华为防火墙双机热备（主备分担）

已于 2025-05-09 16:44:50 修改
阅读量1.2k 收藏 19
点赞数 10
分类专栏： # HCIA-Security 文章标签： 网络 服务器 计算机网络 运维
于 2025-03-18 23:21:58 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_46008548/article/details/146355170
版权

目录

引言

主备备份实验

 1、基本配置

2、双机热备配置

查看双机热备状态

主备切换

路由影响

引言

传统VRRP方式无法实现主、备用防火墙状态信息和多组VRRP状态的一致性，所以可能会导致流量的回包不从首包通过的防火墙回包，防火墙会因为状态检测机制丢弃此报文，所以防火墙使用VGMP统一管理VRRP的状态。

img

华为双机热备的部署模式有三种，主备备份、负载分担、镜像模式。其中主备分担和镜像模式的VGMP的状态，主是active，备是standby；而负载分担模式中，两个防火墙的状态都是load-balance。

负载分担模式可以我的文章：华为防火墙双机热备（负载分担）-CSDN博客

主备备份实验

在规划拓扑结构时，两个防火墙所用的接口编号建议都要一致，因为在激活双击热备之后，有些接口的配置也会进行同步，比如 双机热备开启之后，将某个接口加入安全区域，这个配置也会进行同步。

在我这个拓扑中，G1/0/2是心跳线，心跳线里传两个消息，一个是vgmp消息，一个是hrp消息。

hrp叫做华为冗余协议或者叫华为备份协议。

img

 1、基本配置

FW1：（配置地址、VRRP、接口加入安全区域）

[FW1]interface GigabitEthernet1/0/0
[FW1-GigabitEthernet1/0/0] ip address 192.168.10.2 24
[FW1-GigabitEthernet1/0/0] vrrp vrid 1 virtual-ip 192.168.10.1 active
​
[FW1]interface GigabitEthernet1/0/1
[FW1-GigabitEthernet1/0/1] ip address 1.1.1.2 29
[FW1-GigabitEthernet1/0/1] vrrp vrid 2 virtual-ip 1.1.1.1 active
​
[FW1]interface GigabitEthernet1/0/2
[FW1-GigabitEthernet1/0/2] ip address 10.1.1.1 30

[FW1]firewall zone trust
[FW1-zone-trust] add interface GigabitEthernet1/0/0
​
[FW1]firewall zone untrust                     
[FW1-zone-untrust] add interface GigabitEthernet1/0/1
​
[FW1]firewall zone name hrp
[FW1-zone-hrp] set priority 51
[FW1-zone-hrp] add interface GigabitEthernet1/0/2

 FW2：（配置地址、VRRP、接口加入安全区域）

[FW2]interface GigabitEthernet1/0/0
[FW2-GigabitEthernet1/0/0] ip address 192.168.10.3 24
[FW2-GigabitEthernet1/0/0] vrrp vrid 1 virtual-ip 192.168.10.1 standby
​
[FW2]interface GigabitEthernet1/0/1
[FW2-GigabitEthernet1/0/1] ip address 1.1.1.3 29
[FW2-GigabitEthernet1/0/1] vrrp vrid 2 virtual-ip 1.1.1.1 standby
​
[FW2]interface GigabitEthernet1/0/2
[FW2-GigabitEthernet1/0/2] ip address 10.1.1.2 30
​
[FW2]firewall zone trust
[FW2-zone-trust] add interface GigabitEthernet1/0/0
​
[FW2]firewall zone untrust                     
[FW2-zone-untrust] add interface GigabitEthernet1/0/1
​
[FW2]firewall zone name hrp
[FW2-zone-hrp] set priority 51
[FW2-zone-hrp] add interface GigabitEthernet1/0/2

