NSRP

NSRP（NetScreen Redundant Protocol）是Juniper公司基於VRRP協定規範自行開發的設備冗餘協定。防火牆作為企業核心網路中的關鍵設備，需要為所有進出網路的信息流提供安全保護，為滿足客戶不間斷業務訪問需求，要求防火牆設備必須具備高可靠性，能夠在設備、鏈路及互連設備出現故障的情況下，提供網路訪問路徑無縫切換。NSRP冗餘協定提供複雜網路環境下的冗餘路徑保護機制。

基本介紹

• 外文名：NetScreen Redundant Protocol
• 縮寫：NSRP
• 開發公司：Juniper公司
• 基於：VRRP協定規範自行開發的設備

NETSCREEN NSRP典型配置及維護

NSRP工作原理

NSRP主要功能有：1、在高可用群組成員之間同步配置信息；2、提供活動會話同步功能，以保證發生路徑切換情況下不會中斷網路連線；3、採用高效的故障切換算法，能夠在短短几秒內迅速完成故障檢測和狀態切換。

NSRP集群兩種工作模式：

1、Active/Passive模式：通過對一個冗餘集群中的兩台安全設備進行電纜連線和配置，使其中一台設備作為主用設備，另一台作為備用設備。主用設備負責處理所有網路信息流，備用設備處於線上備份狀態。主設備將其網路和配置命令及當前會話信息傳播到備用設備，備用設備始終保持與主用設備配置信息和會話連線信息的同步，並跟蹤主用設備狀態，一旦主設備出現故障，備份設備將在極短時間內晉升為主設備並接管信息流處理。

2、Active/Active模式：在NSRP中創建兩個虛擬安全設備 (VSD) 組，每個組都具有自己的虛擬安全接口(VSI)，通過VSI接口與網路進行通信。設備A充當VSD組1的主設備和VSD 組2的備份設備。設備B充當VSD組2的主設備和VSD組1的備份設備。Active/Active模式中兩台防火牆同時進行信息流的處理並彼此互為備份。在雙主動模式中不存在任何單一故障點。通過調整防火牆上下行路由/交換設備到網路的路由指向，HostA通過左側路徑訪問ServerA，HostB通過右側路徑訪問ServerB，網路中任一設備或鏈路出現故障時，NSRP集群均能夠做出正確的路徑切換。

NSRP集群技術優勢主要體現於：

1、消除防火牆及前後端設備單點故障，提供網路高可靠性。即使在骨幹網路中兩類核心設備同時出現故障，也能夠保證業務安全可靠運行。

2、根據客戶網路環境和業務可靠性需要，提供靈活多樣的可靠組網方式。NSRP雙機集群能夠提供1、Active-Passive模式Layer2/3多虛擬路由器多虛擬系統和口型/交叉型組網方式；2、Active-Active模式Layer2/3多虛擬路由器多虛擬系統和口型/Fullmesh交叉型組網方式。為用戶提供靈活的組網選擇。

3、NSRP雙機結構便於網路維護管理，通過將流量在雙機間的靈活切換，在防火牆軟體升級、前後端網路結構最佳化改造及故障排查時，雙機結構均能夠保證業務的不間斷運行。

4、結合Netscreen虛擬系統和虛擬路由器技術，部署一對NSRP集群防火牆，可以為企業更多的套用提供靈活可靠的安全防護，減少企業防火牆部署數量和維護成本。

NSRP典型結構與配置

Layer3 口型A/P組網模式

Layer3 口型A/P組網模式是當前很多企業廣泛採用的HA模式，該模式具有對網路環境要求不高，無需網路結構做較大調整，具有較好冗餘性、便於管理維護等優點。缺點是Netscreen防火牆利用率不高，同一時間只有一台防火牆處理網路流量；冗餘程度有限，僅在一側鏈路和設備出現故障時提供冗餘切換。Layer3 口型組網A/P模式具有較強冗餘性、低連線埠成本和網路結構簡單、便於維護管理等角度考慮，成為很多企業選用該組網模式的標準。

配置說明：兩台Netscreen設備採用相同硬體型號和軟體版本，組成Active/Passive冗餘模式，兩台防火牆均使用一致的Ethernet接口編號連線到網路。通過雙HA連線埠或將2Ethernet接口放入HA區段，其中控制鏈路用於NSRP心跳信息、配置信息和Session會話同步，數據鏈路用於在兩防火牆間必要時傳輸數據流量。

NS-A（主用）:

Set hostname NS-A /***定義主機名***/

Set interface ethernet1 zone untrust

Set interface ethernet1 ip 100.1.1.4/29

Set interface ethernet1 route

Set interface ethernet2 zone trust

Set interface ethernet2 ip 192.168.1.4/29

Set interface ethernet2 route

Set interface mgt ip 192.168.2.1/24 /***通過管理口遠程管理NS-A***/

/***配置接口：Untrust/Trust Layer3 路由模式***/

Set interface ethernet3 zone HA

Set interface ethernet4 zone HA

/***Eth3和Eth4口用於HA互連，用於同步配置檔案、會話信息和跟蹤設備狀態信息***/

set nsrp cluster id 1

set nsrp rto-mirror sync

set nsrp vsd-group id 0 priority 50 /***預設值為100，低值優先成為主用設備***/

set nsrp monitor interface ethernet2

set nsrp monitor interface ethernet1

/***配置NSRP：Vsd-group預設為0，VSI使用物理接口IP位址，非搶占模式***/

NS-B（備用）:

