 跟 r d 值啊， r d 跟 r d 值，这是最基本的这个尾链的配置。尾链配置完之后我们是把什么要加进去啊？ 我们把什么要接进去啊？我们其实是把三层的这个呃，虚拟接口吧，所以这个虚拟接口跟这个物理接口都可以作为这个 v r f 的 接口啊，啊？都可以作为 v r f 的 接口，我们来看一下啊， 啊 v i f 的 接口，然后我们在这里面看到，是啊，十点，十点四点四，然后呢？我们在这里面有这个，呃， v i f， 这个 v i f 是 什么？这个 v i f 的 作用是什么 啊？是不是有一个上下行啊？它也是有上下行的吧？因为它是不是连接了这么一个两个呀？ 两个呀，所以要注意一下啊？他这里面，所以总共要配多少个组啊？啊？你这个防火墙上配了两个，对不对？然后我们再来看一下，为了区别开来啊，他这里面配了这个，呃呃，三跟什么？三跟四，对不对？三跟四，然后配置相同的，然后呢？这个，呃 防火墙啊？不是这个 switch 一 再用这个 v i f。 往哪个去扔啊？往哪个去扔？你可以看到往这个十点零点零点三去扔，这十点零点零点三是我们的上行链路啊。上行链路在哪里啊？这个接口的 ip 地址，上行链路的接口。十点十点零点零点三 啊，我可以看到啊，往上行接口去扔啊，那上行接口去扔，然后呢？这个下面就是配一个最基本的这个，呃路由，所以这在这里面，在这个交换机上如果你要去查表的时候要注意一下，它是有两个的吧，这两个表，一个是 v i f 表，还有一个是 ipv 四路由表， 然后呢？这个，呃，这个交换机二是做相同的一个配置，只不过它这里面都是作为一个什么啊？我们可以看一下它的优先级都是一百一百，所以也就意味着它作为一个什么啊？辈分啊，因为我们在这里面所做的是在这个房，呃，在这个发沃墙上是做了一个这个，呃， 主备的方式啊？主备的方式，所以默认情况下数据是都从这么样去转出去啊？都从这么样转出去啊？现在路由去引流的方式，所以这个还是比较有意思啊，比较有意思，所以在这张图里面你要把这个掌握清楚，首先要把基本的路由交换以及这个 v i f 啊，要掌握了才能去掌握中这个这个 旁挂的这种场景。其实旁挂的场景我们可以看到，在这里面是不是最终他用了一个这个逻辑图给大家去一个描述了？是不是就最终他是一个直连的方式啊？是不是是一个直入部署的方式啊？这个要注意一下啊，要注意一下。 那么还有这个其他的这种方式，比如说这个防火墙作为这个二层，那防火墙作为二层，也就是说它是作为一个透明接入的，那防火墙作为二层透明接入的意思意味着什么呀？意味着上下行是不是使用的是相同网办 啊？比如说我们可以看到是哪个接口，这个上下行加入到这个微链十跟微链二十中，微链十跟微链二十中啊，那我们可以看到的是这个 g 零杠零杠三有没有再去做什么？有没有再去配 ip 地址？没有。而它是配置了一个什么，把它当成交换机去看待的话，把它要配置什么？上下行要通过两个微链， 那所以意味着什么？所以意味着我们要去放行相应的两个微连，比如说两个一个微连十，一个微连二十。然后呢？这个是有一个这个辅助配置啊，把这个呃 p v i d 为一的这个给关掉，就安卓 p v i d 一 的，然后交换机 a 跟啊，交换机 a 跟交换机 b 是 做相同的一个配置啊，作为配置，但是我们的心跳要不要配置 ip 地址啊？这个还是需要的啊，这个还是需要的。 然后配置 ip 地址啊，配置相应的 ip 地址，然后呢上下行啊，正常的划分区域。所以也就意味着我们这时候再看了一个这个点啊，这个防火墙，它去做这个安全区域的时候可以看到上行下行啊，我们不用关心它是一个二层还是三层的这个接口吧？ 它都是可以把它什么啊划分到这个这个，呃，接这，这个我们的安全区域里面。那如何把我们的这个防火墙的接口变成二层接口啊？ 这里面是不是有这么一条配置命令啊？啊？配置命令啊，然后呢？这个防务，呃，就这个，嗯， esc 它可能针对比如说像你这个交换机，它的这个接口，你想要 on do port switch 要变成三者口的话，这里面还是配不了了啊，注意一下啊，如果要做这些，比如说可以做在真机上去做这些环境啊啊啊， port switch 啊，我搜一下。所以我们的这个防火墙的安全区域的接口，它可以是二层也可以是三层的，然后呃去相应的去 check 啊， check 威廉十， check 威廉二十，然后呢配置相应的这个心跳啊，心跳接口啊，自己的，自己的这个这个指定心跳接口远端是十点零点零点二，这边呢？十点零点零点一 啊，最终呢，我们就是这个从 trust 到 on trust 这样一个去放行啊，基本的信息它都是有的啊，基本上这都是这个四千啊，这个啊，四万五啊，四万五这样的一个配置顺序啊。 嗯，好，那如果我们再来去做一下最基本的这个配置的话，我们来看一看啊 啊，等命 ipad 一 二三，华为 ipad 一 二三 啊，防火墙一啊，防火墙二， 我来看看这个防火墙上就是我忘记我做没做过了这个二层的这种情况了。 g 零杠零杠几来的啊？我们把它加一下扣款，我们做一下这个二层的吧，零杠零杠一， 不好意思，零杠， 用零杠零杠零来作为我们的这个 来看一下啊一一杠零杠零杠， what switch？ what switch？ 它这个是可以正常变化的啊，我们来看一看啊， 那个防火墙上如果你做了这个相应的啊，不好意思，我的记忆零杠，记忆一，杠零杠零杠零，我要把它，把它这个放到这个， 把它放到这个十点一点一点一二十，我要把它作为一个二层的二层，我们来看一下这个，那好，二层比如说有维链十，维链二十，呃，维链 branch 二十， 然后我们再到我们的 e 零杠零杠一接口下 port 呃 switch 啊，然后呢，我们可以把它改成 port 啊 link type 啊 trunk， 比如说我们在这里面去放行了这个啊 port trunk a low pass vlan 十跟二十啊，抑渥掉这个 port trunk a low vlan pass， 呃 a low vlan one， a low vlan one。 