什么是虚拟系统
虚拟系统（Virtual System）是在一台物理设备上划分出的多台相互独立的逻辑设备。
您可以从逻辑上将一台 FW设备划分为多个虚拟系统。每个虚拟系统相当于一台真实的设备，有自己的接口、地址集、用户/组、路由表项以及策略，并可通过虚拟系统管理员进行配置和管理。
FW上存在两种类型的虚拟系统：
-
根系统（public）====默认存在的，
根系统是 FW上缺省存在的一个特殊的虚拟系统。即使虚拟系统功能未启用，根系统也依然存在。此时，管理员对 FW进行配置等同于对根系统进行配置。启用虚拟系统功能后，根系统会继承先前 FW上的配置。
在虚拟系统这个特性中，根系统的作用是管理其他虚拟系统，并为虚拟系统间的通信提供服务。
-
虚拟系统(VSYS)
虚拟系统是在 FW上划分出来的、独立运行的逻辑设备。
虚拟系统与VPN实例
除了虚拟系统之外， FW还支持VPN实例（VPN Instance），两者都有隔离的作用，虚拟系统的主要作用是业务隔离和路由隔离（静态路由），VPN实例的主要作用是路由隔离。没有实现虚拟化的功能需要使用VPN实例来配置多实例功能，如动态路由、组播等。
FW上的VPN实例包括如下两种形态：
-
创建虚拟系统时自动生成的VPN实例
创建虚拟系统时，会自动生成相同名字的VPN实例。
-
管理员手动创建的VPN实例
管理员使用 ip vpn-instance命令手动创建的VPN实例，该VPN实例主要用于MPLS场景中，作用是路由隔离。我们所说的用来进行路由隔离的VPN实例，指的就是管理员手动创建的VPN实例。
-
根系统管理员
启用虚拟系统功能后，设备上已有的管理员将成为根系统的管理员。管理员的登录方式、管理权限、认证方式等均保持不变。根系统管理员负责管理和维护设备、配置根系统的业务。
只有具有虚拟系统管理权限的根系统管理员（本章节后续内容中提及的根系统管理员都是指此类管理员）才可以进行虚拟系统相关的配置，如创建、删除虚拟系统，为虚拟系统分配资源等。
-
虚拟系统管理员
创建虚拟系统后，根系统管理员可以为虚拟系统创建一个或多个管理员。虚拟系统管理员的作用范围与根系统管理员有所不同：虚拟系统管理员只能进入其所属的虚拟系统的配置界面，能配置和查看的业务也仅限于该虚拟系统；根系统管理员可以进入所有虚拟系统的配置界面，如有需要，可以配置任何一个虚拟系统的业务。
为了正确识别各个管理员所属的虚拟系统，虚拟系统管理员用户名格式统一为“管理员名@@虚拟系统名”。
虚拟系统的分流
通过分流能将进入设备的报文送入正确的虚拟系统处理。
FW 上未配置虚拟系统时，报文进入 FW 后直接根据根系统的策略和表项（会话表、MAC地址表、路由表等）对其进行处理。 FW 上配置了虚拟系统时，每个虚拟系统都相当于一 个独 立的设备，仅依据虚拟系统内的策略和表项对报文进行处理。因此，报文进入 FW 后，首先要确定报文与虚拟系统的归属关系，以决定其进入哪个虚拟系统进行处理。我们将确定报文与虚拟系统归属关系的过程称为分流。
FW支持基于接口分流、基于VLAN分流和基于VNI分流三种分流方式。接口工作在三层时，采用基于接口的分流方式；接口工作在二层时，采用基于VLAN的分流方式；虚拟系统和VXLAN结合使用时，采用基于VNI的分流方式。
基于接口分流
将接口与虚拟系统绑定后，从此接口接收到的报文都会被认为属于该虚拟系统，并根据该虚拟系统的配置进行处理。
如 所示，虚拟系统VSYSA、VSYSB、VSYSC有专属的内网接口 GigabitEthernet 0/0/1、 GigabitEthernet 0/0/2、 GigabitEthernet 0/0/3。 GigabitEthernet 0/0/1、 GigabitEthernet 0/0/2、 GigabitEthernet 0/0/3接收到的报文经过分流，将分别送入VSYSA、VSYSB、VSYSC进行路由查找和策略处理。
将VLAN与虚拟系统绑定后，该VLAN内的报文都将被送入与其绑定的虚拟系统进行处理。
