华为防火墙——双机热备技术

本章目的：
* 理解VRRP的工作原理
* 掌握VGMP的使用场景
* 理解双机热备的工作原理
* 掌握双机热备状态的查看方法

1.双机热备概述

单一链路存在的问题：

如上图所示，企业中在关键的业务出口部署一台防火墙，使用的对外流量都经过防火墙传输，一旦防火墙出现故障，那么企业将面临网络中断的问题，无论防火墙本身的性能多好，功能有多强，在这一刻，都无法挽回企业面临的损失。
使用，通过在企业的出口部署两台防火墙产品，及时一台防火墙出现了故障，另一台也会迅速的顶上来继续工作，可以在增强企业安全的同时，保证业务传输基本不会中断，因为两台设备同时出现故障的概率非常小。

*防火墙和路由器冗余示意图：

  • 如左图所示：内部网络可以通过R3-R1-R4到达外网，也能通过R3-R2-R4，如果通过R3-R1-R4路径的成本比较小（运行ospf），那么默认情况下内部将通过R3-R1-R4到达wa外网，当R1设备损坏时，ospf将自动收敛，R3通过R2的转发到达外网，
  • 而右图中，把R1和R2替换成防火墙，假如流量从FW1通过到达外部，此时FW1上面记录着大量的用户流量对应的会话表项内容，当FW1损坏时，FW1将流量引用到FW2上，此时FW2开始工作，但是FW2上面没有之前流量的会话表，之前传输会话的返回流量将无法通过FW2，而会话的后续流量需要重新经过安全策略的检查，并生成会话表，着也意味着之前的所有通信都讲中断，除非重新建立连接。

    *防火墙的双机热备：


    防火墙的双机热备功能是通过提供一条备份链路（心跳线），协商防火墙之间的主备状态以及备份会话表，server-map表等操作。根据防火墙的配置选出主用设备与备用设备，当主工作时，备用不提供数据包的转发，但备用设备会实时从主用设备下载当前在流量会话表及server-map表，从而保证，当主设备故障时，及时切换备用设备，备用设备依然存在当前流量的会话表以及server-map表，从而保证流量不中断。

二.防火墙双机备份的两种模式


* 热备份模式：同一时间只有一台防火墙转发数据包，其他防火墙不转发数据包，但是会同步会话表以及server-map表。

* 负载均衡模式：同一时间，多台防火墙同时转发数据，但每个防火墙又作为其他防火墙的备用设备，即每个防火墙即使主设备也是备用设备，防火墙之间同步会话表以及server-map表。

三.RRP概述

VRRP（virtual router redundancy protocol，虚拟路由冗余协议），用来解决网关单点故障的路由协议。VRRP可以应用在路由器中提供网关冗余，也可以用在防火墙中做双机热备。

VRRP的基本概念如下：

* VRRP路由器：运行VRRP协议的路由器。
* 虚拟路由器：由一个主用路由器和若干个备用路由器组成一个备份组，一个备份组对客户端提供一个虚拟网关。
* VRID：虚拟路由器标识，用来唯一的标识一个备份组。
* 虚拟IP地址：提供给客户端的网关地址，也是分配给虚拟路由器的IP地址，在所有的VRRP中配置，只有主用设备提供该IP地址的ARP响应。
* 虚拟MAC地址：基于VRID生成的用于VRRP的MAC地址，在客户端通过ARP协议解析网关的MAC地址时，主用路由器将提供该MAC地址。
* IP地址拥有者：若将虚拟路由器的IP地址配置为某个成员物理接口的真实IP地址，那么该成员被称为IP地址拥有者。
* 优先级：用于标识VRRP路由器的优先级，并通过每个VRRP路由器的优先级选举主用设备及备用设备。
* 抢占模式：在抢占模式下，如果备用路由器的优先级高于备份组中其他路由器（包括当前的主用路由器），则将立即成为新的主用路由器。
* 非抢占模式：在非抢占模式下，如果备用路由器的优先级高于备份组中其他路由器（包括当前的主用路由器），也不会立即成为主用路由器，直到下一次公平选举（如重启设备等）。

