首页 > 其他分享 >H3C之防火墙拆堆叠升级

H3C之防火墙拆堆叠升级

时间：2024-07-02 10:10:06浏览次数：16  
标签：H3C flash F1070 reth 防火墙 堆叠 主框 display

组网及说明

两台防火墙F1070组成IRF，做冗余主备，并配置BFD MAD 进行分裂检测。业务在deviceA上跑，若deviceA上下行链路故障，则切换到deviceB。
现要求在业务中断最短的情况下，堆叠主备防火墙从域间策略的软件版本升级至安全策略的软件版本。

现有版本为 Release R9345P14
升级版本为 Release R9333P35

配置步骤
1、收集与备份

<F1070>dir    
<F1070>display version   
<F1070>display irf 
<F1070>display mad verbose  
<F1070>save   //ftp备份starup.cfg

2、 查看剩余空间，上传升级版本，复制升级版本（主备），指定为下次启动文件

<F1070>dir  
<F1070>dir slot1#flash:/   
<F1070>dir slot2#flash:/ 
<F1070>delete //删除多余文件
<F1070>reset recycle-bin //清空回收站 

ftp上传版本文件
<F1070>copy flash:/ xxx.ipe slot1#flash:/
<F1070>copy flash:/ xxx.ipe slot2#flash:/
<F1070>boot-load file flash:/xxx.ipe slot 1 main  //指定重启加载版本文件
<F1070>boot-load file flash:/xxx.ipe slot 2 main
<F1070>display boot-loader

3、关闭MAD检测口，shutdown主框的业务口，确认业务切换到备框， 业务测试正常后，保存配置（之后割接过程中不再保存配置）

[F1070]interface Route-Aggregation 3
[F1070-Route-Aggregation3]undo mad bfd enable
[F1070]int range g 1/0/6 to g 1/0/7
[F1070-if-range]shutdown
[F1070]save

[F1070]display redundancy group aaa
[F1070]display reth int reth 2
[F1070]dis reth int reth 2

4、断开堆叠线路，建议通过拔线方式，使堆叠分裂

<F1070>display irf   
<F1070>display irf link  
<F1070>display irf configuration

5、确认业务正常后，重启主框

[F1070]display redundancy group aaa
[F1070]display reth int reth 2
[F1070]display reth int reth 2
<F1070>reboot slot 1  （主框）

6、通过display system stable state确认主框板卡正常后，通过 security-policy switch-from object-policy startup.cfg xx.cfg实 现对象策略转换为安全策略，再次重启设备

<F1070>display device
<F1070>display sys stable state
[F1070]security-policy switch-from object-policy startup.cfg security-startup.cfg
<F1070>reboot slot 1

7、通过display system stable state确认主框板卡正常后， shutdown 备框业务口，同时undo shutdown主框业务口，测试业务

<F1070>display version
<F1070>display sys stable state
<F1070>display security-policy ip
[F1070]interface range g 2/0/6 to g 2/0/7  （备框）
[F1070-if-range]shutdown                 （备框）
[F1070]interface range g 1/0/6 to g 1/0/7  （主框）
[F1070-if-range]undo shutdown        （主框）
[F1070]display redundancy group aaa
[F1070]display reth int reth 1
[F1070]display reth int reth 2
[sw1]ping 2.2.2.1

8、业务正常后，重启备框。重启过程中，恢复堆叠链路，备框重启完成后，自动加入堆叠

<F1070>reboot slot 2  
注意：不要保存配置
<F1070>display device
<F1070>display irf
<F1070>display irf link
<F1070>display irf  configuration
[F1070]display redundancy group aaa
[F1070]display reth int reth 1
[F1070]display reth int reth 2

9、测试业务正常后，恢复MAD线路，保存查看配置

[F1070]interface Route-Aggregation 3
[F1070-Route-Aggregation3]mad bfd enable
[F1070-Route-Aggregation3]mad ip add 192.168.2.1 24 member 1
[F1070-Route-Aggregation3]mad ip add 192.168.2.2 24 member 2
[F1070-Route-Aggregation3]quit
[F1070]display mad verbose
[F1070]save
<F1070>display version

结果验证

1、查看剩余空间

<F1070>dir
1048576 KB total (745584 KB free) 

<F1070>dir slot1#flash:/
1048576 KB total (745584 KB free)   

<F1070>dir slot2#flash:/
1048576 KB total (735772 KB free)

2、查看版本文件

<F1070>dis boot-loader
Software images on slot 1:
Current software images:

  flash:/f1000fw-cmw710-boot-R9345P14.bin
  flash:/f1000fw-cmw710-system-R9345P14.bin

Main startup software images:

  flash:/f1000fw-cmw710-boot-R9333P35.bin
  flash:/f1000fw-cmw710-system-R9333P35.bin