然后呢？上行的接口 g 零杠零杠二啊，比如 g 一 杠零杠二 啊， port switch 啊 port switch。 然后我们再来去做一个这个啊 port link 啊，我们把上传的配置给它复制一下 on 为链一啊， 嗯，然后 on 为链一，再来去放行为链十跟二十，为链十跟二十。 然后呢，这个再来去把这个呃 firework 放行到 room 里面，这个呃 trust trust 是 下行接口是 at， 即一杠零杠一啊，然后上行电路是 firework room on trust at the interface， 即一杠零杠二。 那好，我们做完，我们到这个交换机二上，交换机二上，把它的名字给它改掉。啊，对，不好意思，我还要把它的这个怎么样，把它接口给它打开啊，那个我们来这个抓一下包，看一下它有哪些豹纹啊 啊，防火墙二，然后这个，嗯，比如说伪劣的一些配置二十啊，然后呢？进入到接口 g 一 杠呃，一杠零杠一啊，我们 port switch， 然后呢？这个 port link type port， 呃， port trunk low pass 零点十跟二十降度调。 port trunk low pass 零点一 啊，这个接口一是这样的，那接口二也是一个相同的配置接口一杠零杠二， port trunk 啊，不好意思，首先是 port trunk， 然后是安度掉， 嗯， this is 看一下 port switch porting trunk porting type low pass switch 跟二十 刚录掉啊。 port trunk a low pass 链一 is a lease。 好， 那我们做完，做完我们再来去放入到相应的这个呃 zoom 里面。 trust 这个，呃 at 下行接口，我们来看一下。下行接口是这个， 呃，下行接口是这个，这个这个 e 一 杠零杠一，这个接口啊？ e 一 杠零杠一，这个接口，然后呢？这个，呃， 呃， five or zoom 啊？ d m a 然后呢？ add interface g 一 杠零杠零，一杠零杠零零，我这个 ip 没配啊。一杠零杠一， what？ 一 杠零杠零。 display， 这是十点一点一点二，二十完，然后是这个，呃，什么？然后是这个，这个，这个 下行接口啊，下行接口访问 room 访问上行接口 at in the face g 一 杠零杠二，我们最终在 display room 来看一下啊，好，我们来看一下这个呃一，已经在这个啊 trust 里面了。二已经是在这个 啊，我敲的是这个三吗？好吧，那我敲错了。 and in the face 一 杠零杠二 space room 来看一下，好，敲完了，然后呢？这个防火墙一上也是一样的 display room， 好， 然后 ip 地址 dmv 第二类 and interface g 一 杠零杠零。好啊，做完之后啊，我们是不是要做什么？做这个 h r p 了，是吧？啊？做这个 h r p， 呃， h r p enable h r p interface 哪个接口？ g 一 杠零杠零，到我们的 remote interface 是 ip， 一 点一点一点二，然后再去 check 一下这个啊，我们的这个 v 链啊， 好，我们一起写，所以 h r p truck 迷恋二十。那好，我们再来一下，到这个防火墙二上，防火 墙二上，这是就是为了来去做一些这个 h r p enable h r p 这个 h r p in the face 还是怎么了？ 对， h r p in the face， h r p in the face g 一 杠零杠零 remote 十点一点一，然后 chock 那 个 h r p in the face 五点二十。啊， 五点二十，好，我们来看一下这个，基本我们这里面的这个，它已经变成了主了，对吧？那变成主了之后，我们看一下 h r p 啊 state， 可以 看到它是主了，是吧？它是主了，那它是被，我们看一下它这里面有哪些信息啊？呃，可以看到的是这里面它主要是通过了这个啊，是 u d p 豹纹，是吧？那 u d p 豹纹 啊， u d b 报文，像这个 u d b 报文从这个十点一啊，十点一点一点一啊去进行传递啊， 相应的这个数据，所以我们，即使我们现在有没有做那个，有没有做安全策略，我们没有做任何的残联，我们是不是啊？ secret policy 里面 display this 是 空的，对吧？所以意味着我们前面也讲过了这个防火墙去做这个安全策略，呃，做这个双击六倍的时候，这些报文默认情况都是会这个放开的。啊， 好，那我们今天的课程啊就到这里，我们明天继续来去讲一个这个保安强的一些安全威胁啊，以及用户管理之类的知识点，好吗？今天课程就到这里，大家还有什么疑问吗？ 或者对我们这个课程有哪些建议呢？
222ICT网络攻城狮