四.VRRP的角色

工作在VRRP模式下的路由器有两种角色，分别是Master路由器和Backup路由器。

Master路由器：正常情况下由Master路由器负责ARP响应及提供数据包的转发，并且默认每隔1s向其他路由器通告Master路由器当前状态信息。
Backup路由器：是Master路由器的备用路由器，正常情况下不提供数据包的转发，当master路由器故障时，在所有的Backup路由器中优先级最高的路由器将成为新的master路由器，接替转发数据包的工作，从而保证业务不中断。

五.VRRP状态机

VPRR 定义了三种工作状态，分别是initialize，master，backup。

Initalize状态：刚配置了VRRP时的状态下，在该状态下，不对VRRP报文做任何处理，当接口shutdown或接口故障时也将进入该状态。
Master状态：当前设备选举成为master路由器时的一种状态，该状态下会转发数据报文，并周期性地发送VRRP通告报文，当接口关闭或设备宕机后将立即切换至Initialize状态。
Backup状态：当前设备选举成为备用路由器时的一种状态，该状态不转发任何数据报文，只会接收master路由器发送VRRP通告报文，以便检测master路由器是否在正常工作，并且还同步主用设备上的状态信息。

六.VRRP的工作原理

VRRP选举master路由器和backup路由器的流程如下：


首先选举优先级高的设备成为master路由器，如果优先级相同，在比较接口的ip地址大小，IP地址大的设备将成为master路由器，而备份组中其他的路由器将成为backup路由器

从上图中可以看出，正常情况下PC去往外部网络的数据包通过备份组1的master设备（FW1）转发，外部网络返回的数据包由备份组2的master设备（FW1）转发，但是当FW1的G1/0/0接口出现故障时，备份组1可以检测到这一故障，并将FW2作为备份组1的master设备。PC发起的数据包由备份组1的master设备（FW2）进行转发，而备份组2的状态没有发生任何改变（FW1的G1/0/1接口正常工作），所以由外部网络返回的流量仍然由备份组2的master设备（FW1转发），显然，因为FW1的接口G1/0/0故障，数据包无法继续转发。
.
造成这种现象的原因就是两个VRRP备份组独立工作，所以需要使用VGMP（VRRP组管理协议）来实现对VRRP备份组的统一管理，以保证设备在各个备份组中的状态一致。VGMP通过在设备（FW1和FW2）上将所有的备份组（备份组1和备份组2）加入一个VGMP组中进行统一管理，一旦检测到某个备份组（备份组1）中的接口发生变化（如接口进入Initialize状态），VGMP组将自身优先级减2，并重新协商VGMP的Active组和standby组。选举出的Active组将所有的其他备份组（备份组1和备份组2）统一进行状态切换（备份组1和备份组2中的FW2将成为master设备）。

可以简单理解为，VGMP就是用来统一设备在不同备份组中的状态的即可。VGMP的工作原理如下：

  • VGMP组的状态决定了VRRP备份组的状态，即设备的角色（如master和backup）不再通过VRRP报文选举，而是直接通过VGMP统一管理。
  • VGMP组的状态通过比较优先级决定，优先级高的VGMP组将成为Active，优先级低的VGMP组将成为standby。
    默认情况下，VGMP组的优先级为45000。
  • VGMP根据组内VRRP备份组的状态自动调整优先级，一旦检测到备份组的状态变成Initialize状态，VGMP组的优先级会自动减2。
  • VGMP通过心跳线协商VGMP状态信息。

在加入VGMP组之后，VRRP中的状态标识从master和backup变成了active和standby。

1、VGMP的报文封装
VGMP通过心跳线协商VGMP的状态信息，通过发送VGMP报文实现。VGMP报文有以下两种形式：


如上图中左边的网络图中，心跳线（G1/0/0）和对端的心跳线直连，或者通过二层交换机相连时，发送的报文属于组播报文，报文封装中不携带UDP头部信息，而当心跳线通过三层设备（当然这种情况并不多见）连接时，因为组播报文无法通过三层设备，所以在报文封装中会额外增加一个UDP头部消息，此时发送的报文属于单播。