Backup startup software images:
  None

Software images on slot 2:
Current software images:

  flash:/f1000fw-cmw710-boot-R9345P14.bin
  flash:/f1000fw-cmw710-system-R9345P14.bin

Main startup software images:

  flash:/f1000fw-cmw710-boot-R9333P35.bin
  flash:/f1000fw-cmw710-system-R9333P35.bin

Backup startup software images:
  None

3、关闭主框业务，确认切换业务到备框

[F1070-if-range]dis redundancy group aaa
Redundancy group aaa (ID 2):

  Node ID      Slot          Priority   Status        Track weight
  1            Slot1         100        Secondary     -255
  2            Slot2         50         Primary       255

Preempt delay time remained     : 0    sec
Preempt delay timer setting     : 60   sec
Remaining hold-down time        : 0    sec
Hold-down timer setting         : 1    sec
Manual switchover request       : No
Member interfaces:

    Reth1                 Reth2
Node 1:
  Track info:
    Track    Status           Reduced weight     Interface
    1        Negative         255                GE1/0/7
    2        Negative(Faulty) 255                GE1/0/6
Node 2:
  Track info:
    Track    Status           Reduced weight     Interface
    3        Positive         255                GE2/0/7
    4        Positive         255                GE2/0/6

[F1070-if-range]dis reth int reth 1
Reth1 :

  Redundancy group  : aaa
  Member           Physical status         Forwarding status   Presence status
  GE1/0/7          DOWN(redundancy down)   Inactive            Normal
  GE2/0/7          UP                      Active              Normal

[F1070-if-range]dis reth int reth 2
Reth2 :

  Redundancy group  : aaa
  Member           Physical status         Forwarding status   Presence status
  GE1/0/6          DOWN                    Inactive            Normal
  GE2/0/6          UP                      Active              Normal

4、通过display system stable state确认主框板卡正常

<F1070>dis sys stable state
System state     : Stable
Redundancy state : No redundance

  Slot    CPU    Role       State
  1       0      Active     Stable

5、通过display system stable state确认主框板卡正常后， shutdown
备框业务口，同时undo shutdown主框业务口，测试业务；

[F1070]dis redundancy group aaa

Redundancy group aaa (ID 1):

  Node ID      Slot          Priority   Status        Track weight

  1            Slot1         100        Primary       255
  2            Slot2         50         Secondary     255

Member interfaces:

    Reth1                 Reth2
Node 1:
  Track info:
    Track    Status           Reduced weight     Interface
    1        Positive         255                GE1/0/7
    2        Positive         255                GE1/0/6

Node 2:
  Track info:
    Track    Status           Reduced weight     Interface

    3        Positive         255                GE2/0/7
    4        Positive         255                GE2/0/6

[F1070]dis reth int reth 1

Reth1 :
  Redundancy group  : aaa
  Member           Physical status         Forwarding status   Presence status
  GE1/0/7          UP                      Active              Normal
  GE2/0/7          UP                      Inactive            Normal

[F1070]dis reth int reth 2
Reth2 :
  Redundancy group  : aaa
  Member           Physical status         Forwarding status   Presence status
  GE1/0/6          UP                      Active              Normal
  GE2/0/6          UP                      Inactive            Normal

配置关键点

1、升级前准备

  • 备份配置并收集设备运行信息、查看flash空间是否充足同时上传和复制版本文件到设备。

2、升级过程中

  • boot-load file指定版本文件；
  • 关闭MAD检测和主框业务口并保存配置；
  • 重启主框并在主框启动完成前拔掉堆叠线；
  • 先关闭备框业务口再打开主框业务口（间隔越短业务中断时间越短）；
  • 确认业务正常运行后重启备框并在重启完成之前插回堆叠线（注意重启时会提示是否保存当前配置，此时一定不能保存配置）（假如备框重启完毕未能加入主框的堆叠，则可能导致转发不通等异常。）。

3、升级完成后

  • 确认业务恢复情况并恢复MAD功能。

注意事项

1、为什么拆堆叠升级前要关掉mad检测

BFD来检测网络中是否存在多个IRF，IRF分裂后，通过分裂检测机制IRF会检测到网络中存在其它处于正常工作状态的IRF。
对于LACP MAD和BFD MAD检测，冲突处理会先比较两个IRF中成员设备的数量，数量多的IRF继续工作，数量少的迁移到Recovery状态（即禁用状态）。
如果成员数量相等，则主设备成员编号小的IRF继续工作，其它IRF迁移到Recovery状态。这样会使得备框迁移到Recovery状态，主备框都无业务口运行，造成业务中断