Set hostname NS-B /***定義主機名***/

Set interface ethernet1 zone Untrust

Set interface ethernet1 ip 100.1.1.4/29

Set interface ethernet1 route

Set interface ethernet2 zone trust

Set interface ethernet2 ip 192.168.1.4/29

Set interface ethernet2 route

Set interface mgt ip 192.168.2.2/24 /***通過管理口遠程管理NS-A***/

/***配置接口：Untrust/Trust Layer3 路由模式***/

Set interface ethernet3 zone HA

Set interface ethernet4 zone HA

/***Eth3和Eth4口用於HA互連，用於同步配置檔案、會話信息和跟蹤設備狀態信息***/

set nsrp cluster id 1

set nsrp rto-mirror sync

set nsrp vsd-group id 0 priority 100

set nsrp monitor interface ethernet2

set nsrp monitor interface ethernet1

/***Vsd-group預設為0，VSI使用物理接口IP位址，備用設備：優先權100，成為非搶占模式***/

Layer3 Fullmesh A/P組網模式

Layer3 Fullmesh連線A/P組網使用全交叉網路連線模式，容許在同一設備上提供鏈路級冗餘，發生鏈路故障時，由備用鏈路接管網路流量，防火牆間無需進行狀態切換。僅在上行或下行兩條鏈路同時發生故障情況下，防火牆才會進行狀態切換，Fullmesh連線進一步提高了業務的可靠性。該組網模式在提供設備冗餘的同時提供鏈路級冗餘，成為很多企業部署關鍵業務時的最佳選擇。

Layer3 Fullmesh連線A/A組網模式

Layer3 Fullmesh連線A/A結構提供了一種更為靈活的組網方式，在保證網路高可靠性的同時提升了網路的可用性。A/A結構中兩台防火牆同時作為主用設備並提供互為線上備份，各自獨立處理信息流量並共享連線會話信息。一旦發生設備故障另一台設備將負責處理所有進出網路流量。Fullmesh連線A/A組網模式對網路環境要求較高，要求網路維護人員具備較強技術能力，防火牆發生故障時，接管設備受單台設備容量限制，可能會導致會話連線信息丟失，採用A/A模式組網時，建議每台防火牆負責處理的會話連線數量不超過單台設備容量的50%，以確保故障切換時不會丟失會話連線。

配置說明：定義VSD0和VSD1虛擬安全設備組(創建Cluster ID時將自動創建VSD0)，其中NS-A為VSD0主用設備和VSD1備用設備，NS-B為VSD1主用設備和VSD0備用設備；創建冗餘接口實現兩物理接口動態冗餘；配置交換機路由指向來引導網路流量經過哪個防火牆。

NS-A（Active）:

Set hostname NS-A /***定義主機名***/

Set interface mgt ip 192.168.2.1/24 /***通過管理口遠程管理NS-A***/

Set interface red1 zone Untrust /***創建冗餘接口1***/

Set interface e1 zone null

Set interface e1 group red1

Set interface e2 zone null

Set interface e2 group red1

Set interface red1 ip 10.1.1.4/29

Set interface red2 zone trust

Set interface e3 zone null

Set interface e3 group red2

Set interface e4 zone null

Set interface e4 group red2

Set interface red2 ip 192.168.1.4/29

/***配置接口：Untrust/Trust Layer3 路由模式***/

Set interface ethernet7 zone ha

Set interface ethernet8 zone ha

set nsrp cluster id 1

set nsrp rto-mirror sync /***容許會話信息自動同步***/

set nsrp vsd-group id 0 priority 50

set nsrp monitor interface ethernet2

set nsrp monitor interface ethernet1

/***配置NSRP：Vsd-group預設為0，VSI使用物理接口IP位址，優先權為50，非搶占模式***/

NS-B（Backup）:

Set hostname NS-B /***定義主機名***/

Set interface mgt ip 192.168.2.2/24 /***通過管理口遠程管理NS-A***/

Set interface red1 zone Untrust /***創建冗餘接口***/

Set interface e1 zone null

Set interface e1 group red1 /***將該物理接口放置到冗餘接口中***/

Set interface e2 zone null

Set interface e2 group red1

Set interface red1 ip 10.1.1.4/29

Set interface red2 zone trust

Set interface e3 zone null

Set interface e3 group red2

Set interface e4 zone null

Set interface e4 group red2

Set interface red2 ip 192.168.1.4/29

/***配置接口：Untrust/Trust Layer3 路由模式***/

Set interface ethernet7 zone ha

Set interface ethernet8 zone ha

set nsrp cluster id 1

set nsrp rto-mirror sync /***容許會話信息自動同步***/

set nsrp vsd-group id 0 priority 100

set nsrp monitor interface ethernet2

set nsrp monitor interface ethernet1

/***Vsd-group預設為0，VSI使用物理接口IP位址，備用設備***/