通过以下命令指定通过接口发送的报文属于哪种类型的封装。

[USG6000V1]hrp interface GigabitEthernet 1/0/0       <!--eNSP模拟器中不支持该配置-->
[USG6000V1]hrp interface GigabitEthernet 1/0/0 remote 1.1.1.1
<!--hrp命令用来指定用于心跳链路的接口编号，
1.1.1.1是心跳线对端接口的IP地址，该地址要求路由可达，
带remote参数的命令将封装UDP，并发送单播报文不带remote参数将发送组播报文-->

关于配置VGMP的其他注意事项：

加入了VGMP后，心跳线的作用包含状态信息备份（会话表和server-map表）及VGMP状态协商。
华为防火墙在默认情况下放行组播流量（如不带remote参数的VGMP报文）禁止单播流量（如带remote参数的VGMP报文），所以如果配置了remote参数，还需要配置local区域和心跳线接口所在的区域之间配置安全策略。
配置了VRRP virtual-mac enable的接口不能作为心跳口。
如果使用二层接口作为心跳接口，不能直接在二层接口上配置，而是将二层接口加入vlan，在vlan中配置心跳接口。
eNSPoint模拟器中，即使心跳接口之间相连，也必须配置remote参数，否则无法配置。

2、双机热备的备份方式

双机热备的备份方式包括以下三种：

* 自动备份：该模式下，和双机热备有关的配置只能在主用设备上配置，并自动同步到备用设备中，主用设备自动将状态信息同步到备用设备中。
* 手工批量备份：该模式下，主用设备上所有的配置命令和状态信息，只有在手工执行批量备份命令时才会自动同步到备用设备。该模式主要应用于主设备和备用设备配置不同步，需要立即进行同步的场景。
* 快速备份：该模式下，不同步配置命令，只同步状态信息，在负载均衡方式的双机热备环境中，该默认必须启用，以快速更新状态信息。

各个模式的配置命令如下：

（1）开启双机热备功能：

[USG6000V1]hrp enable
HRP_S[USG6000V1]       <!--开启双机热备功能后，命令提示符发生变化-->

（2）配置自动备份模式：


HRP_M[USG6000V1]hrp auto-sync
HRP_M[USG6000V1]security-policy  (+B)
 <!--开启双机热备后，执行可以同步的命令会有（+B）的提示-->

（3）配置手工批量备份模式：

HRP_M<USG6000V1>hrp sync [ config | connection-status ]
       <!--
 在用户模式下执行该命令，其中config参数表示手工同步命令配置，
 connection-status参数表示手工同步状态信息。
              -->

（4）配置快速备份模式：

HRP_S[USG6000V1]hrp mirror session enable
HRP_M[USG6000V1]      <!--配置快速备份模式后，开头会变成HRP_M.....-->

3、关于上游或下游设备的选路问题
当双机热备的设备上游或下游是交换机时，是通过VRRP检测接口或设备的状态，但当上游或下游设备是路由器时，VRRP无法正常运行（VRRP依靠组播实现故障切换）。华为防火墙的做法是监控其接口状态，并配置OSPF实现流量切换，通过直接将接口加入VGMP组中，当接口故障时（即使是对端设备故障，本端接口的物理特性也将关闭）VGMP会感知接口状态变化，从而降低VGMP组的优先级，从Active状态切换至standby状态。而之前的standby组将提升为active状态，而处于standby的VGMP组在发布OSPF路由时，会自动将cost值增加65500，通过OSPF的自动收敛，最终将流量引导至active组设备中。

七、配置实例

环境如下（别看上面啰嗦了那么一堆概念，但真正配置起来，简单的很，但是若要排错，还是要理解透彻它的工作原理）：

声明：该环境不以实际环境为目的，目的是为了介绍防火墙的双机热备，所以这是一个简化环境。
需求如下：

LSW1和LSW2是二层交换机，FW1、FW2、LSW1、LSW2组成双机热备网络，正常情况下，PC1发起的访问R1的流量通过FW1转发，当FW1出现故障时，在PC1不做任何调整的前提下，可以自动通过FW2转发。