43:08查看AI文稿AI文稿啊，大家好，那么今天我们来看一下这个云数据中心网络里面啊，一个很重要的一个功能啊，叫 vs， 那 我们来讲解一下 vs 的 这个基本原理和它的一个相关的一个案例部署。 那么其实是因为我们现在的这个云时代啊，云时代服务器的虚拟化应用就这个非常广泛啊，那么 现在呢网络设备其实也是借鉴了这个虚拟化的这些技术啊，在设备上引入了这个类似于我们说的这个虚拟机啊， 比如数据中心交换机的虚拟机，那么这个呢，就是主要是提升网络的一个资源利用率，降低数据中心的运运维成本，增强网络可能性还有灵活性。 那么我们现在其实是有一种啊，一些多的这种技术啊，我们叫做 virtual system， 那 么其实这个是华为新一代的这个虚拟系统啊，那么这里的话会给大家介绍相关的一个技术架构。 那我们简单看一下这个课程的目标就是了解相关的应用的一个优势，了解它的技术原理以及它的部署方式和基本的配置。 那我们先看一下它的解压概数啊， what's your system 到底是什么？那么首先看一下啊，云时代的这个虚拟化的一个趋势啊， 那么在云时代的这个浪潮到来的时候呢，将 it 资源虚拟化成为一朵云啊，使得用户如同这个用水用电一样啊，在不必感知资源内部这个具体情况下获得 it 的 资源。 那么虚拟化是云技术的一个关键的技术，通过不同层次的虚拟化，实现对物理资源的一个抽象啊，达到云资源共享并且隔离的好处， 根据 itc 的 分析呢，引入虚拟化的云以后，资源利用率由百分之十到十五提升到百分之五十到八十啊，更多通用的硬件被采用，那么资源运行和管理维护成本就大幅的降低啊， 那么 it 的 这个开销降低几十倍啊。 那么云时代虚拟化主要由计算虚拟化、存储虚拟化和网络虚拟化啊这三部分组成， 那么就像计算虚拟化中的服务器虚拟化、桌面虚拟化等典型应用一样啊，那么网络虚拟化可以使网络资源啊，可以像计算资源一样按需的供给。 那么这里呢，网络虚拟化的形态上呢，有很多种啊，那么有这种设备上的一些多虚拟的，也有一些多的，其中多虚拟的模式呢，就是虚拟化是把多个物理网络设备虚拟成一个逻辑的这个资源， 比如各种堆叠啊，我们知道那个 staking 技术那么好，包括华为的这个 c s s 和这个叫 i stock， 那 么比如说像集群那么一些多呢，就模式相反啊，就把一个物理设备啊，虚拟出多个逻辑资源， 那么我说的这个 vs 其实就是一些多啊的一种，那么一些多在应用上可以看常见的是比如说管道和这个业务虚拟化， 那比如说管道虚拟化在传统的网络中用比较普遍，比如说 vpn 啊，比如说这个 vlan q and q 啊，那么都是通过逻辑的管道来实现对用户流量的一个隔离和这个承载。 那么业务虚拟化，比如说 mstp 多进程，或者这个虚拟的防火墙啊，通过特定的这个多实力实现对业务进行隔离啊，逻辑隔离， 那无论管道虚拟化还是业务虚拟化呢？都只是局部虚拟化啊，满足特定场景的虚拟化需求的同时，网络管理者其实面临着还有很多技术组合的一个应用啊，带来的一个问题就是啊，部署啊，部署他的这个比较复杂度啊，比较高，还有他运维的复杂度比较高， 那么为网络用户提供更简洁的这个虚拟化手段呢，本质上还需要一种很彻底的系统级的虚拟化。那么就是我们这边说的其实是把网络设备做虚拟化，那么不限于具体的业务或者管道，而是以整体的这个设备级的虚拟化作为目的， 我们可以看一下，这里是客户面临的问题和挑战， 那么其实我们这边就是要把一个啊，物理设备能够虚拟出啊，基于物理设备来虚拟出不同的这个网络的这些设备，这个很多个虚拟设备， 那么好，大家看一下什么是 v s， 那 么 v s 其实它是叫 water system 啊，就是指虚拟交换机虚拟化中的一许多啊，是把一台物理的交换机虚拟成多台的这个逻辑交换机， 那逻辑交换机之间呢？软件隔离啊，相互之间呢，就不影响，那么数据中心交换机的虚拟机呢？这种情况就打破了物理设备资源的一个壁垒啊，把物理设备资源转换成可管理的逻辑资源， 那么这些逻辑资源呢，可以很透明的运行在物理设备上，实现资源的这个爱讯分配和隔离。 那么这个 vs 呢，其实是华为的 cloud fabric 数据中心解决方案的一个关键特性啊，提供网络设备虚拟化的技术架构实现设备啊，一些多的虚拟化能力， 就是在物理设备上划分出多个逻辑或者虚拟的这个设备系统，而且每个虚拟系统的 v s 啊，就是设备上的虚拟机，那么可以如同一一台单独的这个设备一样，去独立的配置、管理、维护啊，独立的运行承载网络业务，并且和其他的这个 v s 相互隔离， 那么数据中心网络通过物理设备上的虚拟出来的 vs， 承载不同业务或者是服务于不同的用户群体啊，从而达到隔离网络的一个效果啊，提高网络的安全性可能性，并且同时提高这个利率啊，降低成本。 那么我们看一下 vs 的 特性，其实就是交换机一些多啊，还有一个就是 vs 键相互隔离，相互互不影响。从这个图上可以看到我们的这个一台的控制设备啊，那么其实你把它虚拟成有三台， vs 一 vs 二， vs 三， 可以理解成三台这个独立的设备啊，好 v s 的 一个构建，那么虚拟化技术本质上是需要做这个抽象隔离封装啊，那么 v s 的 在技术架构上也遵循的这种思路， 那么 vs 的 它的这个控制管理，比如说你这个 vs 什么时候怎么创建的啊？怎么创建，怎么删除，那么是否要按需复位？还有这个把你这个 vs 挂起啊，那么其实都是这个虚拟基层次上的。 然后另外呢，我们这个系统分配资源，比如说我们给你这个 vs 啊，分配多少资源？是怎么分配的啊？如果我这个分分不出设备，那么我屋里的板卡有这么多啊，有十块板卡，那么多少块板卡分配给这个 vs， 还是我这个板卡上面的一些接口啊？怎么去划分给这个 vs？ 然后比如说我这个设备能够支持的很大的一个路由表象，很大的这个转发表的这个能力，那么转发，嗯，这这个再把这个表象啊分配给这个 vs 的 时候啊，如何去分配？ 那么第三部分是 vs 上的业务部署啊，业务部署那么就是使得 vs 下的这个业务类型啊，然后 vs 下发的具体相关的业务配置是这两部分。然后我们大家看一下 vs 的 一个价值吧， 那么这上面其实是有三个方向啊，三个价值点。首先呢，第一个是横向聚合，那么横向聚合呢？其实它作用是减少网络投资啊，提供资源的一个利用率， 那么可以看到 vs 一 啊，可以用在树中心的一个应用中，那么 vs 二它用在这个园区网，那么它的一台设备， 那么就包含了原来的在以前的情况下，你可能需要有这个几台设备去实现的这个功能啊，那么我现在通过一台设备就实现。