防火墙-双机热备技术原理

目录

双机热备技术原理

VRRP在多区域防火墙组网中的应用

VRRP在防火墙中应用的缺陷：

VGMP的基本原理

 VGMP组管理

解决方案2：HRP

备份内容：会话表备份，配置备份

 备份方向：

备份通道：

 防火墙双机热备份主备切换的故障场景

---

双机热备技术原理

产生背景：

• 传统的组网方式如下左图所示，内部用户和外部用户的交互报文全部通过防火墙A。如果防火墙A出现故障，内部网络中所有以防火墙A作为默认网关的主机与外部网络之间的通讯将中断，通讯可靠性无法保证。

• 防火墙作为安全设备，一般会部署在需要保护的网络和不受保护的网络之间，即位于网络边界上。在网络边界上，如果仅仅使用一台防火墙设备，无论其可靠性多高，系统都可能会承受因为单点故障而导致网络中断的风险。为了防止一台设备出现意外故障而导致网络业务中断，可以采用两台防火墙形成双机备份。

VRRP在多区域防火墙组网中的应用

为了防止多个区域提供双机如被功能时，需要在每一台防火墙上配置多个VRRP备份组

VRRP在防火墙中应用的缺陷：

使用传统的VRRP方式无法实现主、备防火墙状态信息和多组VRRP状态的一致性

VGMP的基本原理

为了保证所有的VRRP备份组切换的一致性，在VRRP的基础上进行了扩展，推出了VGMP（VRRP组协议管理协议）来弥补次局限。将同一台防护墙上的多个VRRP备份组都加入到一个VGMP管理组，由管理组统一管理所有VRRP备份组的状态，来保证管理组内的所有VRRp备份状态都是一致的；

防火墙VGMP组状态分为三类：load-balance负载均衡  Active、standy；

防火墙VGMP组通过发送VGMP报文通告自身的运行状态，从而根据hello优先级决定主备设备，主设备VGMP组的状态为Active，备设备的状态为standby；

当防火墙上的VGMP组为Active/standby时，组内的所有VRRP备份组的状态都是Active/standby;

当发生故障时，VGMP统一切换到VRRP备份组1与VRRP备份组2的状态。当VGMP组状态为Active时，VRRP备份组的状态都是Master；当VGMP组状态都是backup

 VGMP组管理

状态一致性管理：VGMP管理组控制所有的VRRP备份组统一切换，VRRP备份组加入到管理组后状态不能单独切换

抢占管理：

当原来出现故障的主设备故障恢复时，其VGMP管理组优先级也会恢复，此时可以重新将自己的VGMP管理组状态抢占为主;

当VRRP备份组加入到VGMP管理组后，备份组上原来的抢占功能将失效，抢占行为发生与否必须由VGMP管理组统一决定

通道管理：所谓通道管理，就是为了确定双机热备的两台防火墙之间有哪些接口是可用的，VGMP、HRP模块将自动选用可用接口来发送VGMP、HRP报文。

注：

VGMP自己选举主备；

VRRP的主备由VGMP选举产生；

解决方案2：HRP

HRP（huawei redundancy protocol）协议，用来实现防火墙双机之间状态信息和关键配置命令的动态备份

备份内容：会话表备份，配置备份

策略: 安全策、NAT策略、认证策略、攻击防范和ASPF等;

对象: 地址、地区、服务、应用、用户、认证服务器、时间段地址池、URL分类、关键字组、邮件地址组、签名和安全配置文件等;

网络: 新建逻辑接口、安全区域、DNS、静态路由(配置hrpauto-sync config static-route后才可以备份)、IPSec和SSLVPN等

系统:管理员、虚拟系统、日志配置等。

状态信息:会话表、Sever-map表、黑白名单、地址映射表、MAC表、用户表、IPSec安全联盟和隧道等。

 备份方向：

支持备份的配置命令默认只能在配置主设备上执行，这些命令会自动备份到备设备上，例如：安全策略配置命令、NAT策略配置命令等

主备备份组网中，只有主备份会处理业务，主设备上生成业务表项，并向备份设备备份。负载均衡分担组网中，两台防火墙设备都会处理业务，都会生成业务表项并向对端设备备份

备份通道：

配置和状态需要网络管理员指定备份通道接口进行备份。一般情况下，在两台设备上直连的端口作为备份通道，有时候也称为“心跳线”

备份方式：

自动备份

手动批量备份

设备重启主备防火墙的配置自动同步

会话快速备份

 防火墙双机热备份主备切换的故障场景

业务线路故障

整机故障

心跳线故障

1、ALG

应用网关，用来处理上述应用层在nat转换场景转换问题。

ALG 作用之一：观测多通道协议的协商包

2、NAT ALG

某些协议会在应用层携带通信ip（即，没有有nat转换前的ip），这个ip用于下一阶段通信。但是nat的地址转换并不是转应用层而是转三层ip，这就是导致某些协议的通信阶段在nat场景下失败。

问题1：由于nat在转发过程中破坏了源ip的完整性

所以需要使用server-map创建一条隐形通道用来让nat地址进出

问题2：TCP的校验和检验ip的源目IP地址

NAT转换的动作：把IP改掉，然后去TCP的校验和中把修改后的校验和再校验一遍（未首部校验）

NAT转换不仅仅和IP首部，还有TCP的首部

防火墙的解决方案：

1、创建一个nat 

2、创建server-map隐形通道

注意：防火墙设置nat只写真实地址

    服务映射NAT：外->内 目标写内网服务器ip    

    内->外 源写本地主机ip

3、NAT域间双向转换

外网访问内网服务器，内网服务器访也需要问外网的场景；

4、NAT域内双向转换

使用场景：内网的人要想访问内网的服务器，但是dns解析需要到外网解析，然后pc的访问与服务器的响应路径不一致的问题；

5、双出口NAT

双NAt会出现nat地址转换错乱

解决方案：

启动防火墙多出口选项，网关、缺省、源进源出路由控制三种必须启用。不管是多出口是在一个安全区域还是多个安全区域都是如此做法

原理就是通过上述手段把路由与NAT转换通过系一条做了关联