开始配置：

FW1配置如下：

<USG6000V1>sys      <!--进入系统视图-->
<!--以下是在配置相应接口IP-->
[USG6000V1]in g1/0/0
[USG6000V1-GigabitEthernet1/0/0]ip add 10.1.1.101 24
[USG6000V1-GigabitEthernet1/0/0]in g1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip add 172.16.1.1 24
[USG6000V1-GigabitEthernet1/0/1]in g1/0/2
[USG6000V1-GigabitEthernet1/0/2]ip add 192.168.1.101 24
[USG6000V1-GigabitEthernet1/0/2]quit
<!--以下是在将接口添加至相应区域-->
[USG6000V1]firewall zone trust
[USG6000V1-zone-trust]add in g1/0/2
[USG6000V1-zone-trust]firewall zone dmz
[USG6000V1-zone-dmz]add in g1/0/1
[USG6000V1-zone-dmz]firewall zone untrust
[USG6000V1-zone-untrust]add in g1/0/0
[USG6000V1-zone-untrust]quit
<!--以下是设置一个策略，放行本地到dmz区域的流量，以便使VGMP报文通过-->
[USG6000V1]security-policy
[USG6000V1-policy-security]rule name permit_heat
[USG6000V1-policy-security-rule-permit_heat]source-zone local
[USG6000V1-policy-security-rule-permit_heat]destination-zone dmz
[USG6000V1-policy-security-rule-permit_heat]action permit
[USG6000V1-policy-security-rule-permit_heat]quit
[USG6000V1-policy-security]quit
<!--其实在配置完双机热备再配置该策略也可以，但是为了保险起见，就先配置上这个策略-->
 <!--以下是在配置VRRP备份组-->
[USG6000V1]in g1/0/0
[USG6000V1-GigabitEthernet1/0/0]vrrp vrid 2 virtual-ip 10.1.1.100 active
[USG6000V1-GigabitEthernet1/0/0]in g1/0/2
[USG6000V1-GigabitEthernet1/0/2]vrrp vrid 1 virtual-ip  192.168.1.100 active
[USG6000V1-GigabitEthernet1/0/2]quit

 [USG6000V1]hrp in g1/0/1 remote 172.16.1.2    <!--配置心跳接口，指定对端设备-->
[USG6000V1]hrp enable    <!--启用双机热备-->
HRP_S[USG6000V1]hrp auto-sync <!--配置备份方式为自动备份-->
至此，FW1的配置暂时就完成了。开始配置FW2，FW2的配置与FW1的配置类似，就不写注释了（体谅一下我这个懒货）。

FW2配置如下：

<USG6000V1>sys
[USG6000V1]in g1/0/0
[USG6000V1-GigabitEthernet1/0/0]ip add 10.1.1.102 24
[USG6000V1-GigabitEthernet1/0/0]in g1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip add 172.16.1.2 24
[USG6000V1-GigabitEthernet1/0/1]in g1/0/2
[USG6000V1-GigabitEthernet1/0/2]ip add 192.168.1.102 24
[USG6000V1-GigabitEthernet1/0/2]quit
[USG6000V1]firewall zone trust
[USG6000V1-zone-trust]add in g1/0/2
[USG6000V1-zone-trust]firewall zone untrust
[USG6000V1-zone-untrust]add in g1/0/0
[USG6000V1-zone-untrust]firewall zone dmz
[USG6000V1-zone-dmz]add in g1/0/1
[USG6000V1-zone-dmz]quit
[USG6000V1]security-policy
[USG6000V1-policy-security]rule name permit_heat
[USG6000V1-policy-security-rule-permit_heat]source-zone local
[USG6000V1-policy-security-rule-permit_heat]destination-zone dmz
[USG6000V1-policy-security-rule-permit_heat]action permit
[USG6000V1-policy-security-rule-permit_heat]quit
[USG6000V1-policy-security]quit
[USG6000V1]in g1/0/0
[USG6000V1-GigabitEthernet1/0/0]vrrp vrid 2 virtual-ip 10.1.1.100 standby
[USG6000V1-GigabitEthernet1/0/0]in g1/0/2
[USG6000V1-GigabitEthernet1/0/2]vrrp vrid 1 virtual-ip  192.168.1.100 standby
[USG6000V1-GigabitEthernet1/0/2]quit
[USG6000V1]hrp in g1/0/1 remote 172.16.1.1
[USG6000V1]hrp enable
HRP_S[USG6000V1]hrp auto-sync