那么第二个呢，是我们说的这个众象局啊， 那众像聚合也类似啊，原来的话，比如说我接入和我的核心设备啊，那么我需要可能有主网，需要有设备，那么现在呢，我可能有一台设备，然后我虚拟出一个是接入层啊，一个是这个核心层，那么这个就是众像聚合，那么它重点就是可以降低网络的一个运营成本， 那么这样的话，其实物理设备就减少了啊，那么比如说你对这个制冷电力啊，机房空间这些要求啊，都可以降低啊，降低整体的运运营支出， 那么而且减少了这个运维的网络设备数量，本来你需要摊在这上去啊，这个有物理的这个设备啊，那么现在的话，其实你你这个是两台逻辑设备啊。第三个是分区隔离啊， 看一下可以，比如说这里啊，它对不同的区域啊，它信任的区域，比如说非信任区域啊，办公区，那么它都有这个不同的这个 vs 啊，不同的这个 s， 然后 这样的话就可以实现这个租户啊，业务分区的一个隔离啊，降低这个网络的一个安全啊，降低安全的一个风险。 那么 v s 之间的完全隔离呢？是单一的 v s 故障，不会影响到其他的 v s， 那 么这里是提升了一个可信。那么 v s 和交换机系统的关系啊， 那么你可以看 v s 和物理交换机，其实就如同我们说的这个啊，服务器上面虚拟化的多个 v m 一 样啊， 那么现在服务器上面的技术经常是使用这个服务器的这个虚拟化啊，创造很多虚拟机啊，我去模拟啊，那么 vs 其实也是一样啊，它是把物理交换机虚拟化成这个多个虚拟交换机 啊，然后这里呢， vs 仍然会和物理的交换机共同用一块主控啊，用一块主控板，那么不同 vs 在 主控板上以不同的软件进程的形式加以识别和隔离啊，彼此之间是互不影响的， 那么 vs 和物理交换机共用操作系统和软件版本，这个应该很好理解啊， 那么因为现在的话，其实我们还并没有想去做成这个，像啊，服务器上面，你起虚拟机之后，你登录的不同的版本，不同操作系统啊，我们，我们在这个交换机上面啊，我们都是这个啊，使用这个共同的操作系统啊，和这个相关的这个软件版本， 那 vs 之间的关系啊，那么之间的话，虚拟机虚拟交换机之间其实就是相互隔离的啊，不能在系统内直接通信的，也不能共用啊，这个业务端口或外部接口啊， 那么第二个是对外呈现成多台独立的一个交换机，那我要是自己的话，它其实就是一台独立交换机，你可以认为它有逻辑的这个一台独立交换机，它有这个很多的这个端口啊，很多的这个系统的一些资源， 并且它有独立的配置文件，独立的管理员账号管理通道，独立完成相关的业务和这个转发能力啊。 好，然后接着我们看一下 vs 的 这个技术详讲解啊，那么软件架构啊，那么这个软件架构呢，就是 vs 系统的一个构成啊， 你可以看到从下到上的话，它其实是有啊，虚拟的这个数据转发平面啊，那么就是像我们传统设备的这个数据转发平面类似啊，那么它也有这个虚拟控制和业务平面啊， 那么就相当于传统的这个交换机的一个控制面和右面啊，那么再往上的话是虚拟管理平面啊，那么就类似于我们传统的这个交换机的管理这一套管理的这个平面啊， 那么这个是我们说的这个弹性细密度分布式的一个虚拟架构。 那么首先呢，整个操作系统其实构建在网络这个操作系统，我们现在是这个 vip v 八的这个全业务分布式中间建的一个基础商啊，然后通过 v s 控制组建啊，实现对多个虚拟系统的统一精细的调度管理 啊，类似服务器虚拟机中的这个 hiv 啊，大家应该知道 hiv 或者叫 vmm， 就 虚拟机的管理这一层， 那其次是将设备上操作系统啊控制和这个业务平面，数据平面和转化平面进行深度的虚拟化，使得每个虚拟机都可以独立的这个部署业务，并且加载单独的这个配置文件 啊，独立控制管理啊，例如独立复位虚拟系统，充分保证这个每个虚拟系统有完全的物理设备的能力。 vs 进一步利用全业务分布式能力实现细腻度的这个业务分布式管理啊，比如不同 vs 的 业务模块可以分布运行在不同的单板上啊，有效提升硬件的一个资源利用率。 那么虚拟控制和业务平面负责承载网络控制协议以及用户的一个业务，且安全性和安全隔离直观重要， 因此 vs 可以 允许不同的这个虚拟系统运行在不同的进程下啊，并精细进行控制，通过进程间的这个隔离以及虚拟啊独享虚拟内存等这个操作系统内核级的一个彻底隔离啊，有效的保障不同的虚拟系统下的这个控制协议和业务的 互相影影响啊，那么可以很大增强系统的这个业务可能性和安全能力， 那么我们现在这个物理设备其实具有这个虚拟十六个 vs 的 一个扩展能力， 那么虚拟转发面呢，其实针对每个虚拟系统采用独立的转发环境和端口环境啊，端口资源，那么各虚拟系统的这个数据流彻底的分离啊，严格保证不同的虚拟系统之间的这个业务隔离和安全性。 那么虚拟的这个管理平面呢，就是为每个虚拟系统独立设置管理域，从管理用户日制告警到配置文件啊这些这个虚拟系统 它的这个管理的维度进行隔离啊，不同的虚拟系统之间的管理信息是不可见的啊，那么从根本上就保证了虚拟系统之间的这个管理能力啊，相互独立。 然后我们接着看一下 vs 的 这个控制管理，那么我们这边其实是分几块啊，那么我们可以看到蓝色的这个是管理 vs 啊，管理 vs 我 们一般也叫做 default vs 或者缺少 vs， 那 么就是物理设备的一个管理员啊，那么具有权完全的这个管理权限啊，那么可以想象这个 啊，它是有这个完全管理权限啊，所以说它就负责这个普通 vs 的 这个创建啊，删除和控制，你可以认为它是一个超级管理员， 那么你只有在管理 vs 上面才能去执行啊，这个 vs 的 就普通 vs 这个创建 好，然后这个 vs 控制的话，其实可以看到分几块，比如说 vs 创建和删除啊，那么你在管管理 vs 上创建普通的 vs 啊，提交 啊，并且给我这个普通 vs 分 配接口资源啊，然后创建 vs 的 这个，呃，如果这个任务失败了啊，那么可能需要遇到一些这个回滚的一些操作， 然后第二个，比如说 vs 的 独立的这个控制操作啊，那么就类似于物理设备啊，物理设备的话其实我们是可以做复位的，比如说把这个呃物理设备它又导换啊，那么如果它系统异常了呢？