NSRP（NetScreen Redundant Protocol）是Juniper公司基于VRRP协定规范自行开发的设备冗余协定。防火墙作为企业核心网路中的关键设备，需要为所有进出网路的信息流提供安全保护，为满足客户不间断业务访问需求，要求防火墙设备必须具备高可靠性，能够在设备、链路及互连设备出现故障的情况下，提供网路访问路径无缝切换。NSRP冗余协定提供複杂网路环境下的冗余路径保护机制。
基本介绍
- 外文名NetScreen Redundant Protocol
- 缩写NSRP
- 开发公司Juniper公司
- 基于VRRP协定规范自行开发的设备
NETSCREEN NSRP典型配置及维护
NSRP工作原理
NSRP主要功能有1、在高可用群组成员之间同步配置信息；2、提供活动会话同步功能，以保证发生路径切换情况下不会中断网路连线；3、採用高效的故障切换算法，能够在短短几秒内迅速完成故障检测和状态切换。
NSRP集群两种工作模式
1、Active/Passive模式通过对一个冗余集群中的两台安全设备进行电缆连线和配置，使其中一台设备作为主用设备，另一台作为备用设备。主用设备负责处理所有网路信息流，备用设备处于线上备份状态。主设备将其网路和配置命令及当前会话信息传播到备用设备，备用设备始终保持与主用设备配置信息和会话连线信息的同步，并跟蹤主用设备状态，一旦主设备出现故障，备份设备将在极短时间内晋升为主设备并接管信息流处理。
2、Active/Active模式在NSRP中创建两个虚拟安全设备 (VSD) 组，每个组都具有自己的虚拟安全接口(VSI)，通过VSI接口与网路进行通信。设备A充当VSD组1的主设备和VSD 组2的备份设备。设备B充当VSD组2的主设备和VSD组1的备份设备。Active/Active模式中两台防火墙进行信息流的处理并彼此互为备份。在双主动模式中不存在任何单一故障点。通过调整防火墙上下行路由/交换设备到网路的路由指向，HostA通过左侧路径访问ServerA，HostB通过右侧路径访问ServerB，网路中任一设备或链路出现故障时，NSRP集群均能够做出正确的路径切换。
NSRP集群技术优势主要体现于
1、消除防火墙及前后端设备单点故障，提供网路高可靠性。即使在骨干网路中两类核心设备出现故障，也能够保证业务安全可靠运行。
2、根据客户网路环境和业务可靠性需要，提供灵活多样的可靠组网方式。NSRP双机集群能够提供1、Active-Passive模式Layer2/3多虚拟路由器多虚拟系统和口型/交叉型组网方式；2、Active-Active模式Layer2/3多虚拟路由器多虚拟系统和口型/Fullmesh交叉型组网方式。为用户提供灵活的组网选择。
3、NSRP双机结构便于网路维护管理，通过将流量在双机间的灵活切换，在防火墙软体升级、前后端网路结构最佳化改造及故障排查时，双机结构均能够保证业务的不间断运行。
4、结合Netscreen虚拟系统和虚拟路由器技术，部署一对NSRP集群防火墙，可以为企业更多的套用提供灵活可靠的安全防护，减少企业防火墙部署数量和维护成本。
NSRP典型结构与配置
Layer3 口型A/P组网模式
Layer3 口型A/P组网模式是当前很多企业广泛採用的HA模式，该模式具有对网路环境要求不高，无需网路结构做较大调整，具有较好冗余性、便于管理维护等优点。缺点是Netscreen防火墙利用率不高，同一时间只有一台防火墙处理网路流量；冗余程度有限，仅在一侧链路和设备出现故障时提供冗余切换。Layer3 口型组网A/P模式具有较强冗余性、低连线埠成本和网路结构简单、便于维护管理等角度考虑，成为很多企业选用该组网模式的标準。
配置说明两台Netscreen设备採用相同硬体型号和软体版本，组成Active/Passive冗余模式，两台防火墙均使用一致的Ethernet接口编号连线到网路。通过双HA连线埠或将2Ethernet接口放入HA区段，其中控制链路用于NSRP心跳信息、配置信息和Session会话同步，数据链路用于在两防火墙间必要时传输数据流量。
NS-A（主用）:
Set hostname NS-A /定义主机名/
Set interface ethernet1 zone untrust
Set interface ethernet1 ip 100.1.1.4/29
Set interface ethernet1 route
Set interface ethernet2 zone trust
Set interface ethernet2 ip 192.168.1.4/29
Set interface ethernet2 route
Set interface mgt ip 192.168.2.1/24 /通过管理口远程管理NS-A/
/配置接口Untrust/Trust Layer3 路由模式/
Set interface ethernet3 zone HA
Set interface ethernet4 zone HA
/Eth3和Eth4口用于HA互连，用于同步配置档案、会话信息和跟蹤设备状态信息/
set nsrp cluster id 1
set nsrp rto-mirror sync
set nsrp vsd-group id 0 priority 50 /预设值为100，低值优先成为主用设备/
set nsrp monitor interface ethernet2
set nsrp monitor interface ethernet1
/配置NSRPVsd-group预设为0，VSI使用物理接口IP位址，非抢占模式/
NS-B（备用）:
Set hostname NS-B /定义主机名/
Set interface ethernet1 zone Untrust
Set interface ethernet1 ip 100.1.1.4/29
Set interface ethernet1 route
Set interface ethernet2 zone trust
Set interface ethernet2 ip 192.168.1.4/29