配置至此，双机热备状态已经同步了，现在FW2为备份状态，多数配置已经无法在FW2上进行，只能在FW1上配置后，自动同步到FW2，那么现在在FW1配置一条策略，以便允许trust区域访问untrust区域，并且在FW2防火墙设备上查看是否同步到这条策略。

FW1配置如下：

<!--可以看到每条命令后面自动跟一个“（+B），表示该命令可以同步。”-->
HRP_M[USG6000V1]security-policy  (+B)
HRP_M[USG6000V1-policy-security]rule name test1 (+B)
HRP_M[USG6000V1-policy-security-rule-test1]source-zone trust  (+B)
HRP_M[USG6000V1-policy-security-rule-test1]destination-zone untrust  (+B)
HRP_M[USG6000V1-policy-security-rule-test1]action permit  (+B)
HRP_M[USG6000V1-policy-security-rule-test1]quit
HRP_M[USG6000V1-policy-security]quit

FW2设备上查看是否有FW1创建的策略：

HRP_S[USG6000V1]security-policy         <!--抱歉，备份设备已经进不去安全策略模式了-->
 Error: The device is in HRP standby state, so this command can not be executed.
 HRP_S[USG6000V1]dis current-configuration  <!--别担心，还可以查看当前所有策略嘛-->
         ...................... <!--省略部分内容-->
security-policy
 rule name permit_heat
  source-zone local
  destination-zone dmz
  action permit
 rule name test1        <!--可以看到刚才创建的名为test1策略已经同步过来了-->
  source-zone trust
  destination-zone untrust
  action permit

配置R1路由器及PC及的IP地址，并ping通。

R1路由器配置如下（R1路由器相当于运营商的公网上的路由器了，这里只是为了模拟一个这样的环境）：

<Huawei>sys
[Huawei]in g0/0/0``
[Huawei-GigabitEthernet0/0/0]ip add 10.1.1.1 24
[Huawei-GigabitEthernet0/0/0]quit
[Huawei]ip route-static 192.168.1.0 24 10.1.1.100
           <!--
添加一条去往内网的路由，在实际环境中，可是不会有这条路由的哦，
实际中一般会将内网的地址映射为和该路由器同一网段的公网IP。
                  -->

PC1的IP地址配置如下：

PC1和R1路由器进行ping测试（最好在命令最后加“-t”选项，进行持续ping，以便查看会话表，否则会话表会老化，查不到相应数据）：


在FW1查看会话表：

HRP_M[USG6000V1]dis firewall session table
 Current Total Sessions : 24
 icmp  ×××: public --> public  192.168.1.1:17547 --> 10.1.1.1:2048
 icmp  ×××: public --> public  192.168.1.1:18059 --> 10.1.1.1:2048
 icmp  ×××: public --> public  192.168.1.1:14987 --> 10.1.1.1:2048

在FW2查看会话表：

HRP_S[USG6000V1]dis firew se ta
 Current Total Sessions : 26
 icmp  ×××: public --> public  Remote 192.168.1.1:9099 --> 10.1.1.1:2048
 icmp  ×××: public --> public  Remote 192.168.1.1:9611 --> 10.1.1.1:2048
 icmp  ×××: public --> public  Remote 192.168.1.1:10891 --> 10.1.1.1:2048
 icmp  ×××: public --> public  Remote 192.168.1.1:12171 --> 10.1.1.1:2048

可以看出两个防火墙上的会话表内容都是不一样的（但不会影响故障切换）。

那么现在就可以进行故障切换的验证咯！

模拟FW1设备故障（关闭FW1的任意一个接口即可，注：此时PC1还在持续pingR1，才可以看到故障切换的效果）：

HRP_M[USG6000V1]in g1/0/0 (+B)
HRP_M[USG6000V1-GigabitEthernet1/0/0]shutdown
 <!--“shutdown”命令系统是不会同步到对端防火墙的，要不然就没得玩了，
 你看它后面都没有 (+B)-->

