HUAWEI FW双击热备

Vrrp 组相互独立  但是上行下行的vrrp状态 一旦不一致就会是得流量路径不一致

 

机热备需要两台硬件和软件配置均相同的防火墙组成

双机热备系统通过独立的链路连接（心跳线），通过心跳线了解对端的健康状况，向对端备份配置和表项

 

 

进行部署时需要注意的地方

1. 目前只支持两台设备进行双机热备。
2. 主备设备的产品型号和版本必须相同。
3. 主备设备业务板和接口卡的位置、类型和数目都须相同，否则会出现主用设备备份过去的信息，与备用设备的物理配置无法兼容，导致主备切换后出现问题

配置防火墙的关键组件

1、VRRP

2、VGMP 华为的私有协议 将网络的vrrp都进行加组  由VGMP进行集中管理 并检测转态  发生变化统一切换 保证一致性

3、HRP 实现防火墙双机之间动态状态数据和关键配置命令的备份

每台FW上有一个VGMP组。VGMP组有四种状态：

Initialize：启用双机热备功能后，VGMP组的短暂初始状态。

Load Balance：当防火墙本端的VGMP组与对端的VGMP组优先级相等时，两端的VGMP组都处于Load Balance状态。

Active：当本端的VGMP组优先级高于对端时，本端的VGMP组处于Active状态。

      Standby：当本端的VGMP组优先级低于对端时，本端的VGMP组处于Standby状态

FW组成双机热备组网后正常情况下两台FW的VGMP组优先级相等，且都处于Load Balance状态。负载分担状态

可以通过VRRP配置和手工指定备设备这两种方式，使两台FW形成主备备份状态。

VRRP配置的方式适用于FW连接二层交换机的组网，指定备设备的方式适用于FW其他方式的双机热备组网。

FW的VGMP优先级有一个初始优先级，当FW的接口或者单板等出现故障时，会在初始优先级基础上减去一定的降低值。

FW 接口故障优先级减去 -2

HRP 及心跳线

HRP 华为的私有协议 用于冗余备份 同步链路状态和配置信息

主备备份组网下，配置命令和状态信息都由主用设备备份到备用设备

防火墙能够备份的配置如下：

策略：安全策略、NAT策略（包括NAT地址池）、NAT Server等。

对象：地址、地区、服务、应用、用户等。

网络：安全区域、DNS、IPsec、SSL VPN等。

系统：管理员、虚拟系统、日志配置。

防火墙能够备份的状态信息如下：

会话表、SeverMap表、黑名单/白名单、PAT方式端口映射表、NO-PAT方式地址映射表、二层转发表（静态MAC备份）、AAA用户表（缺省用户admin不备份）、在线用户监控表、PKI证书、IPsec备份等。

静态路由需要手动配置

1、连接二层设备

FW1

#

interface GigabitEthernet1/0/0

 ip address 10.1.1.1 255.255.255.0

#

interface GigabitEthernet1/0/1

 ip address 2.2.2.1 255.255.255.0

 vrrp vrid 1 virtual-ip 2.2.2.254 active

#

interface GigabitEthernet1/0/2

 ip address 1.1.1.1 255.255.255.0

 vrrp vrid 2 virtual-ip 1.1.1.254 active

#

心跳线和HRP 的配置

FW1

#

 hrp enable

 hrp interface GigabitEthernet1/0/0 remote 10.1.1.2

#

FW 2

#

 hrp enable

 hrp interface GigabitEthernet1/0/0 remote 10.1.1.1

#

 

 

查看vrrp 状态

FW-1

FW-2 

查看HRP 的状态

2.连接三层设备

FW1

下行端口

#

interface GigabitEthernet1/0/1

 undo shutdown

 ip address 2.2.2.10 255.255.255.0

 vrrp vrid 1 virtual-ip 2.2.2.1 active

 service-manage http permit

 service-manage https permit

 service-manage ping permit

 service-manage ssh permit

 service-manage snmp permit

 service-manage telnet permit

#

 

心跳口

#

interface GigabitEthernet1/0/0

 undo shutdown

 ip address 10.1.1.1 255.255.255.0

#

 

 

FW2

#

interface GigabitEthernet1/0/1

 undo shutdown

 ip address 2.2.2.20 255.255.255.0

 vrrp vrid 1 virtual-ip 2.2.2.1 standby

 service-manage http permit

 service-manage https permit

 service-manage ping permit

 service-manage ssh permit

 service-manage snmp permit

 service-manage telnet permit

#

心跳口

#

interface GigabitEthernet1/0/0

 undo shutdown

 ip address 10.1.1.2 255.255.255.0

#

FW-2 通过心跳线同步配置

#

security-policy

 rule name 1

  source-zone trust

  destination-zone trust

  action permit

 rule name 2

  source-zone untrust

  destination-zone trust

  action permit

 rule name 3

  source-zone local

  source-zone trust

  destination-zone trust

  destination-zone untrust

  action permit

FW-1  lsdb

FW-2 在lsdb中携带 我不是最优的路径实现 主备

但是这样会有弊端 一段上行链路断掉后 下行链路无法感知

# 在FW上配置根据VGMP状态调整OSPF Cost值功能

hrp ospf-cost adjust-enable

 

#在FW 上配置HRP 追踪上行接口的链路状态

hrp track interface GigabitEthernet 1/0/1

在次断开 长ping包 会丢失几个 因为只是 路由会进行收敛 以及触发hrp进行主备切换

部分基本命令跳过了