下一代防火墙——防火墙可靠性

城南敢死队

已于 2024-09-19 11:18:34 修改

阅读量795

点赞数 16

分类专栏：下一代防火墙文章标签：网络

于 2024-09-18 17:57:19 首次发布

本文链接：https://blog.csdn.net/aimnr/article/details/142339823

版权

13 篇文章 0 订阅

订阅专栏

因为防火墙上不仅需要同步配置信息，还需要同步状态信息（会话表等），所以，防火墙不能像路由器那样单纯的靠动态协议来实现切换，需要用到双机热备技术。
- 1，双机 --- 目前双机热备技术仅支持两台防火墙的互备
- 2，热备 --- 两台设备共同运行，在一台设备出现故障的情况下，另一台设备可以立即替代原设备
（也存在冷备的概念，仅工作一台设备，备份一台设备，备份设备仅同步配置，并不工作，只有在主设备出现故障时，再由管理员替换工作，冷备可能会造成较长时间的业务中断）

VGMP --- vrrp Group Management Protocol --- HUAWI的私有协议因为VRRP彼此是独立的，所以，一个VRRP组进行切换不会直接导致其他组同步切换，在防火墙的双机热备场景下，上下有两个VRRP组，需要同步切换，使用传统的上行链路监控，比较复杂，所以，设计了VGMP协议，来对VRRP组进行统一的切换管理

主备的形成场景
- 1，FW1被设定为主设备 --- FW1中的VGMP的active组被激活，并且将上下两个VRRP组拉入到VGMP的active组中，并且状态都是ACTIVE
- 2，FW2被设定为备设备 --- FW2中的VGMP的standby组被激活，并且将上下两个vrrp组拉入到VGMP的standby组中，并且状态都是standby（VGMP组中存在优先级的概念，ACTIVE组的默认优先级是65001，standby组默认的优先级为65000，并且，在VGMP中，所有的主都被成为active，所有的备成为standby）
- 3，主设备上下两个VRRP组的接口将发送免费ARP报文

HRP在进行双机热备时，还有一个要求，两台热备设备之间，必须拥有一条链路，用来同步信息，并且，这条链路必须是三层链路 --- 这条链路在进行数据传递时，不受安全策略的影响。（注意，如果心跳线是直连的，则不受安全策略的影响，但是，如果中间有中继设备，即非直连场景，则需要配置安全策略） --- 心跳线 ---- VGMP协议发送的报文也是通过心跳线传输的。
HRP会周期性的发送心跳报文，只有主设备会发送，周期时间默认为1S，如果备设备在三个周期时间内默认3S没有收到对方的心跳报文，则认定对方出现故障将以自生为主
HRP三种备份方式
1. 自动备份 --- 自动备份配置和状态信息，但是，配置信息可以立即自动备份，状态信息无法立即备份，只能通过短暂的延迟之后，在进行备份（10S左右）
2. 手工备份 --- 由网络管理员手工触发，可以立即同步配置和状态信息
3. 快速备份 --- 该备份方式仅针对负载分担的场景。
  - 无法同步配置信息，仅能同步状态信息，并且可以立即同步状态信息。