一、VRRP基础
当我们的主机配置了一个网关(路由器),主机想访问外部网络时,就会先将报文发送给网关,再由网关传递给外部网络,正常情况下,主机可以完全信赖网关的工作,但是如果出现了单点网关故障呢?主机与外部就会中断。
这时候会容易想到,那么我们配置多个网关不就可以解决问题吗,但是一般情况下,主机不能配置动态路由,只会配置一个默认的网关。
若主机配置AR1为默认网关,当AR1故障时,流量无法被自动引导到AR2,只有手动更改主机的默认网关才能解决问题,此时主机访问外网的流量已经中断了一段时间,且当主机数量过多,手动配置也显得不切实际。
为了解决单网关故障问题,VRRP由此诞生,它保证了当主机的下一跳路由器出现故障时,备份路由器将自动代替出现故障的路由器完成对报文的转发任务,从而保持网络通信的连续性和可靠性。
如上图,将两个路由器的下行接口划分为一个VRRP备份组,VRRP备份组相当于一个虚拟的路由器,有着自己的虚拟IP地址和虚拟MAC地址(00-00-5E-00-01-{VRID},VRID为VRRP备份组的ID)此时主机可以将默认网关设置为VRRP备份组的虚拟IP地址,在主机看来,是通过虚拟路由器与互联网通信。
VRRP的三种状态:Initialize、Master、Backup。
Initialize:初始化状态,当设备状态为Initialize,该设备处于不可用状态,设备不会对VRRP通告报文做任何处理,通常设备启动时或者设备检测到故障时会进入该状态。
Master:活动状态,状态为Master的设备成为Master设备,Master设备拥有VRRP备份组的虚拟IP地址以及虚拟MAC地址,Master设备收到目的IP地址是虚拟地址的ARP请求时会响应请求。
Backup:备份状态,状态为Backup的设备成为Backup设备,Backup设备不会响应目的IP地址为虚拟IP地址的ARP请求。
VRRP备份组中的多个路由器会根据管理员设置的VRRP备份组优先级确认自身的设备状态,优先级最高的为Master设备,其余设备为Backup设备,当Master设备正常工作时,通过Master设备与外界通信,Master设备故障,其余Backup设备会选出一台新的Master设备代替转发报文的工作。
二、VRRP工作原理
在VRRP 的实现中,除了优先级和主备状态以外,VRRP 中还定义了一些其他的概念:
(1)虚拟路由器
VRRP 将多台物理设备看成逻辑上的一台虚拟路由器。一台虚拟路由器由两部分信息进行标识:虚拟路由器ID(VRID)和所关联的虚拟IP 地址。
VRID 的配置范围为1~255,配置在同一备份组中的VRID 必须一致。
(2)消息通告间隔(Advertisement_Interval)
消息通告间隔指的是Master 发送两个VRRP 通告消息中间的间隔,默认为1s。关联到同一虚拟路由器的VRRP 路由器上配置的消息通告间隔必须一致,如果不一致,VRRP 认为是关联到不同的虚拟路由器。
(3)抢占模式(Preemption Mode)
在VRRP中,只有Master才能发送VRRP通告消息。Backup 路由器在接收到Master 发送的VRRP通告消息后,会比较自身的优先级和Master 通告消息中的优先级大小。
如果抢占模式开启,而且自己的优先级比当前Master 路由器的优先级要高,就会将自己的状态修改为Master,并向外通告VRRP通告消息。如果抢占模式关闭,Backup路由器即使发现自己的优先级比当前Master 路由器的优先级高,也不会将自己的状态修改为Master。
默认情况下,抢占模式是开启的。
(4)延迟时间(Delay Time)
在开启了VRRP 抢占功能的网络中,如果网络非常繁忙,会出现Master正常工作但是Backup却收不到通告消息的情况。这种情况下可以配置抢占延迟时间,使Backup不会立即成为Master,减少网络振荡。
默认情况下,延迟时间的值为0。
(5)Master 故障间隔(Master_Down_Interval)
路由器处于Backup状态时,如果在Master故障间隔时间内收不到Master发送的VRRP通告报文,则认为Master出现故障,Backup切换状态为Master,向外发布VRRP通告消息报文。
Master故障间隔的时间是3倍的消息通告间隔再加上延迟时间:(3×Advertisement_Interval)+Delay Time。
(6)报文验证。
VRRP 支持3 种验证方式:不验证、纯文本密码验证和MD5 验证。
不验证:此验证方式表示VRRP 报文不需要验证。
纯文本密码验证:此验证方式表示VRRP 报文需要进行验证,验证时使用纯文
MD5 验证:此验证方式表示VRRP 报文使用MD5 加密数据进行验证。
现在来简述一下VRRP实现原理:
1、管理员在路由器上配置完VRRP备份组以及优先级,路由器短暂进入Initialize状态。
2、设备收到接口UP的消息后,会切换为Backup状态,等待定时器超时。
3、优先级越高,定时器时长越短,率先将VRRP备份组状态切换为Master的路由器将成为Master设备。
