示例：在第 3 层网络的 SRX 系列防火墙上的主动/主动多节点高可用性中配置 IPSec VPN

• 节点 1

• 节点 2

• 节点 1

• 节点 2

节点 1 和节点 2

• 节点 1

• 节点 2

1. 节点 1
   • SRG1
2. SRG2

   您最多可以配置 64 个 IP 地址，用于 IP 监控和主动性探测。总共 64 个 IP 地址是 IPv4 和 IPv6 地址数量的总和。

• 节点 2
  • SRG1
  • SRG2

• 跨 MNHA 节点的主动/主动流量分配
• 每个 SRG 的策略控制 BGP 通告
• 配置 BFD 监控。BFD 为受保护的链路和路径提供快速故障检测。
• 对称 IPsec 流量转发

• 定义 SRG 前缀。前缀列表定义哪些路由（前缀）与 SRG 相关联，以便将这些前缀的流量引导至 SRG 并由 SRG 处理。

  节点 1 节点 2

• 创建路由过滤器列表以指定可播发的路由。

  节点 1 节点 2

• 配置 MNHA 路由导出策略。此配置在活动时播发具有首选指标（指标 10）的路由，在备份时播发首选指标（指标 20）的路由。

  节点 1 节点 2

• 定义条件运行状况检查。此配置根据路由是否存在情况确定每个 SRG 的节点是活动节点还是备份节点。

  节点 1 节点 2
  注意：您必须在 policy-options 语句中指定活动信号路由以及 route-exists 策略。配置 active-signal-route with if-route-exists 条件时，高可用性模块会将此路由添加到路由表中。
  注意：

  使用匹配条件配置活动信号路由 10.39.1.1 （SRG1） 和 10.49.1.1 （SRG2）。 if-route-exists 当节点变为活动状态时，MNHA 会添加这些路由，并且该节点会以更高的优先级播发路由。为备用节点配置备用信号路由 10.39.1.2 和 10.49.1.2，优先级中等。发生故障时，高可用性链路将关闭，活动节点将放弃其主要角色并移除活动信号路由。备份节点通过探针检测到这一点，变为活动状态，并且其路由优先级会增加以获取所有流量。

• 配置 BGP。

  节点 1 节点 2

• 节点 1

• 节点 2

• 节点 1 和节点 2

  注意：

  • 指定该 ha-link-encryption 选项会对 ICL 进行加密，以确保节点之间的高可用性流量信息流的安全。

  • 配置中set chassis high-availability peer-id <id> vpn-profile vpn_profile必须提及vpn_profileICL_IPSEC_VPN相同的 VPN 名称。

  • 对于多节点高可用性功能，您必须将 IKE 版本配置为 v2-only

• SRG1 和 SRG2 的 IPSec VPN 配置。

  在上述配置中，SRG1 VPN （SRG1_IPSEC_VPN1） 依赖于没有显式流量选择器的基于路由的转发，而 SRG2 （SRG2_IPSEC_VPN500） 则使用流量选择器。流量选择器可定义确切的本地和远程 IP，其流量必须加密并通过 IPsec 隧道发送。指向 st0 接口的静态路由可确保将匹配的流量转发到 VPN 隧道，而不是默认转发路径。两种方法都可以使用，具体取决于部署。