可能系统会挂起啊， 然后我们接着看这个系统资源的一个分配，那么就是这个端口应该怎么划分？那么对于 vs 来说的话，其实你我们有这个，比如说端口 vs 啊，端口 vs， 那 从图上可以看到，其实我们这个 它的这个 v， 这个 v s 占用端口的话，它是随机占用任何的一个端口啊，随机占用任何端口就独立分配到任意的这个 v s 中啊，那 v s 之间的话，共享整机的这个业务规格啊，但是部分特性只能在一个 v s 使能啊， 那么比如说主播 mps 和 q， 那 么这些，那么我们还有端口组的这个 v s 端口组啊，也就是说你可以看到，咳，其实我们是在做这个转发芯片上的这个端口 啊，转发芯片上面，比如说我这个 arc 啊，我这个 arc， 我 这个四十八层实际的这个有两个 arc 芯片， arc 个一上面一组， arc 个二上一组啊， 然后我可以把二十个一上面的这个芯片，把这个转接口啊端口都划分给一个 vs 啊，那么这种方式的话，其实一组端口划分到一个 vs 的 话，可以看到就是说我这个 vs 可以 独占这个转发芯片的这些端口， 那么它可以独占啊，独享这个整机的一些业务规格啊，基于这个传销芯片的业务规格，而且它这个 vs 可以 去使用全部的业务啊，因为从芯片的这个角度来说，它的很多逻辑它都是可以完全啊，完全这个使用相关的，就会占用相关的逻辑啊， 然后看一下我们的所谓的系统的啊，资源分配，有全区资源啊，有 qs， 有 vs 的 可分配资源啊，还有 vs 共享资源， 那么全区资源的话，就是在 vs 管理 vs 上面配置啊，对所有 vs 生效，比如 qs， 那 么可分配资源呢？比如说你可以单独收回的这些资源，比如说围栏， vif 这些信息啊，还有路由表， 那么共享资源就是由端口和可分配资源来限定的啊，不在 vs 上单独配置的啊，比如说 mac 啊，这个 erp 表象， acl 这些啊，那么这些是 vs 的 共享资源。 那么前面讲到的这个端口模式啊，端口模式，那么端口模式的话，如果我们去使用这个 vs 共享资源的话，可以看到就是说你所有端口模式的这个 vs， 可能啊，就共享这个 去一共所有的这个 mark 地址啊， mark 表象，那么有可能我们 mark 表象，比如说是一百 k 啊， 那么如果你端口组方式的方式的话，去使用这个 vs 读，呃，这个读小整机规格的话，其实你这个待机片或者是一百 k 的 话，那我整体这个每个 vs 啊，都是单独支持一百 k 啊，那么它就不是构想。 然后看一下可分配资源这边啊，有一个表，那么它其实是有列出来它整机规格啊，还有我们的 v s 的 一个一个虚拟的一个规格， 那比如说我们的这个虚拟规格是 group 的 这个模式和 pop 模式啊，你可以看它的有些表现的这个能力是不一样的啊， 那么 group 模式的话，在这个就是像在围栏啊，这个 vpn 的 上面啊，因为它可以做一做到一个独占啊，但是你的这个 pod 模式的话，你就只能做共享，只能做这个共享，所以说它这个 资源像啊就不一样啊，比如说 mps 功能，确有功能主播这些功能啊，那么如果你是端口组方式的话啊，因为我们独占芯片逻辑啊，那么这一套逻辑还是可以支持的啊，如果你是 pod 模式的话，因为你要涉及到这个不同芯片之间的一个逻辑，那么它可能就是没有办法去支持， 那么这个是 v s 的 一个可分配资源的一个例子啊，那么大家看一下啊， 那比如说我创建三个 vs 啊，那 vs 一 和 vs 二是端口组啊，的端口 vs 啊，那么 vs 二啊， vs 一 和 vs 三是端口 vs 二是端口组 vs， 那 么 vs 二作为这个端口组 vs， 它可以独立的使用各种资源啊，不需要去做竞争，那么 vs 一 和 vs 三彼此就竞争各种资源啊，那么它总资源不超过系统规格啊，并且它的这个有一些特性啊，是不能使用的。 那么 vs 的 运行呢？是运行在哪的啊？其实是我们的这个主控啊，那么一般我们有主备啊，那么 vs 进程的话，其实运行在这个主备上面都有啊，那么它也是啊，组成这个 r t o backup 主备啊， 那么被的 m p o。 一 般我们是对 vs 做热备份啊，那是做热被，那么 m p o 主被导换啊，会导致这个 vs 的 这个 m p o 的 这个主被导换啊，一样的，那么 vs 零作为管理 vs 存在，对 vs 零执行重启的话，就是对整个系统执行重启啊， 那么很好理解，就是说你会导致重启所有的这个 vs， 那么每一个 v s 可以 独立的执行这个重启的一个操作啊，不会影响到就没有执行重启的一个 v s， 那 么 v s 上不同的功能隔离，一般我们有不同的隔离方式啊，比如说进程隔离啊，不同 v s 上的同一功能模块，采用不同的软件进程去运行 啊，比如说路由协议啊，那你多进程。那么还有一个就是数据隔离啊，那么不同 vs 的 同一个功能模块啊，那么运行在同一个进程上面，但是相互之间的隔离数据实现了 vs 的 隔离，比如说二层的功能系统管理啊， 那么我们再看 vs 的 配置管理模型啊，那么这这边是 vs 的 这个同管局啊，那么下面是每个 vs 的 分管之身，那么其实同管局就相当于国务院啊，那么下面的这个 vs 就 相当于每个省份啊，市区、直辖市就这些， 所以看到 vs 零的话是非常重要的啊，那么它可以负责整个设备的资源管理啊，负责这个设备级的这个管理和维护，比如说主控版的主备导换啊，单板的这个 啊，复位重启啊，系统升级啊，啊，就这些啊，那么每个 vs 这管理之声就相当于是单独的一台，这个也可以认为它是一台虚拟的这个交换机啊， 那么就是你原来在物理交换机上执行的这些操作啊，那么只要它能支持功能，那么就可以正常的去使用。 