4、周期性(默认1s)地向VRRP备份组中其余地Backup设备发送VRRP报文(消息通告间隔(Advertisement_Interval))通告自己的Master状态和优先级。
5、Master设备会发送免费的ARP报文,将VRRP备份组的虚拟MAC以及虚拟IP地址通知给连接的交换机
6、内网PC将网关设置为VRRP备份组的虚拟IP地址,当内网PC访问互联网,首先会广播ARP报文,请求虚拟IP地址对应的虚拟MAC地址,此时只有Master设备会回应此ARP报文。
7、PC使用虚拟MAC地址作为目的MAC地址封装报文发送给交换机,交换机根据MAC地址表将报文发送给Master设备(如AR1)。
8.1、当Master设备(AR1)发生故障或者所在下行接口故障,无法发送VRRP报文通知Backup设备(AR2),Backup设备在定时器超时仍收不到Master设备发送的VRRP报文,则认为其故障,将自身状态切换为Master。
8.2、第二种情况,Master设备主动放弃Master地位,比如退出了VRRP备份组,会立即发送优先级为0的VRRP报文,使Backup设备快速切换成Master设备。
9、新的Master会发送免费的ARP报文,刷新交换机的MAC地址表(主要是新接口问题)。
10、内网PC将报文发送给交换机后,交换机查看MAC地址表,将报文通过G0/0/2接口发送给AR2。
11、此时完成了流量方向的切换,整个过程对用户是透明的。
12、若此时AR1恢复正常,优先级高于AR2,且配置了抢占模式,则会在抢占定时器超时后将状态切换为Master,重新成为Master设备,如果没配置抢占模式,则不变。
三、VGMP基础
上述VRRP是在网关的下行接口运行的,如果上下行接口同时运行VRRP协议,又会如何?即多个VRRP状态备份组的状态不一致问题。
1、两台路由器下行接口加入VRRP备份组1,上行接口加入到VRRP备份组2,且R_A为VRRP备份组1,VRRP备份组2的Master,内外网将通过R_A转发报文。
2、若此时R_A的G0/0/0接口故障,VRRP备份组1发生状态切换,R_A的VRRP备份组1状态切换为Initialize,R_B的VRRP备份组1状态切换为Master,即R_B成为了VRRP备份组1的Master。
3、R_B发送免费的ARP报文告知下行交换机SW1,刷新MAC地址表,主要是接口更改为G0/0/2。
4、内网PC1访问外部PC5,将通过R_B转发,到达PC5。
5、问题来了,R_A与SW2链路是正常的,VRRP备份组2状态是不变的,R_A还是VRRP备份组2的Master设备,PC5发给PC1的回包还是发送给R_A,但是R_A下行接口故障,因此R_A丢弃回程报文,导致业务中断。
可知,VRRP备份组之间相互独立,它们的状态无法同步,为了解决这个问题,华为防火墙引入了VGMP技术,VGMP定义了VGMP组,统一管理VRRP备份组,保证多个VRRP备份组状态一致性。每台防火墙只有一个VGMP组,用户不能删除这个组,也不能创建其他的VGMP组,将防火墙上的所有VRRP备份组加入到这个VGMP组,统一管理,如果VGMP组检测到其中一个VRRP状态发生变化,VGMP组会控制所有VRRP备份组统一进行状态切换,保证各VRRP备份组状态的一致性。
VGMP组优先级不可配置,是自动生成的,对于USG6000E初始优先级与CPU数量有关,单CPU初始优先级为45000;双CPU为45002。
VGMP组四种状态:
1、initialize:双机热备功能未启用时VGMP组的状态。
2、load-balance:设备自身的VGMP组优先级等于对端设备的VGMP组优先级时,设备的VGMP组状态为load-balance。
3、active:设备自身的VGMP组优先级大于对端设备的VGMP组优先级时,设备的VGMP组状态为active。
4、standby:设备自身的VGMP组优先级小于对端设备的VGMP组优先级时,设备的VGMP组状态为standby。
双机热备要求两台设备的硬件型号、单板的类型和数量都要相同。因此,正常情况下两台设备的VGMP组优先级是相等的,VGMP组状态为load-balance。如果某一台设备发生了故障,该设备的VGMP组优先级会降低。故障设备的VGMP组优先级小于无故障设备的VGMP组优先级,故障设备的VGMP组状态会变成standby,无故障设备的VGMP组状态会变成active。
在华为防火墙上,VRRP优先级是不可配置的,华为防火墙启动双机热备功能后,VRRP优先级固定为120。接口发生故障时,接口的VRRP备份组状态为Initialize,接口无故障时,接口VRRP备份组状态由VGMP组的状态决定:
当VGMP组状态为active,VRRP备份组状态都是active;
当VGMP组状态为standby,VRRP备份组状态都是Backup;
当VGMP组状态为load-balance,VRRP备份组状态由VRRO备份组的配置决定,命令如下