如 所示， FW的内网接口 GigabitEthernet 0/0/1为Trunk接口，并允许VLAN10、VLAN20和VLAN30的报文通过。VLAN10、VLAN20、VLAN30分别绑定虚拟系统VSYSA、VSYSB和VSYSC。对于 GigabitEthernet 0/0/1接收到的报文， FW会根据报文帧头部的VLAN Tag确定报文所属的VLAN，再根据VLAN与虚拟系统的绑定关系，将报文引入相应的虚拟系统。
报文进入虚拟系统后，根据该虚拟系统的MAC地址表查询到出接口，确定报文出入接口的域间关系，再根据配置的域间策略对报文进行转发或丢弃。
基于VNI分流
虚拟系统互访
FW支持虚拟系统与根系统互访、两个虚拟系统间直接互访、两个虚拟系统跨根系统互访以及两个虚拟系统跨共享虚拟系统互访四种基本场景。通过对基本场景的认识，可以帮助您更好地理解虚拟系统互访的基本原理并正确地进行相关配置。
按照互访角色划分，虚拟系统互访可分为 虚拟系统与根系统互访和 两个虚拟系统间互访两类。
a、虚拟系统与根系统互访
拓扑
逻辑拓扑：
华为防火墙首次登陆强制修改密码，默认用户名：admin，默认密码 Admin@123
防火墙：
[USG6000V1]vsys enable \\启用防火墙虚拟系统功能
[USG6000V1]vsys name A \\创建虚拟防火墙A
[USG6000V1-vsys-A]assign interface GigabitEthernet 1/0/0 \\将接口关联到虚墙A
[USG6000V1]switch vsys A \\切换到虚墙A
[USG6000V1-A]firewall zone trust \\ 切换到trust 区域
[USG6000V1-A-zone-trust]add interface GigabitEthernet 1/0/0 \\关联接口
[USG6000V1-A]firewall zone untrust
[USG6000V1-A-zone-untrust]add interface Virtual-if 1
在每个虚墙上指默认路由指向public
ip route-static 0.0.0.0 0 public
根墙放通所有路由
[USG6000V1]security-policy
[USG6000V1-policy-security]default action permit
Warning:Setting the default packet filtering to permit poses security risks. You
are advised to configure the security policy based on the actual data flows. Ar
e you sure you want to continue?[Y/N]y
根墙写回程路由
[USG6000V1]ip route-static 10.1.11.0 24 vpn-instance A
[USG6000V1]ip route-static 10.1.12.0 24 vpn-instance B
虚墙上配置安全策略，放通trust-untrust区域的路由
[USG6000V1-A]security-policy
[USG6000V1-A-policy-security]rule name trust-untrust
[USG6000V1-A-policy-security-rule-trust-untrust]source-zone trust
[USG6000V1-A-policy-security-rule-trust-untrust]destination-zone untrust
[USG6000V1-A-policy-security-rule-trust-untrust]action permit
测试验证
根墙的会话表项太多会影响性能====根墙使用引流表
1、先把根墙的两个静态路由取消
2、根墙上配置引流表
3、验证：根墙无会话表项，只有虚墙中有会话表项，减轻了根墙的压力。
b、配置虚墙之间直接互访
虚墙之间的互访，需要由
根管理员进行操作
根墙上配置策略放通相关路由后进行验证：
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/31535697/viewspace-2770403/ ，如需转载，请注明出处，否则将追究法律责任。