那我们简单看一下 v s 的 业务部署，那么它有两种方式啊，一种是这个 啊，有两种角色啊，一种叫做物理设备的管理员啊，从管理 vs 上穿梭啊，登录到普通的这个 vs 配置啊，另外一种叫 vs 管理员，那么就是有本地的这个 vs 管理员这个登录啊，配置相关的一些业务啊， 那么其实这个是在 vs 下执行具体业务的一个配置相关的啊，过程啊， 除了设备管理相关的配置啊，其他的业务均是在这个 v s 上去下发的啊，只有设备管理才是在 v s 零上面啊， 那不同的 v s 之间业务隔离啊，那 v s 内的这个 vlan id vifid 可以 和其他 v s 内的这个 vlan id vifid 相重叠的啊， 然后我们看一下 vs 的 配置管理权限的这个控制，那么控制也是一样啊，那么可以看到允许穿音乐 vs 执行配置管理啊，这个绿色箭头的话啊，蓝色箭头的话，就是我们这个 vs 零才有的 啊，然后其他的禁止穿越的 vs 的 话，可以看到就是在从单独的 vs 到这个 vs 零是不行的啊，然后每个 vs 之间的话，它也是禁止穿越的啊， 而且它的穿越控制的话， vs 零穿越控制的话，这个操作记录我们会把它保存在这个日期中啊，后面你就可以去查到。 那么这个其实为了避免这个非法用户登录系统啊，可以在这个系统中设置这个 acl 规规则啊，那么通过识别远处的客户端的 ip 是 否合法来保证这个 vs 管理安的这个安全性啊？ 那么 v s 的 运维啊，可以看到运维的话，其实主要是呈现逻辑上的独立设备啊，那么这里的话其实就有独立的配置操作，独立的配置文件啊，文件系统隔离啊，并且我们有这个 v s 运维管道啊，和这个权限隔离 啊，以及包含每一个 v s 通过独立管道啊，独立的这个通道访问，那么我们上面其实命令行业 c s n p 啊啊 netcom 啊，这些都有啊，包括这个 g i a 的 界面啊这些啊，端口管理，错误管理啊，这些都有， 那么你传统的去管理设备的这个运维的能力，你现在还是需要的 v s 的 运维操作方式啊，那么其实就是我们一般说的这个一样的啊，带外管理还是带内管理啊？带，那么这边呢，其实 带外呢，就是，呃，我们管理网络这个物理独立啊，那么是带外的，那每个 v s 共用这个物理设备的这个管理端口， 那么如果带内的话呢，就是管理网络承载在这个业务的这个网络上啊，那么每个 v s 只要接入到这个业务网络即可啊，五就不需要有额外的这个动作，那么每个 v s 需要提供独立的这个管理的 ip 和这个 mac 地址， 那么我们的带外方式的话，其实是这个啊，我们所有的 v s 管理 ip 啊，可以要输属于这个同一个子网， 然后我们看一下 v s 的 一个操作部署，那么 v s 创建啊，创建的话，其实现在提到很多了啊，这里有这个可分配资源的这个创建模啊模板啊，然后管理员登录进，进入到 v s 零， 然后再创建具体 v s 配置 v s 的 类型，比如说你是端口还是端口组的 v s， 然后再把 v s 分 配它的可分配资源，然后向该 v s 添加这个端口资源， 我删除的话，也一样，需要管理员登录到 v s 零里面才能去删除指定的这个 v s， 系统会自动的这个收回相关的这个 v s 的 一个资源， 那么这个是一个我们相关的一个配置势力啊，大家可以简单看一下啊，那么我们这个 virtual system v s 一 啊，那么首先我们进 admin 这个模式啊，也就进这个管理员这个权限啊，然后我们 创建了这个 vs 一 啊，并且设置了它的模式是 group 模式啊，然后我们在这指进这些啊，这接口啊，这接口， 然后这边还创建了这个 vs 二，那么这是一些相关的这个 mini， 那 么这是 vs 配置管理 ip 和这个管理用户啊， 那么其实用户可以通通过这个 switch 啊，我们说 switch virtual system 啊，这个命令啊，去切换这个啊，切换进入这个 v s 啊， 那么在 v s 里面，你可以通过这个 quit 啊，那么切换回这个普通的这个物理用户的这个 ps 矢图， 那么这个命令我们相关的就不多介绍了啊，大家有兴趣的话可以去参考这个管理文，那个产品文档。那么 v s 的 其他操作注意点呢？比如说系统升级啊，系统升级，那么系统升级的话，其实这个是不区分 v s 的 啊， 那么我所有的 v s 都会受影响啊，这属于系统级的，那么修改 v s 资源的话，其实要看啊，首先我们的模式是不允许修改的啊， 就是你这个端口啊，还是这个端口主的模式，只能删除并且重新创建，那可分配资源的话，可以减小可分配的资源，或者增加可分配资源，这是可以做的。 那么端口资源的话，删除端口资源啊和添加端口资源，那么这个也是可以啊， 那么还有一个是配置这个 css 对 叠啊，也就是我们这个对叠，那么这里的话其实要看啊，那么我们如果 vs 支持和 cs 一 起用的话，首先你要先配置 css， 然后再去创建 vs 啊，那你不能先创建 vs， 然后再去配 cs， 那 那是做不了的。 五 s 之间的相互通信啊，如果你真的需要相互通信啊，那么其实你是可以做的，因为它相当于两台物理设备啊， 虽然它是逻辑设备，它是相当于两台物理设备啊，这个时候你把它的端口啊，这样的这个网线连接起来啊，然后可以做这个互通，就相当于两台设备把它连起来 啊，来看一下 v s 和外部这个网络的一个通信啊，那 v s 是 不能共用端口和外部通信的啊，每一台物体交换机上虚拟是多个 v s 之间端口资源物理隔离不同， v s 不 能共用物理端口 和设备啊，和这个外外面对接啊，那部署网络的时候，每个 v s 必须使用各自的端口来接入这个外部网络，这个应该很好理解， 那么 vs 和这个 is chunk 啊，也就我们说零 kgg 的 这个配合，那么不允许跨 vs 部署零 kgg 啊， 那么可以看到就说你的零 kgg 只允许在一个 vs 上去做部署两个 vs 的 这种端口啊，你不能去做这个零 kgg 啊， 五 s 和 c s s 的 联合部署过程啊，那么这边的话，其实就是我们首先要把它做成堆叠啊， c s s 堆叠之后，这两个设备它变成了一台 啊，变成了一台堆叠的设备，然后再把堆叠这个设备整体的啊，作为一个物理的设备，然后再去解除不同的这个设备啊，这时候可以看到我们虚拟车四个啊， 然后五 s 的 一个部署的一个概述啊，那么看一下 它，首先它有几部分啊？