vrrp vrid _________ virtual-ip ___________ { active | standby }
四、基于VRRP的主备备份双机热备
vrrp vrid _________ virtual-ip ___________ [ ip-mask | ip-mask-length] { active | standby }
①将接口加入到VRRP备份组,同时指定虚拟IP地址以及掩码,虚拟IP地址可以和所在接口的实际IP地址处于同一网段,也可以不同,处于不同网段则必须配置虚拟IP地址的掩码。
②通过active、standby将VRRP备份组的状态设置为active或者standby。
//配置VRRP备份组1
[FW1]interface g1/0/0
[FW1-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 10.0.0.1 active
//配置VRRP备份组2
[FW1-GigabitEthernet1/0/0]interface g1/0/1
[FW1-GigabitEthernet1/0/1]vrrp vrid 2 virtual-ip 10.0.1.1 active
//配置心跳接口
[FW1-GigabitEthernet1/0/1]interface g1/0/2
[FW1-GigabitEthernet1/0/2]hrp interface g1/0/2 remote 10.10.0.2
//划分区域
[FW1]firewall zone name dmz
[FW1-zone-dmz]add interface g1/0/2
//开启双机热备
[FW1]hrp enable
[FW2]interface g1/0/0
[FW2-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 10.0.0.1 standby
[FW2-GigabitEthernet1/0/0]interface g1/0/1
[FW2-GigabitEthernet1/0/1]vrrp vrid 2 virtual-ip 10.0.1.1 standby
[FW2-GigabitEthernet1/0/1]interface g1/0/2
[FW2-GigabitEthernet1/0/2]hrp interface g1/0/2 remote 10.10.0.1
[FW2]firewall zone name dmz
[FW2-zone-dmz]add interface g1/0/2
[FW2]hrp enable
HRP_M[FW1]display hrp state verbose
2024-01-02 09:16:59.040
Role: active, peer: standby
Running priority: 45000, peer: 45000
Backup channel usage: 0.00%
Stable time: 0 days, 0 hours, 2 minutes
Last state change information: 2024-01-02 9:14:41 HRP link changes to up.
Configuration:
hello interval: 1000ms
preempt: 60s
mirror configuration: off
mirror session: off
track trunk member: on
auto-sync configuration: on
auto-sync connection-status: on
adjust ospf-cost: on
adjust ospfv3-cost: on
adjust bgp-cost: on
nat resource: off
Detail information:
GigabitEthernet1/0/0 vrrp vrid 1: active
GigabitEthernet1/0/1 vrrp vrid 2: active
ospf-cost: +0
ospfv3-cost: +0
bgp-cost: +0
HRP_S[FW2]display hrp state verbose
2024-01-02 09:14:48.510
Role: standby, peer: active
Running priority: 45000, peer: 45000
Backup channel usage: 0.00%
Stable time: 0 days, 0 hours, 0 minutes
Last state change information: 2024-01-02 9:14:41 HRP core state changed, old_s
tate = abnormal(active), new_state = normal, local_priority = 45000, peer_priori
ty = 45000.