在关闭接口的后的一两秒钟，可以看到PC1丢了一个包，便又恢复正常了，说明故障切换成功。如下：

配置到此结束，下面是关于双机热备的一些查询命令：

 <!--查看双机热备的状态信息，主要看是Role和peer的信息，
 Role表示本端，peer表示对端。
 Running priority表示本端的优先级，peer表示对端的优先级。
 -->
HRP_S[USG6000V1]display hrp state
 Role: standby, peer: active (should be "active-standby")
 Running priority: 44998, peer: 45000
                      ......................        <!--省略部分内容-->

HRP_S[USG6000V1]dis hrp interface           <!--查看心跳接口状态-->
             GigabitEthernet1/0/1 : running

八、总结

1、两台防火墙用于心跳线的接口需要加入相同的安全区域。
2、两台防火墙用于心跳线的接口的编号必须一致，如都是G1/0/1。
3、建议用于双机热备的两台防火墙采用相同的型号，相同的VRP版本。连接同一个设备（路由器或交换机）都使用同一个接口编号。
4、当热备组中的设备坏掉后，买来新的设备进行加入热备组时，在配置时，原来坏掉的那台设备在VGMP中配置的是active，哪怕现在备份组中有设备处于active状态，新买来的设备必须也配置active状态，否则无法协商。如在上面环境中，FW1配置时配置为active状态，然后FW1设备down掉了，此时FW2由standby状态变为active状态，那么，此时再买来一台FW3想要重新加入备份组，在配置时，须配置为active。如该条命令：vrrp vrid 1 virtual-ip 192.168.1.100 active。不过还有个弊端，就是配置后，新买的FW3变成了active状态，但是FW2上有很会话表就同步不了了，因为只有备份设备去同步活跃设备，活跃设备是不会去同步备份设备的状态的，所以，还是先将FW2重新使用vrrp vrid 1 virtual-ip 192.168.1.100 active这条命令，将原始的状态变为active状态，然后在配置FW3时，直接将FW3配置为standby状态，会话表便可同步成功（关于FW3如何将FW2的安全策略同步过来，我没有搞明白，如果哪位知道怎么同步安全策略的，还希望写在评论中），在FW3加入备份前，我手动配置了相关的安全策略。

原文地址：https://blog.51cto.com/14223370/2447416

时间： 2024-10-10 04:10:50

华为防火墙——双机热备技术的相关文章

华为防火墙双机热备（详细介绍VRRP，VGMP）

一.双机热备的工作原理华为的双机热备是通过部署俩台或多台防火墙实现热备及负载均衡,俩台防火墙相互协同工作,犹如一个更大的防火墙 双机热备概述随着互联网的发展,人们生活中的大多数问题可以通过网络解决,但与此同时,网络安全问题也逐渐暴露出来. 华为防火墙的双机热备包含以下俩种模式 1.热备模式:同一时间只有一台防火墙转发数据包,其他防火墙不转发数据包,但是会同步会话表及Server-map表. 2 负载均衡模式:同一时间,多台防火墙同时转发数据,但每个防火墙又作为其他防火墙的备用设备,即每个防火墙是

华为USG防火墙双机热备（业务口工作在三层上下行连接交换机）

防火墙双机热备与路由/交换机相比较的话,最主要的是会话备份的功能,路由器/交换机主备切换路由能转发就OK,防火墙需要匹配会话. 防火墙双机热备的三个协议 VRRP:虚拟路由冗余协议,在防火墙双机热备种主要作用是检测主备是否正常 VGMP:在防火墙双机热备中主备切换不在使用VRRP,而是将VRRP加入VGMP中由VGMP来管理主备切换.默认情况下主设备VGMP优先级为65001,备用设备优先级为65000.每当VGMP管理组中的一个VRRP出现故障那么VGMP的优先级减2 HRP:指定心跳口,用来

双机热备技术

随着数据备份的热潮,双机热备技术也受到了企业人士的追捧,但是有些人还是不懂"双机热备"是什么技术,能达到什么样的效果,下面我们来详细的介绍一下双机热备技术. 双机热备份技术是一种软硬件结合的较高容错应用方案.该方案是由两台服务器系统和一个外接共享磁盘阵列柜( 也可没有,而是在各自的服务器中采取RAID 卡) 及相应的双机热备份软件组成在这个容错方案中,操作系统和应用程序安装在两台服务器的本地系统盘上,整个网络系统的数据是通过磁盘阵列集中管理和数据备份的. 集中管理是通过双机热备份系统,

