防火墙双机热备，主备备份双机热备

 双机热备简介

FW部署在网络出口位置时，如果发生故障会影响到整网业务。为提升网络的可靠性，需要部署两台FW并组成双机热备。

双机热备需要两台硬件和软件配置均相同的FW。两台FW之间通过一条独立的链路连接，这条链路通常被称之为“心跳线”。两台FW通过心跳线了解对端的健康状况，向对端备份配置和表项（如会话表、IPSec SA等）。当一台FW出现故障时，业务流量能平滑地切换到另一台设备上处理，使业务不中断。

图1 双机热备典型组网图

 

基于VRRP实现主备备份双机热备

如果要两台FW工作在主备备份模式，需要将一台FW的所有VRRP备份组状态都配置为active，另一台FW的所有VRRP备份组状态都配置为standby。

如图1所示，FW_A的所有VRRP备份组状态都被配置成active，FW_B的所有VRRP备份组状态都被配置成standby。正常情况下，两台FW的VGMP组状态都是load-balance，VRRP备份组的运行状态由配置决定。因此，FW_A的VRRP备份组运行状态都是Master，FW_B的VRRP备份组运行状态都是Backup。

由于内部网络中主机的网关都被设置成了VRRP备份组2的虚拟IP地址10.0.0.1，这些主机在访问外部网络时，会广播一个ARP请求报文，请求10.0.0.1的MAC地址。FW_A的VRRP备份组1状态为Master，会响应内网主机的ARP请求。FW_B的VRRP备份组1状态为Backup，不会响应内网主机的ARP请求。FW_A响应的ARP报文会刷新交换机的MAC地址表和主机的ARP缓存表，使主机发往外部网络的流量都被引导到FW_A上处理。

同理，路由器R1和R2到内部网络路由的下一跳地址被设置成了VRRP备份组1的虚拟IP地址10.0.1.1。外部网络发往内部网络的流量也被引导到FW_A上处理。

图1 基于VRRP实现主备备份（双机状态正常）

 如图2所示，FW_A的上行业务接口故障，FW_A的VRRP备份组1的状态变为Initialize。同时，FW_A和FW_B的VGMP组状态也发生了变化。FW_A的VGMP组状态变为standby，FW_B的VGMP组状态变为active。FW_A和FW_B基于VGMP组状态对VRRP备份组状态进行调整。FW_A上VRRP备份组2的状态被调整为Backup。FW_B上VRRP备份组1和2的状态都被调整为Master。

FW_B上VRRP备份组状态由Backup变为Master时会广播免费ARP报文，报文中携带VRRP备份组的虚拟IP地址和接口的MAC地址（开启接口虚MAC地址功能时，携带虚MAC地址）。免费ARP报文会刷新交换机的MAC地址表、主机和路由器的ARP缓存表。这样，内外部网络之间的流量都会被引导到FW_B上转发。

图2 基于VRRP实现主备备份（FW_A故障）

综上所述，正常情况下，只有FW_A在处理内外部网络之间的流量，FW_B没有处理流量。FW_A和FW_B之间形成主备备份模式的双机热备，FW_A为主机，FW_B为备机。当FW_A故障时，FW_B能自动接替FW_A继续处理内外部网络之间的流量，保证业务不中断。 

实验拓扑图

 

实验步骤 

FW1 防火墙配置 

FW1 防火墙

<USG6000V1>system-view 
Enter system view, return user view with Ctrl+Z.	
[USG6000V1]sysname FW1
Nov 17 2023 07:46:03 FW1 DS/4/DATASYNC_CFGCHANGE:OID 1.3.6.1.4.1.2011.5.25.191.3
.1 configurations have been changed. The current change number is 1, the change 
loop count is 0, and the maximum number of records is 4095.
[FW1]undo info-center enable 
Info: Saving log files...
Info: Information center is disabled.
	
[FW1]interface GigabitEthernet 1/0/0	
[FW1-GigabitEthernet1/0/0]ip address 192.168.1.1 24	
[FW1-GigabitEthernet1/0/0]quit 

[FW1]interface GigabitEthernet 1/0/6	
[FW1-GigabitEthernet1/0/6]ip address 192.168.2.1 24	
[FW1-GigabitEthernet1/0/6]quit 
	
[FW1]interface GigabitEthernet 1/0/2
[FW1-GigabitEthernet1/0/2]ip address 172.16.1.1 24	
[FW1-GigabitEthernet1/0/2]quit 
	
[FW1]firewall zone trust 
[FW1-zone-trust]add interface GigabitEthernet 1/0/0	
[FW1-zone-trust]quit 
	
[FW1]firewall zone dmz 
[FW1-zone-dmz]add interface GigabitEthernet 1/0/6	
[FW1-zone-dmz]quit 
	
[FW1]firewall zone untrust 
[FW1-zone-untrust]add interface GigabitEthernet 1/0/2	
[FW1-zone-untrust]quit 
	
[FW1]ip route-static 0.0.0.0 0 10.1.1.10
	
[FW1]interface GigabitEthernet 1/0/2
[FW1-GigabitEthernet1/0/2]vrrp vrid 1 virtual-ip 10.1.1.1 24 active  //在FW1上行业务接口GE1/0/2上配置VRRP备份组1，并设置其状态为Active	
[FW1-GigabitEthernet1/0/2]quit 