2、双机热备配置

 FW1：（配置心跳接口、开启HRP）

[FW1]hrp interface G1/0/2 remote 10.1.1.2
[FW1]hrp enable

 FW2： （配置心跳接口、开启HRP）

[FW2]hrp interface g1/0/2 remote 10.1.1.1
[FW2]hrp enable

查看双机热备状态

 ① FW1：（作为主设备，Role 为Active）

HRP_M[FW1]display hrp state  verbose 
2025-03-16 03:11:08.760 
 Role: active, peer: standby
 Running priority: 45000, peer: 45000
 Backup channel usage: 0.00%
 Stable time: 0 days, 0 hours, 0 minutes
 Last state change information: 2025-03-16 3:07:01 HRP core state changed, old_state = abnormal(standby), new_state = normal, local_priority = 45000, peer_priority = 45000.
​
 Configuration:
 hello interval:              1000ms
 preempt:                     60s
 mirror configuration:        off
 mirror session:              off
 track trunk member:          on
 auto-sync configuration:     on
 auto-sync connection-status: on
 adjust ospf-cost:            on
 adjust ospfv3-cost:          on
 adjust bgp-cost:             on
 nat resource:                off
​
 Detail information:
           GigabitEthernet1/0/0 vrrp vrid 1: active
           GigabitEthernet1/0/1 vrrp vrid 2: active
                                  ospf-cost: +0
                                ospfv3-cost: +0
                                   bgp-cost: +0

 ② FW2： （作为备设备，Role 为Standby）

HRP_S[FW2]display hrp state verbose  
2025-03-16 03:10:43.150 
 Role: standby, peer: active
 Running priority: 45000, peer: 45000
 Backup channel usage: 0.00%
 Stable time: 0 days, 0 hours, 0 minutes
 Last state change information: 2025-03-16 3:07:01 HRP link changes to up.
​
 Configuration:
 hello interval:              1000ms
 preempt:                     60s
 mirror configuration:        off
 mirror session:              off
 track trunk member:          on
 auto-sync configuration:     on
 auto-sync connection-status: on
 adjust ospf-cost:            on
 adjust ospfv3-cost:          on
 adjust bgp-cost:             on
 nat resource:                off
​
 Detail information:
           GigabitEthernet1/0/0 vrrp vrid 1: standby
           GigabitEthernet1/0/1 vrrp vrid 2: standby
                                  ospf-cost: +65500
                                ospfv3-cost: +65500
                                   bgp-cost: +100

备机无法配置安全策略、NAT策略等等，比如进入NAT策略的视图都会报错。因为只有我们是主备备份模式，配置都是在主墙上进行配置，然后同步给备墙。

HRP_S[FW2]nat-policy 
 Error: The device is in HRP standby state, so this command can not be executed.

主备切换

FW1：关闭主防火墙的一个配置了VRRP的接口 

HRP_M[FW1]interface g1/0/1 (+B)
HRP_M[FW1-GigabitEthernet1/0/1]shutdown

 FW1：主防火墙的角色会立马发生转变，变成Role 是 Standby

HRP_S[FW1]display hrp state  
2025-03-16 03:14:00.580 
 Role: standby, peer: active (should be "active-standby")
 Running priority: 44998, peer: 45000
 Backup channel usage: 0.00%
 Stable time: 0 days, 0 hours, 0 minutes
 Last state change information: 2025-03-16 3:13:45 HRP core state changed, old_state = normal, new_state = abnormal(standby), local_priority = 44998, peer_priority = 45000.

 FW2：备防火墙的角色会立马发生转变，变成Role 是 Active


HRP_M[FW2]display hrp state
2025-03-16 03:14:12.050 
 Role: active, peer: standby (should be "standby-active")
 Running priority: 45000, peer: 44998
 Backup channel usage: 0.00%
 Stable time: 0 days, 0 hours, 0 minutes
 Last state change information: 2025-03-16 3:13:44 HRP core state changed, old_state = normal, new_state = abnormal(active), local_priority = 45000, peer_priority = 44998.

