ENSP-----VGMP与HRP协议---防火墙的双机热备

一.防火墙双机热备介绍

双机热备的概述

• 双机热备是为了解决单点故障，实现业务的平滑过渡（会话表需要同步）
• 华为防火墙的双机热备模式有：热备模式、负载均衡模式

• 主备备份指正常情况下仅由主用设备处理业务，备用设备空闲；当主用设备接口，链路或整机故障时，备用设备切换为主用设备，接替主用设备处理业务
• 所谓负载分担，也可以称为“互为主备”，即两台设备同时处理业务，当其中一台设备发送故障时，另外一台设备会立即承担其业务，保证原来需要通过这台设备转发的业务不中断

VGMP简介

• VGMP协议是华为公司的私有协议。VGMP协议中定义了VGMP组，FW基于VGMP组是实现设备主备状态管理
• VGMP协议解决备份组切换不一致性的问题

VGMP的优先级

• 中低端：Active设备优先级为65001，Standby设备优先级为6500
• 高端：VGMP组初始优先级=45000+1000*LPU板上的插卡个数+2*SPU板上的CPU个数
• USG6000，NGFW Module的初始化优先级都为45000

VGMP的状态转换与工作过程

• 启用双机热备功能后，各VGMP组进入Initialize（初始化）状态。
• 启用Active组后，Active组的状态由Initialize切换成Active。
• 启用Standby组后，Standby组的状态由Initialize切换成Standby。
• 本端VGMP组监控的接口故障时，状态由Active切换成A to S，并发送VGMP请求报文给对端设备的VGMP组。
• 本端VGMP组收到对端的VGMP请求报文，发现自身优先级高，则将状态由Standby切换成Acitve，并发送VGMP确认报文给对端设备的VGMP组。
• 本端VGMP组收到对端的VGMP确认报文，确认本端需要进行状态切换，则本端的VGMP组状态由A to S切换成Standby。
• 对端VGMP组确认本端的VGMP组不需要进行状态切换或连续三次没有回应本端的VGMP请报文，则本端的VGMP组状态由A to S切换成Active。
• 本端VGMP组监控的接口故障恢复后，如果本端VGMP组优先级高于对端且配置了抢占功能，则本端VGMP组状态由Standby切换成S to A，并向对端发送VGMP请求报文。
• 本端VGMP组收到对端的VGMP请求报文，发现对端优先级高，则将状态由Active切换成Standby，并发送VGMP确认报文给对端设备的VGMP组。
• 本端VGMP组收到对端的VGMP确认报文，确认本端需要进行状态切换，则本端的VGMP组状态由S to A切换成Active，完成抢占过程。
• 对端VGMP组确认本端的VGMP组不需要进行状态切换或连续三次没有回应本端的VGMP请报文，则本端的VGMP组状态由S to A切换成Standby。
   

VGMP的工作原理（主备模式下）

• 指定设备为Active和Standby
• 将VGMP组内所有VRRP备份组状态为指定的Active standby（VRRP备份组状态的一致性）
• Active设备发送免费ARP，刷新交换机MAC地址表（引导流量）
• 周期性发送HRP心跳报文（周期1s 死亡3s），监控Active和Standby

VGMP的故障检测

• 针对直连故障