双机热备、BFD双向转发检测、IP-LINK链路检测、Link-Group逻辑组、ETH-Trunk链路捆绑、Bypass,跨数据中心集群,双主控、业务板备份、数据中心会话同步
双机热备
目的:为了防止单点故障
实现:两台硬件软件相同的FW之间通过一条独立的链路连接,这条链路通常被称之为“心跳线”。两台FW通过心跳线了解对端的健康状况,向对端备份配置和表项(如会话表、IPSec SA等)。当一台FW出现故障时,业务流量能平滑地切换到另一台设备上处理,使业务不中断。
关键技术:vrrp(虚拟路由冗余协议),VGMP(vrrp group management protocol),hrp(双机热备协议)redundancy(冗余)
Vrrp:是一种容错协议,它保证当主机的下一跳路由器(默认网关)出现故障时,由备份路由器自动代替出现故障的路由器完成报文转发任务,从而保持网络通信的连续性和可靠性。
将局域网内的一组路由器(实际上是路由器的下行接口)划分在一起,形成一个VRRP备份组。VRRP备份组相当于一台虚拟路由器,这个虚拟路由器有自己的虚拟IP地址和虚拟MAC地址(格式:00-00-5E-00-01-{VRID},VRID是VRRP备份组的ID)。
局域网内的主机可以将默认网关设置为VRRP备份组的虚拟IP地址。在局域网内的主机看来,他们就是与虚拟路由器进行通信的,然后通过虚拟路由器与外部网络进行通信。
VRRP备份组中的多个路由器会根据管理员指定的VRRP备份组优先级确定各自的VRRP备份组状态。优先级最高的VRRP备份组状态为Master,其余VRRP备份组状态为Backup。
缺陷:无法实现主备防火墙状态的一致性(来回路径一致)。
Vgmp:将同一台防火墙上的多个VRRP备份组都加入到一个VRRP管理组,管理组通过统一控制各VRRP备份组状态的切换,来保证所有VRRP备份组状态都是一致的。当防火墙上的VGMP为Active/Standby状态时,组内所有VRRP备份组的状态统一为Active/Standby状态。状态为Active的VGMP也会定期向对端发送HELLO报文,通知Standby端本身的运行状态(包括优先级、VRRP成员状态等),Standby端收到HELLO报文后,会回应一个ACK消息,该消息中也会携带本身的优先级、VRRP成员状态等,Standby端三个HELLO报文周期没有收到对端发送的HELLO报文时,会认为对端出现故障,从而将自己切换到Active状态。
vgmp管理:状态一致性、抢占。
Hrp:
FW属于状态检测防火墙,对于每一个动态生成的连接,都有一个会话表项与之对应。主用设备处理业务过程中创建了很多动态会话表项;而备用设备没有报文经过,因此没有创建会话表项。如果备用设备切换为主用设备前,会话表项没有备份到备用设备,则会导致后续业务报文无法匹配会话表,从而导致业务中断。
因此为了实现主用设备出现故障时备用设备能平滑地接替工作,必须在主用和备用设备之间备份关键配置命令和会话表等状态信息。
用来实现防火墙双机之间动态状态数据和关键配置命令的备份。备份内容:要备份的连接状态数据包括TCP/UDP的会话表、ServerMap表项、动态黑名单、NO-PAT表项、ARP表项等。备份通道:心跳线
我们定义负载分担组网下,发送备份配置命令的FW称为配置主设备(命令行提示符前有HRP_M前缀),接收备份配置命令的FW称为配置从设备(命令行提示符前有HRP_S前缀)。
在负载分担组网下,配置命令只能由“配置主设备”备份到“配置备设备”。状态信息则是两台设备相互备份的。
在负载分担组网下,设备名称(sysname)的ASCⅡ码较小的FW会成为配置主设备。例如,FW_A与FW_B形成负载分担,FW_A会成为配置主设备;如果两台设备名称(sysname)相同,执行hrp enable命令时的时钟小为主,执行hrp enable命令时的时钟大为备。(也可以通过配置hrp standby-device来指定备设备)
工作模式:
主备备份模式:两台设备一主一备。正常情况下业务流量由主用设备处理。当主用设备故障时,备用设备接替主用设备处理业务流量,保证业务不中断
负载分担模式:两台设备互为主备。正常情况下两台设备共同分担整网的业务流量。当其中一台设备故障时,另外一台设备会承担其业务,保证原本通过该设备转发的业务不中断。
备份方式:
自动备份、手工批量备份、会话快速备份、设备重启后主备FW的配置自动同步
Link-Group:VGMP有类似于link-group的功能
定义:将多个接口的状态相互绑定,组成一个逻辑组。当组内任一接口出现故障,系统将组内其他接口状态为Down。当组内所有接口恢复正常后,整个组内的接口状态才重新被设置为up。
目的:Link-Group管理组保证了组内物理接口的状态一致性,同时在链路故障时能够加快路由收敛速度。通过Link-Group可以使上下行接口状态一致,这样可以避免主备切换后,上下行链路路径不一致的问题
IP-LINK:链路状态检测
定义:通过NGFW定时地向指定的目的IP进行ICMP回显请求(ICMP ping探测一般是用在非直连链路)或ARP请求(ARP探测用在直连链路),并等待应答来探测链路是否发生故障。在三个报文周期(默认15秒)未收到回应报文时,则认为当前链路发生故障,ip-link的状态变为Down。当原来认为故障的链路,有连续的3个回应报文收到,则认为链路故障已经消除,此时进行链路状态恢复为up。
目的:IP-LINK主要用于业务链路正常与否的自动侦测,可以检测到与NGFW不直接相连的链路状态,保证业务持续通畅。(大多数时候是用ip-link来探测非直连链路的)
IP-Link与静态路由联动:当ip-link自动检查发现链路故障时,NGFW会对自身的静态路由进行相应的调整,保证每次用到的链路是最高优先级和链路可达的,以保证业务的持续流通。lab中就是与静态路由联动的(ip route-static x.x.x.x track ip-link link-id)