五 s 部署应用，那么可以做这个网络聚合，那么有横向聚合和横向聚合，那么横向聚合的话，核心或者汇聚设备啊，共用一台物理设备， 然后呢，那个横向聚合呢，就是核心和汇聚啊，横横向是核心或者汇聚设备啊，核心或汇聚设备，那么横向就是把核心和这个汇聚设备两个放在一起啊， 然后我们的网络风格就是做这个不同安全等级的这个区域隔离啊，方案增强的话就是突破软件芯片能力的一个限制啊，实现方案的一个增强。 那么其实你把 v s 的 看作普通的物理交换机啊， v s 的 配置和使用上和普通物理交换机是没有差别的啊，应用和部署 v s 的 关键特点是根据方案的需求识别出啊，我哪些可以通过这个 v s 来简化网络，降低成本的一些场景啊，并且使用 v s 代替物理交换机的这些方案。 然后我们这边简单看一下我们所谓的这个 啊，很像聚合，那么原来的话，如果我的这个，比如说生产和办公的这个网络，其实我是分开的，我有很多设备，那么我现在的话，其实我们可以用这个 vs 的 技术， 那么直接把这个设备啊，把它虚拟，把它虚拟化啊，然后变成了这个 vs 一 二三四啊， 那么你可以看到他这个以前的话，你是这个很多设备啊，那么你现在就比较少的设备，然后实现这个不同 v s 啊，并且也能够实现各地同样实现这些网络的这些功能， 那使用 vs 实现着网络的这个横向隔离啊，那可以看到其实我们原来这个接入汇聚核心的这种三层架构啊，那么在你使用 vs 的 时候，其实你可以把这个物理设备啊，会那个虚拟出一个汇聚层啊，虚拟出一个核心层 啊，那么你物理上共用一台交换机，那么其实你把网络的这个功能，汇聚核心功能都创建在这个 v s 上面，那么也简化了这个网络， 那么实现不同的这个安全等级区域啊，那么就把不同安全区域的交换机都部署在这个 v s 上啊，物理就共用一台设备， 那么目前的现状其实是因为不同安全等级的区域，比如说 dmz 的 区域啊，和 dc 的 核心区域需要执行不同的安全策略，那传统做法是划分不同的安全区域啊，并且分别部署不同的设备和安全策略，那可以看到这个是比较麻烦的啊， 那么现在是把不同的安全区域的交换机全部都部署在这个 v s 上啊，那么物理是共用一台设备啊，保留原有的安全分区和安全模型，在各分区的这个各区域的 v s 上面部署各自的安全策略， 那么其实你安全模型是不变的，那么就是减少网络设备啊，简化这个，减少网络设备一个投资，简化网络的一个运维， 那么安全业务部署啊，那么这边还有个例子，比如说通过部署 vs， 那 么物理上旁挂的安全设备，物理上本来是旁挂的，那么现在的话，在逻辑上啊，其实它已经可以做成是一个串联的一个方式， 那么这现状就是说因为当前的安全业务部署，通过交换机上对这个较复杂的伪乱规划和配置来实现啊， 那么其实维大的这个规划很复杂啊，并且维大数量也随着这个业务的丰富变得，其实维大也不太够用啊，只有四 k， 那 么你部署的 vs 之后呢？物理上旁挂的这个安全设备啊，逻辑上被部署成为这个串联的方式啊，那么每个 vs 的 配置就相互不会受影响， 那么它的收益也是安全模型不变啊，简化了网络的这个部署，降低了运维成本。那么使用 s 在 cleo 的 这个协议的这个边缘部署啊， l three 的 这个网关， 那么 cleo 的 这个边缘设备啊，由于 cleo 的 独特的这个封装和转发，是当前并没有办法去承担 l three 网关的这个任务啊， 那我们进一般整的这个外挂设备啊，外挂这个部署这个网关，那么外挂网关的话，就会带来这个设备的投资的一个增加， 那么你现在呢，你可以在这个边缘设备上配置两个端口组的这个 v s， 一个作为 q o 的 这个边缘设备啊，另外一个作为 s 锐网关啊，这很好理解，是吧？那我就不需要去买这个 s 锐网关的这个设备了 啊，网关部署的话，哦，部署这个 vip 啊，然后保提高这个可信，保证这个网络天灾无恙，那么这也是做到了，这个减少网络投资啊，简化网络运维这个成本啊，部署成本， 那么实现啊，使用 v s 来实现这个转化啊，资源差异化的一个分配啊，那么我们通常一台交换机上同时支持 l two 和 l three 的 转发，但是 a r p 和表象和 mark 表象彼此之间还是啊会竞争这个转化资源的啊 啊，比如说我们跨 dc 的 二层互通啊，二层互联，那么提升了对 mac 表现去设备的这个需求啊，但是你没有办法同时满足 l two 和 l three 的 转向性能的要求啊。 那么我们现在这种部署方式大家可以看一下啊，那么在 l two 和 l three 的 这个边界设备上面啊，部署端口组的这个 vs， 那么 l two 的 这个 vs 配置大的这个 mark 表，比如说这个支持个几百 k 啊，两三百 k 的 这个 mark 表，那用于跨这个 dc 的 l two 的 转发，那么 l c s 这个 vs 配置大的这个 arp 表，比如说你这个支持一百多 k 的 这个 arp 表，那么用于跨直网的三层访问， 那么它这个整体是提高了网络的一个性能啊，那个并且进一步的这个啊，降低了一个投资。 