2、为什么备框重启前不要保存配置

更正：是堆叠分裂状态下所有单框重启时都不要保存配置：单框下重启保存时都会丢失堆叠状态下单独配置在其他框的配置，再堆叠同步时就会丢失。
堆叠断裂前，保存配置，主备框配置都会保存在starup文件中，接着堆叠分裂状态下单框重启时一定不要保存配置，那样最后堆叠重新启动调用starup的时候就是正常的配置。

3、Reth 口mac地址是否相同，为什么要相同

相同，在上、下行设备看来，与其连接的是以太网冗余接口，学习到的是以太网冗余接口的MAC地址。成员接口的激活状态发生变化，不会影响上、下行设备

标签：H3C,flash,F1070,reth,防火墙,堆叠,主框,display
From： https://www.cnblogs.com/OpenSourceSite/p/18279350

相关文章

  • CentOS防火墙设置
    简介本章节主要讲的是在Linux系统CentOS7.9上去完成防火墙的配置，常见的问题如：配置完Nginx，但无法访问站点等步骤1.查看云服务器的网络安全组的配置2.服务器防火墙的配置实施1.查看云服务器的网络安全组的配置2.服务器防火墙的配置查看防火墙是否开启相关的命令//查看防......
  • 在 Rocky Linux 中，你可以使用 firewalld 来管理防火墙规则。
    在RockyLinux中，你可以使用`firewalld`来管理防火墙规则。以下是关闭所有端口并重新开放所需端口的步骤：###步骤1：关闭所有端口首先，你需要关闭所有端口。你可以使用`firewall-cmd`命令来实现这一点：```bashsudofirewall-cmd--permanent--add-rich-rule='rulefamily="i......
  • linux防火墙常用命令
    注意使用命令出现如下表示权限不够，可以命令前加上sudo使用命令Authorizationfailed.Makesurepolkitagentisrunningorruntheapplicationassuperuser.授权失败。确保polkit代理正在运行或以超级用户身份运行应用程序。基础命令#启动防火墙......
  • 红队内网攻防渗透：内网渗透之内网对抗：隧道技术篇&防火墙组策略&FRP&NPS&Chisel&Socks代
    红队内网攻防渗透1.内网隧道技术1.1Frp内网穿透C2上线1.1.1双网内网穿透C2上线1.1.1.1服务端配置1.1.1.2客户端配置1.1.2内网穿透信息收集1.1.2.1、建立Socks节点（入站没限制采用）1.1.2.2主动转发数据（出站没限制采用）1.2Nps内网穿透工具1......
  • H3C HBA H460-M1卡安全擦除硬盘数据
     RAID卡型号：HBAH460-M1开机界面安装ctrl+a进入如下界面。选中需要格式化的盘的控制器选择DiskUtilities选项 选中需要擦除数据的盘安装Enter---》SecureErase选项进行擦除即可（可以后台运行，在选择yes后按esc擦除进程便在后台运行） ......
  • 【QCustomPlot实战系列】QCPGraph堆叠图
    将一个QCPGraph叠加到另一个QCPGraph上显示，就得到了折线堆叠图staticQCPScatterStyleGetScatterStyle(constQColor&color){QPenpen(color,2);returnQCPScatterStyle(QCPScatterStyle::ssCircle,pen,Qt::white,......
  • 防火墙虚拟系统
    一、实验思路和网络拓扑实验思路：1、在防火墙上启动虚拟系统，设置相应的接口、路由，实现各系统互联；2、并通过引流表对虚拟系统进行优化，节省根系统资源二、基础配置1、交换机配置[SW1]vlanbatch1020[SW1]port-groupgroup-memberg0/0/1g0/0/11[SW1-port-group]portl......
  • 信息打点-协议应用_内网资产_CDN_WAF_负载均衡_防火墙
    服务信息获取-协议应用&内网资产常见端口默认对应的服务：特殊服务端口：端口扫描工具：旁注查询旁注查询，又称为旁站查询或同服务器网站查询，是一种信息安全和网络侦查技术，主要用于发现与目标网站托管在同一服务器上的其他网站。这种查询的目的通常与网络安全测试、情报收集......
  • 以太网交换机堆叠和级联的区别
    以太网交换机堆叠和级联是网络架构中的两种常见方法，用于扩展网络规模和增强网络性能。本文将详细比较以太网交换机堆叠和级联的六个区别。1.定义与作用：-以太网交换机堆叠：以太网交换机堆叠是将多个物理交换机通过堆叠模块或堆叠线缆连接在一起，形成一台逻辑上的大型交换机......
  • Linux防火墙
    Netfilter是Linux内核中构建防火墙的网络子系统。firewalld是iptables的一个封装，更容易地管理iptables，firewalld和iptables一样，它们的作用都用于维护规则，而真正使用规则干活的是内核的netfilter。firewalld:firewalld是较新的防火墙管理工具，主要在基于RHEL/CentOS7及更高版本的......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99