Configuration:
hello interval: 1000ms
preempt: 60s
mirror configuration: off
mirror session: off
track trunk member: on
auto-sync configuration: on
auto-sync connection-status: on
adjust ospf-cost: on
adjust ospfv3-cost: on
adjust bgp-cost: on
nat resource: off
Detail information:
GigabitEthernet1/0/0 vrrp vrid 1: standby
GigabitEthernet1/0/1 vrrp vrid 2: standby
ospf-cost: +65500
ospfv3-cost: +65500
bgp-cost: +100
可看出,FW1为主用防火墙(Role:active),FW2为备用防火墙(Role:standby)两台防火墙优先级均为45000,FW1的VRRP备份组1、2均为active,FW2的VRRP备份组1、2均为standby。
可查看vrrp备份组的情况:
HRP_M[FW1]display vrrp
2024-01-02 09:22:28.450
GigabitEthernet1/0/0 | Virtual Router 1
State : Master
Virtual IP : 10.0.0.1
Master IP : 10.0.0.2
PriorityRun : 120
PriorityConfig : 100
MasterPriority : 120
Preempt : YES Delay Time : 0 s
TimerRun : 60 s
TimerConfig : 60 s
Auth type : NONE
Virtual MAC : 0000-5e00-0101
Check TTL : YES
Config type : vgmp-vrrp
Backup-forward : disabled
Create time : 2024-01-02 08:31:05
Last change time : 2024-01-02 08:41:08
GigabitEthernet1/0/1 | Virtual Router 2
State : Master
Virtual IP : 10.0.1.1
Master IP : 10.0.1.2
PriorityRun : 120
PriorityConfig : 100
MasterPriority : 120
Preempt : YES Delay Time : 0 s
TimerRun : 60 s
TimerConfig : 60 s
Auth type : NONE
Virtual MAC : 0000-5e00-0102
Check TTL : YES
Config type : vgmp-vrrp
Backup-forward : disabled
Create time : 2024-01-02 08:31:44
Last change time : 2024-01-02 08:41:08
HRP_S[FW2]display vrrp
2024-01-02 09:22:44.820
GigabitEthernet1/0/0 | Virtual Router 1
State : Backup
Virtual IP : 10.0.0.1
Master IP : 10.0.0.2
PriorityRun : 120
PriorityConfig : 100
MasterPriority : 120
Preempt : YES Delay Time : 0 s
TimerRun : 60 s
TimerConfig : 60 s
Auth type : NONE
Virtual MAC : 0000-5e00-0101
Check TTL : YES
Config type : vgmp-vrrp
Backup-forward : disabled
Create time : 2024-01-02 09:04:20
Last change time : 2024-01-02 09:14:41
GigabitEthernet1/0/1 | Virtual Router 2
State : Backup
Virtual IP : 10.0.1.1
Master IP : 10.0.1.2
PriorityRun : 120
PriorityConfig : 100
MasterPriority : 120
Preempt : YES Delay Time : 0 s
TimerRun : 60 s
TimerConfig : 60 s
Auth type : NONE
Virtual MAC : 0000-5e00-0102
Check TTL : YES
Config type : vgmp-vrrp
Backup-forward : disabled
Create time : 2024-01-02 09:04:20
Last change time : 2024-01-02 09:14:41
再补充一点配置:
//安全策略以及区域
HRP_M[FW1]firewall zone trust
HRP_M[FW1-zone-trust]add interface g1/0/0 (+B)
HRP_M[FW1]firewall zone untrust
HRP_M[FW1-zone-untrust]add interface g1/0/1 (+B)
HRP_M[FW1]security-policy (+B)
HRP_M[FW1-policy-security]rule name policy1 (+B)
HRP_M[FW1-policy-security-rule-policy1]source-zone trust (+B)
HRP_M[FW1-policy-security-rule-policy1]destination-zone untrust (+B)
HRP_M[FW1-policy-security-rule-policy1]source-address 10.0.0.0 24 (+B)
HRP_M[FW1-policy-security-rule-policy1]service icmp (+B)
HRP_M[FW1-policy-security-rule-policy1]action permit (+B)
//默认路由
HRP_M[FW1]ip route-static 0.0.0.0 0 10.0.1.4
[R1]ip route-static 0.0.0.0 0 10.0.1.1
[AR5]ip route-static 0.0.0.0 0 1.1.1.2
[AR5]ip route-static 0.0.0.0 0 1.1.2.1 preference 100
当FW1故障时,可以查看两台防火墙的状态。
HRP_M[FW1-GigabitEthernet1/0/1]shutdown
HRP_M[FW1-GigabitEthernet1/0/1]q
HRP_S[FW1]
HRP_S[FW1]display hrp state verbose
2024-01-02 09:48:55.180
Role: standby, peer: active (should be "active-standby")
Running priority: 44998, peer: 45000
Backup channel usage: 0.00%
Stable time: 0 days, 0 hours, 1 minutes
Last state change information: 2024-01-02 9:47:40 HRP core state changed, old_s
tate = normal, new_state = abnormal(standby), local_priority = 44998, peer_prior
ity = 45000.