Set interface ethernet2 route
Set interface mgt ip 192.168.2.2/24 /通过管理口远程管理NS-A/
/配置接口Untrust/Trust Layer3 路由模式/
Set interface ethernet3 zone HA
Set interface ethernet4 zone HA
/Eth3和Eth4口用于HA互连，用于同步配置档案、会话信息和跟蹤设备状态信息/
set nsrp cluster id 1
set nsrp rto-mirror sync
set nsrp vsd-group id 0 priority 100
set nsrp monitor interface ethernet2
set nsrp monitor interface ethernet1
/Vsd-group预设为0，VSI使用物理接口IP位址，备用设备优先权100，成为非抢占模式/
Layer3 Fullmesh A/P组网模式
Layer3 Fullmesh连线A/P组网使用全交叉网路连线模式，容许在同一设备上提供链路级冗余，发生链路故障时，由备用链路接管网路流量，防火墙间无需进行状态切换。仅在上行或下行两条链路发生故障情况下，防火墙才会进行状态切换，Fullmesh连线进一步提高了业务的可靠性。该组网模式在提供设备冗余的提供链路级冗余，成为很多企业部署关键业务时的最佳选择。
Layer3 Fullmesh连线A/A组网模式
Layer3 Fullmesh连线A/A结构提供了一种更为灵活的组网方式，在保证网路高可靠性的提升了网路的可用性。A/A结构中两台防火墙作为主用设备并提供互为线上备份，各自独立处理信息流量并共享连线会话信息。一旦发生设备故障另一台设备将负责处理所有进出网路流量。Fullmesh连线A/A组网模式对网路环境要求较高，要求网路维护人员具备较强技术能力，防火墙发生故障时，接管设备受单台设备容量限制，可能会导致会话连线信息丢失，採用A/A模式组网时，建议每台防火墙负责处理的会话连线数量不超过单台设备容量的50%，以确保故障切换时不会丢失会话连线。
配置说明定义VSD0和VSD1虚拟安全设备组(创建Cluster ID时将自动创建VSD0)，其中NS-A为VSD0主用设备和VSD1备用设备，NS-B为VSD1主用设备和VSD0备用设备；创建冗余接口实现两物理接口动态冗余；配置交换机路由指向来引导网路流量经过哪个防火墙。
NS-A（Active）:
Set hostname NS-A /定义主机名/
Set interface mgt ip 192.168.2.1/24 /通过管理口远程管理NS-A/
Set interface red1 zone Untrust /创建冗余接口1/
Set interface e1 zone null
Set interface e1 group red1
Set interface e2 zone null
Set interface e2 group red1
Set interface red1 ip 10.1.1.4/29
Set interface red2 zone trust
Set interface e3 zone null
Set interface e3 group red2
Set interface e4 zone null
Set interface e4 group red2
Set interface red2 ip 192.168.1.4/29
/配置接口Untrust/Trust Layer3 路由模式/
Set interface ethernet7 zone ha
Set interface ethernet8 zone ha
set nsrp cluster id 1
set nsrp rto-mirror sync /容许会话信息自动同步/
set nsrp vsd-group id 0 priority 50
set nsrp monitor interface ethernet2
set nsrp monitor interface ethernet1
/配置NSRPVsd-group预设为0，VSI使用物理接口IP位址，优先权为50，非抢占模式/
NS-B（Backup）:
Set hostname NS-B /定义主机名/
Set interface mgt ip 192.168.2.2/24 /通过管理口远程管理NS-A/
Set interface red1 zone Untrust /创建冗余接口/
Set interface e1 zone null
Set interface e1 group red1 /将该物理接口放置到冗余接口中/
Set interface e2 zone null
Set interface e2 group red1
Set interface red1 ip 10.1.1.4/29
Set interface red2 zone trust
Set interface e3 zone null
Set interface e3 group red2
Set interface e4 zone null
Set interface e4 group red2
Set interface red2 ip 192.168.1.4/29
/配置接口Untrust/Trust Layer3 路由模式/
Set interface ethernet7 zone ha
Set interface ethernet8 zone ha
set nsrp cluster id 1
set nsrp rto-mirror sync /容许会话信息自动同步/
set nsrp vsd-group id 0 priority 100
set nsrp monitor interface ethernet2
set nsrp monitor interface ethernet1
/Vsd-group预设为0，VSI使用物理接口IP位址，备用设备/