这里还是在说这个问题啊，那么只是它的这个模型啊，部署这个模型从一台物理设备它部署成 l two switch， l three switch 啊，接入到这个网络里去， 然后我们再看一下 vs 的 一个典型应用吧，啊，确保网管设计啊，刚才也提到过啊， 那么这边会选用两台 cleo 的 核心设备啊，作为 cleo 的 这个接网关接入点，并在两台设备上面创建两个端口组 v s 啊，那每个设备的两两个 v s， 一个作为 cleo 的 核心节点啊，配置大 bug 的 模式，一个作为 s three 的 这个网关配置大 a r p 的 模式 啊，对吧？业务二次业务在 q 网络内正常转发，三次业务在网关里面做处理，那么可信。部署的话，可以看到红色的这个线啊，其实我们中间是用这个网关之间部署 vip 提供这个可信啊， 那么通过配置多个 vip 的 这个备份组啊，并设置不同的这个业务分流到两台网关的 vs， 实现流量的一个均衡， 那么其实我们还是有扩展方案的啊，那么扩展方案的话，其实你是可以在 啊做四台的这个缺有的核心设备上到都部署这个网关 vs 啊，并且通过 vip 来提高可靠性啊，然后把这个多台 vip 备份的这个，把流量能够均衡到多台的这个 vs 网关上去， 那么使用 vs 扩展物理网络中的多租户的这个规格， 那么这边的话，其实核心交换机我先部署这个堆叠啊，然后划分那个多端口的这个端口组的这个 v s 啊，然后不同业务区的这个汇聚交换机分别接入到不同的这个端口组的这个 v s 里头 啊，然后每个业务啊，基于伟大的划分租户啊，那么我提供四 k 的 租户啊，往过部署在这个业务区接入的这个 v s 啊，业务区之间运行路由协议啊，通过三层互联， 那么所有 v s 都跨 c s s 的 物理交换机部署，提高 v s 的 设备的可信啊，每个业务区的这个汇聚交换机和核心 v s 之间部署 ethernet chunk 的 这个电路啊，提高网络的可信 啊，然后这个的话，就是我们说的这个 v s 扩展物理网络中的这个多租户的一个啊，这个规格啊，这个能力 好，那么这个是我们的一个思考题啊，大家简单看一下，比如说 vs 归几种方，几种几类啊？比如说你横向的，你纵向的啊，然后我们的这个端口划分哪几种方式啊？那么一般的话，有这个记忆端口的， 还有记忆端口组的这个划分，那么它的区别是什么？好，那么这个照片就给大家介绍到这里啊。
127ICT网络攻城狮
03:28查看AI文稿AI文稿第一步，在策略模块页面中依次点击导航栏中。 net net 内部服务器策略配置，新建一条策略接口，这里选择内网的烂口协议类型选择 tcp 映射方式，选择第一个选项， 外网地址，选择第二个选项，外网端口，选择外网访问进来的端口号，下来填写内网服务器的 ip 地址和对应开放服务的端口号， 点击确定。第二步，进入对象模块配置对象，依次点击对象组 ipv 四 地址对象组，新建一个对象，输入对象组名称，点击添加并填写内网服务器的 ip 地址和子网岩码， 点击确定保存。第三步，点击服务对象组， 新建一个服务对象，填写对象组名称，添加服务端口号，这里类型保持默认的 tcp 远端口，按默认就行，可以不用修改，点击确定保存。 第四步，配置安全策略在安全策略中新建一条策略，点击新建，输入策略名称， 原安全域选择 interest， 目的安全欲选择 trust， 原地只对向组选择 any， 这里在演示操作的时候，一开始填写错误了， 目的地指对象组，选择刚才新建的对象，现在把刚才配置错误的地方修改一下， 把刚才填写的原 ip 的 ip 地址删除，再把地址对象组改为艾米。 现在配置错误的地方修改好了，我们继续配置目的对象组，填写服务器对应的 ip 地址，服务对象组选择。 第三步，创建的服务，下面添加协议和端口号，类型不变，然后输入该服务对应的目的端口号，这里原端口还是保持默认就好。点击确定保存， 再点一次确定，再点击磁盘按钮保存所有配置，端口映射就配置好了。下面我们用远程工具连到外网的电脑上进行测试， 测试正常已经可以通过域名访问党我们开放的服务了。本期视频到此结束，请点赞支持一下，谢谢！
544流通之星
01:33查看AI文稿AI文稿今天和大家分享一下防火墙安全策略和。 net 的 配置。先配好接口，我们新设备服务器的网关将指向它。第一步，配置安全策略，让 windows 能够与服务器建立通信配置十到二十网段的策略。 这里注意，我这台设备同安全域内接口间流量默认丢弃，需要显示配置策略或开启全域内放行开关才能互通 动作。允许 再配置一条服务器到互联网的策略，这样下载补丁会方便一些。 然后配置策略。 net 原地址转换 动态 ip 加端口和 ecip， 记得还需要一条默认路由测试一下， 单向通上网正常。正是防火墙策略的效果。恭喜你学会了防火墙基础配置。
01:58查看AI文稿AI文稿我这个华山防火墙经历了一些风霜了，看看，但是不影响不影响我们学习，这个也是为期的，所以说相对来说还是比较新的，等会我们用这个防火墙给大家演示一下华山防火墙怎么调试 好。我们脸上康色线，脸上宽带，脸上电脑， 今天这个配置就是很简单，就是让这个电脑能上网。首先我们把接口添加一下描述，接一杠零杠零是连接忘口 g 一杠零杠二是连接电脑默认领口和二口加入了管理区域，我们把它安度掉，再把接口加入到相应的安全区域，然后配置弯口和耐 口的 ip 地址，万口配置自动获取 ip 地址，还有不要忘了配置万口的艾特，为了让电脑能够自动获取 ip 地址，我们配置 dhcp。 最后配置通了就跑的安全策略，这样我们就能够通过防火墙上网了。我们把这些脚本整理好，然后复制 刷到防护墙上面， 然后再保存一下。 配置好了，我们来看一下电脑是否获取到了 ipad 地址， 已经获取他的 ip 地址，然后拼一下， 可以拼通防火墙通了我们可以跑了，这个是玩笑话，这里我们就是基础配置配好了，实际我们还需要配置安全策略等等，今天就做基础的配置安全策略，如果说大家有兴趣，我后面再给大家演示。
1195diff张_网络调试
18:51
04:32