Configuration:
hello interval: 1000ms
preempt: 60s
mirror configuration: off
mirror session: off
track trunk member: on
auto-sync configuration: on
auto-sync connection-status: on
adjust ospf-cost: on
adjust ospfv3-cost: on
adjust bgp-cost: on
nat resource: off
Detail information:
GigabitEthernet1/0/0 vrrp vrid 1: standby (should be "active")
GigabitEthernet1/0/1 vrrp vrid 2: Initialize
ospf-cost: +65500 (should be "+0")
ospfv3-cost: +65500 (should be "+0")
bgp-cost: +100 (should be "+0")
HRP_M[FW2]display hrp state verbose
2024-01-02 09:48:42.310
Role: active, peer: standby (should be "standby-active")
Running priority: 45000, peer: 44998
Backup channel usage: 0.00%
Stable time: 0 days, 0 hours, 1 minutes
Last state change information: 2024-01-02 9:47:41 HRP core state changed, old_s
tate = normal, new_state = abnormal(active), local_priority = 45000, peer_priori
ty = 44998.
Configuration:
hello interval: 1000ms
preempt: 60s
mirror configuration: off
mirror session: off
track trunk member: on
auto-sync configuration: on
auto-sync connection-status: on
adjust ospf-cost: on
adjust ospfv3-cost: on
adjust bgp-cost: on
nat resource: off
Detail information:
GigabitEthernet1/0/0 vrrp vrid 1: active (should be "standby")
GigabitEthernet1/0/1 vrrp vrid 2: active (should be "standby")
ospf-cost: +0 (should be "+65500")
ospfv3-cost: +0 (should be "+65500")
bgp-cost: +0 (should be "+100")
HRP_M[FW2]
HRP_M[FW2]
补充配置:
[R2]ip route-static 0.0.0.0 0 10.0.1.1
[R2]ip route-static 1.1.1.0 24 2.2.2.2
HRP_M[FW2]ip route-static 0.0.0.0 0 10.0.1.5
主要是学习主备备份方式双机热备状态形成过程以及切换过程:
1、启动双机热备后,两台防火墙短暂处于standby状态,且向对端发送VGMP报文,告知自己的优先级以及状态,都发现优先级相等,均将状态切换为load-balance。
2、FW1的VRRP备份组都被配置为actIve,因此,FW1的VRRP备份组1、2状态均为Master,同理可得,FW2的VRRP备份组1、2均为Backup。
3、FW1的VRRP备份组1、2分别向下行、上下交换机发送免费的ARP报文。
4、交换机记录到MAC地址表,当上下行报文到达交换机后,交换机会将报文转发到FW1,FW1为主用,FW2为备用。
5、FW1和FW2通过心跳线定时互相通告VGMP报文。
6、FW1的上行接口发生故障,FW1的VRRP备份组2状态变为Initialize,FW1的VGMP组状态变为standby,FW2的VGMP组状态变为active,再对它们各自的VRRP进行调整,FW1的VRRP备份组2状态调整为backup,FW2的VRRP备份组1、2均调整为Master。
7、FW2发送免费的ARP报文到上下行交换机,刷新对应的MAC地址表。
五、基于VRRP的负载分担双机热备
要做到两台防火墙工作在负载分担,需要两台防火墙状态都为active,需要四个VRRP备份组。
对于FW1来说VRRP备份组1、2状态为active,备份组3、4是standby,FW2反之,正常情况下,两台防火墙的状态均为load-balance,VRRP备份组的运行状态由配置决定,FW1的VRRP备份组1、2运行状态为Master,备份组3、4运行状态为backup,FW2的VRRP备份组3、4运行状态为Master,备份组1、2运行状态为backup。
[FW1-GigabitEthernet1/0/0]display this
#
interface GigabitEthernet1/0/0
undo shutdown
ip address 10.0.0.2 255.255.255.0
vrrp vrid 1 virtual-ip 10.0.0.1 active
vrrp vrid 3 virtual-ip 10.0.0.4 standby
#
[FW1-GigabitEthernet1/0/1]display this
2024-01-03 05:59:33.210
#
interface GigabitEthernet1/0/1
undo shutdown
ip address 10.0.1.2 255.255.255.0
vrrp vrid 2 virtual-ip 10.0.1.1 active
vrrp vrid 4 virtual-ip 10.0.1.10 standby