华为防火墙VRRP双机热备的原理及实例配置

博文目录:一.双机热备是什么?二.什么是VRRP?三.VRRP的两种角色四.VRRP的三个状态机五.VRRP选举Master路由器和Backup路由器的流程六.通过VGMP实现VRRP备份组的统一管理七.双机热备的配置八.总结 一.双机热备是什么? 1.双机热备的作用 多台设备运行双机热备:一台设备故障其他设备接替工作:增强网络稳定性:保证业务的连续性: 华为的双机热备是通过部署两台或多台防火墙实现热备及负载均衡,两台防火墙相互协同工作,犹如一个更大的防火墙. 2.华为防火墙双机热备的两种模式:

华为防火墙实现双机热备配置详解

一提到防火墙,一般都会想到企业的边界设备,是内网用户与互联网的必经之路.防火墙承载了非常多的功能,比如:安全规则.IPS.文件类型过滤.内容过滤.应用层过滤等.也正是因为防火墙如此的重要,如果防火墙一旦出现问题,所有对外通信的服务都将中断,所以企业中首先要考虑的就是防火墙的优化及高可用性. 博文大纲:一.双机热备工作原理二.VRRP协议(1)VRRP协议概述(2)VRRP的角色(3)VRRP的状态机(4)VRRP的工作原理三.VGMP协议(1)VGMP的工作原理(2)VGMP的报文封装(3)双机

华为防火墙VRRP双机热备的原理及配置

一.何为双机热备?所谓的双机热备无非就是以7X24小时不中断的为企业提供服务为目的,各种双机热备的技术很多,那么华为使用了这个共有协议的热备协议--VRRP. 华为的双机热备是通过部署两台或多台防火墙实现热备及负载均衡,两台防火墙相互协同工作,犹如一个更大的防火墙. 华为防火墙的双机热备包含以下两种模式: 热备模式:同一时间只有一台防火墙转发数据,其他防火墙不转发,但是会同步会话表及server-map表,当目前工作的防火墙宕机以后,备份防火墙接替转发数据的工作. 负载均衡模式:同一时间内,多台

双机热备软件

双机热备技术已经发展了将近二十年,目前市场上的双机软件的品牌也很多,如今服务器的磁盘容量越来越大,基本能满足客户的数据存储需要,所以目前2台服务器直接做成双机热备的环境越来越多,接下来简单分析一下目前镜像方式的不同:一些品牌软件采用的是基于文件的字节级复制方式,校验需要很长时间,而且只能采用异步方式同步,不能达到实时!还有一些品牌的双机软件是基于磁盘分区的块级数据同步方式,可以做到实时同步,而且是主机的新一条数据写入并完全同步给备机才会执行下一条数据的写操作!另外建立一个关于这方面的技术讨论QQ

常见防火墙的双机热备功能配置

概述:防火墙支持双机热备是标配,所以,大部分防火墙厂商都支持双机热备功能,区别在于实现技术不同. 尽管实现技术不同,但是,大部分都是围绕高可靠的常见协议VRRP做文章,或者即使不用VRRP,也是借鉴VRRP的思想, 本文描述不同厂商的实现思路和配置方法. 1.华为USG6600系列防火墙. 实现思路:VRRP + VGMP + HRP,实现主备防火墙. 原理说明:VRRP作为单方面的上行或者下行的基本协议,VGMP是对VRRP的更高层次的集合体,可以确保FW1在上下行两个方向上的VRRP状态保持

Java技术中如何使用keepalived实现双机热备

Keepalived简介 Keepalived是Linux下一个轻量级别的高可用解决方案.高可用(High Avalilability,HA),其实两种不同的含义:广义来讲,是指整个系统的高可用行,狭义的来讲就是之主机的冗余和接管, 它与HeartBeat RoseHA 实现相同类似的功能,都可以实现服务或者网络的高可用,但是又有差别,HeartBeat是一个专业的.功能完善的高可用软件,它提供了HA 软件所需的基本功能,比如:心跳检测.资源接管,检测集群中的服务,在集群节点转移共享IP地址的所