[FW1]interface GigabitEthernet 1/0/0
[FW1-GigabitEthernet1/0/0]vrrp vrid 2 virtual-ip 192.168.1.3 active  //在FW1下行业务接口GE1/0/0上配置VRRP备份组2，并设置其状态为Active
[FW1-GigabitEthernet1/0/0]quit 
	
[FW1]hrp interface GigabitEthernet 1/0/6 remote 192.168.2.2	 //指定心跳口并启用双机热备功能
[FW1]hrp enable

HRP_M[FW1]security-policy  (+B)	 //在FW1上配置安全策略。双机热备状态成功建立后，FW1的安全策略配置会自动备份到FW_B上 
HRP_M[FW1-policy-security]rule name t_to_u (+B)	
HRP_M[FW1-policy-security-rule-t_to_u]source-zone trust  (+B)
HRP_M[FW1-policy-security-rule-t_to_u]destination-zone untrust  (+B)
HRP_M[FW1-policy-security-rule-t_to_u]source-address 192.168.1.0 24 (+B)
HRP_M[FW1-policy-security-rule-t_to_u]action permit  (+B)	
HRP_M[FW1-policy-security-rule-t_to_u]quit 	
HRP_M[FW1-policy-security]quit 
	
HRP_M[FW1]nat address-group benet1	//配置NAT地址池
HRP_M[FW1-address-group-benet1]section 0 10.1.1.2 10.1.1.5	
HRP_M[FW1-address-group-benet1]quit 
	
HRP_M[FW1]nat-policy  (+B)  //配置NAT策略
HRP_M[FW1-policy-nat]rule name policy_nat1 (+B)	
HRP_M[FW1-policy-nat-rule-policy_nat1]source-zone trust  (+B)	
HRP_M[FW1-policy-nat-rule-policy_nat1]destination-zone untrust  (+B)	
HRP_M[FW1-policy-nat-rule-policy_nat1]source-address 192.168.1.0 16 (+B)	
HRP_M[FW1-policy-nat-rule-policy_nat1]action source-nat address-group benet1 (+B
)	
HRP_M[FW1-policy-nat-rule-policy_nat1]quit 
HRP_M[FW1-policy-nat]quit 

 

 FW2 防火墙配置

FW2 防火墙

<USG6000V1>system-view 
Enter system view, return user view with Ctrl+Z.	
[USG6000V1]sysname FW2
Nov 17 2023 07:58:47 FW2 DS/4/DATASYNC_CFGCHANGE:OID 1.3.6.1.4.1.2011.5.25.191.3
.1 configurations have been changed. The current change number is 1, the change 
loop count is 0, and the maximum number of records is 4095.
[FW2]undo info-center enable 
Info: Saving log files...
Info: Information center is disabled.
	
[FW2]interface GigabitEthernet 1/0/0	
[FW2-GigabitEthernet1/0/0]ip address 192.168.1.2 24	
[FW2-GigabitEthernet1/0/0]quit
	
[FW2]interface GigabitEthernet 1/0/6	
[FW2-GigabitEthernet1/0/6]ip address 192.168.2.2 24	
[FW2-GigabitEthernet1/0/6]quit 
	
[FW2]interface GigabitEthernet 1/0/2
[FW2-GigabitEthernet1/0/2]ip address 172.16.1.2 24	
[FW2-GigabitEthernet1/0/2]quit 
	
[FW2]firewall zone trust 	
[FW2-zone-trust]add interface GigabitEthernet 1/0/0	
[FW2-zone-trust]quit 
	
[FW2]firewall zone dmz 
[FW2-zone-dmz]add interface GigabitEthernet 1/0/6	
[FW2-zone-dmz]quit 
	
[FW2]firewall zone untrust 	
[FW2-zone-untrust]add interface GigabitEthernet 1/0/2
[FW2-zone-untrust]quit 
	
[FW2]ip route-static 0.0.0.0 0 10.1.1.10

[FW2]interface GigabitEthernet 1/0/2	
[FW2-GigabitEthernet1/0/2]vrrp vrid 1 virtual-ip 10.1.1.1 24 standby  //在FW2上行业务接口GE1/0/2上配置VRRP备份组1，并设置其状态为standby	
[FW2-GigabitEthernet1/0/2]quit 
	
[FW2]interface GigabitEthernet 1/0/0	
[FW2-GigabitEthernet1/0/0]vrrp vrid 2 virtual-ip 192.168.1.3 standby  //在FW2下行业务接口GE1/0/2上配置VRRP备份组2，并设置其状态为Standby	
[FW2-GigabitEthernet1/0/0]quit 
	
[FW2]hrp interface GigabitEthernet 1/0/6 remote 192.168.2.1  //指定心跳口并启用双机热备功能
[FW2]hrp enable

R1 配置 

R1 配置

<Huawei>system-view 
Enter system view, return user view with Ctrl+Z.
[Huawei]sysname R1

[R1]undo info-center enable 
Info: Information center is disabled.

[R1]interface GigabitEthernet 0/0/0	
[R1-GigabitEthernet0/0/0]ip address 10.1.1.10 24	
[R1-GigabitEthernet0/0/0]quit 
	
[R1]interface LoopBack 0	
[R1-LoopBack0]ip address 1.1.1.1 32	
[R1-LoopBack0]quit

  FW1成为了Master(主）

FW2成为了Backup(备） 

 

私网主机PC1 ping通了R1的loopback接口，成功访问公网