#
return
[FW2-GigabitEthernet1/0/0]display this
2024-01-03 06:00:18.260
#
interface GigabitEthernet1/0/0
undo shutdown
ip address 10.0.0.3 255.255.255.0
vrrp vrid 1 virtual-ip 10.0.0.1 standby
vrrp vrid 3 virtual-ip 10.0.0.4 active
#
return
[FW2-GigabitEthernet1/0/1]display this
2024-01-03 06:01:07.820
#
interface GigabitEthernet1/0/1
undo shutdown
ip address 10.0.1.3 255.255.255.0
vrrp vrid 2 virtual-ip 10.0.1.1 standby
vrrp vrid 4 virtual-ip 10.0.1.10 active
#
return
[FW1-GigabitEthernet1/0/2]hrp interface g1/0/2 remote 10.10.0.2
[FW2-GigabitEthernet1/0/2]hrp interface g1/0/2 remote 10.10.0.1
[FW1]hrp enable
[FW2]hrp enable
HRP_M[FW1]display hrp state verbose
2024-01-03 06:04:45.690
Role: active, peer: active
Running priority: 45000, peer: 45000
Backup channel usage: 0.00%
Stable time: 0 days, 0 hours, 0 minutes
Last state change information: 2024-01-03 6:04:05 HRP link changes to up.
Configuration:
hello interval: 1000ms
preempt: 60s
mirror configuration: off
mirror session: off
track trunk member: on
auto-sync configuration: on
auto-sync connection-status: on
adjust ospf-cost: on
adjust ospfv3-cost: on
adjust bgp-cost: on
nat resource: off
Detail information:
GigabitEthernet1/0/0 vrrp vrid 1: active
GigabitEthernet1/0/1 vrrp vrid 2: active
GigabitEthernet1/0/0 vrrp vrid 3: standby
GigabitEthernet1/0/1 vrrp vrid 4: standby
ospf-cost: +0
ospfv3-cost: +0
bgp-cost: +0
HRP_S[FW2]display hrp state verbose
2024-01-03 06:05:21.190
Role: active, peer: active
Running priority: 45000, peer: 45000
Backup channel usage: 0.00%
Stable time: 0 days, 0 hours, 1 minutes
Last state change information: 2024-01-03 6:04:03 HRP link changes to up.
Configuration:
hello interval: 1000ms
preempt: 60s
mirror configuration: off
mirror session: off
track trunk member: on
auto-sync configuration: on
auto-sync connection-status: on
adjust ospf-cost: on
adjust ospfv3-cost: on
adjust bgp-cost: on
nat resource: off
Detail information:
GigabitEthernet1/0/0 vrrp vrid 1: standby
GigabitEthernet1/0/1 vrrp vrid 2: standby
GigabitEthernet1/0/0 vrrp vrid 3: active
GigabitEthernet1/0/1 vrrp vrid 4: active
ospf-cost: +0
ospfv3-cost: +0
bgp-cost: +0
两台防火墙的Role均为active,即均为主用防火墙,优先级相等,FW1上的VRRP备份组1、2状态为active,VRRP备份组3、4状态为standby;FW2反之。
负载分担状态形成过程:
1、启动双机热备后,两台防火墙短暂处于standby状态,且向对端发送VGMP报文,告知自己的优先级以及状态,都发现优先级相等,均将状态切换为load-balance。
2、FW1的VRRP备份组1、2都被配置为actIve,因此,FW1的VRRP备份组1、2状态均为Master,FW1的VRRP备份组3、4都被配置为standby,因此,FW1的VRRP备份组3、4状态均为Backup,同理可得,FW2的VRRP备份组1、2均为Backup,VRRP备份组3、4均为Master。
3、FW1的VRRP备份组1、2分别向下行、上下交换机发送免费的ARP报文。FW2的VRRP备份组3、4分别向下行、上下交换机发送免费的ARP报文。
4、下行交换机将VRRP备份组1、3的虚拟MAC地址以及接口对应关系记录到MAC地址表,上行交换机将VRRP备份组2、4的虚拟MAC地址以及接口对应关系记录到MAC地址表。
5、FW1和FW2通过心跳线定时互相通告VGMP报文。
6、当FW1故障时,测试。
参考资料:防火墙和VPN技术与实践——李学昭