 FW1：恢复主防火墙的接口，查看切换状态

HRP_S[FW1]interface g1/0/1 (+B)
HRP_S[FW1-GigabitEthernet1/0/1]undo shutdown

（主防火墙一分钟之后会抢占回来，因为默认的抢占就是60S）

路由影响

双机热备除了主墙响应VRRP的地址以外，对于网络中路由的宣告也有影响。

备墙会自动增加OSPF、ISIS、BGP的cost值，从而影响网络选路，上下行设备的选路优先变会是主墙。

HRP_S[FW2]display hrp state verbose  
2025-03-16 03:10:43.150 
 Role: standby, peer: active
 Running priority: 45000, peer: 45000
 Backup channel usage: 0.00%
 Stable time: 0 days, 0 hours, 0 minutes
 Last state change information: 2025-03-16 3:07:01 HRP link changes to up.
​
 Configuration:
 hello interval:              1000ms
 preempt:                     60s
 mirror configuration:        off
 mirror session:              off
 track trunk member:          on
 auto-sync configuration:     on
 auto-sync connection-status: on
 adjust ospf-cost:            on
 adjust ospfv3-cost:          on
 adjust bgp-cost:             on
 nat resource:                off
​
 Detail information:
           GigabitEthernet1/0/0 vrrp vrid 1: standby
           GigabitEthernet1/0/1 vrrp vrid 2: standby
                                  ospf-cost: +65500
                                ospfv3-cost: +65500
                                   bgp-cost: +100

 FW1 ：（配置OSPF）

HRP_M[FW1]ospf 1 router-id 1.1.1.1
HRP_M[FW1-ospf-1]area 0
HRP_M[FW1-ospf-1-area-0.0.0.0]network 192.168.10.0 0.0.0.255
HRP_M[FW1-ospf-1-area-0.0.0.0]network 1.1.1.0 0.0.0.7

  FW2 ：（配置OSPF）

HRP_S[FW2]ospf 1 router-id 2.2.2.2
HRP_S[FW2-ospf-1] area 0.0.0.0
HRP_S[FW2-ospf-1-area-0.0.0.0]  network 1.1.1.0 0.0.0.7
HRP_S[FW2-ospf-1-area-0.0.0.0]  network 192.168.10.0 0.0.0.255

ISP：（配置OSPF）

[ISP]inter g1/0
[ISP-GigabitEthernet1/0]ip address  1.1.1.4 29
[ISP]inter g2/0
[ISP-GigabitEthernet2/0]ip address 39.156.66.1 28
​
[ISP]ospf 1 router-id 3.3.3.3
[ISP-ospf-1]area  0
[ISP-ospf-1-area-0.0.0.0]network 39.156.66.0 0.0.0.15
[ISP-ospf-1-area-0.0.0.0]network 1.1.1.0 0.0.0.7

PC （测试访问外部的服务器 ）

VPCS> ping 39.156.66.14
​
84 bytes from 39.156.66.14 icmp_seq=1 ttl=62 time=15.340 ms
84 bytes from 39.156.66.14 icmp_seq=2 ttl=62 time=24.609 ms
84 bytes from 39.156.66.14 icmp_seq=3 ttl=62 time=16.693 ms
84 bytes from 39.156.66.14 icmp_seq=4 ttl=62 time=16.757 ms
84 bytes from 39.156.66.14 icmp_seq=5 ttl=62 time=15.839 ms

 查看会话表

 FW1：

HRP_M[FW1]display firewall session table          
2025-03-16 03:34:32.710 
 Current Total Sessions : 8
 icmp  VPN: public --> public  192.168.10.10:49990 --> 39.156.66.14:2048

 FW2：（因为是备墙，所以会同步主墙的会话表，所以带有remote字样）

HRP_S[FW2]display firewall session table  
2025-03-16 03:34:26.770 
 Current Total Sessions : 5
 icmp  VPN: public --> public  Remote 192.168.10.10:49990 --> 39.156.66.14:2048

防火墙双机热备加IPsec负载分担
earthtoearth的博客
07-12 1919
实验目的：在PC1和PC2直接建立防火墙ipsecvpn双机热备及负载分担，其中需要解决IPsecVPN如何通过tunnel口对应总部问题、IPsecVPN反向路由动态注入问题、IPsecVPN总部ping通分支vpn单独建立问题。（二）在R1、FW1和FW2上启用ospf并宣告路由10.1.0.0，在防火墙上设置静态路由指向R2并联通R2上的loopback地址，并下发缺省路由default-route-advertise。（三）在防火墙上启动防火墙双机热备并配置为负荷分担方式。1、FW1和FW2配置。
防火墙的双机热备
qixusiyu的博客
07-16 1433
因为VRRP彼此是独立的，所以，一个VRRP组进行切换不会直接导致其他组同步切换，在防火墙的双机热备场景下，上下有两个VRRP组，需要同步切换，使用传统的上行链路监控，比较复杂，所以，设计了VGMP协议，来对VRRP组进行统一的切换管理。hello报文周期就是保活报文的发送周期，默认是1S，可以修改，但是，需要两边同时修改，否则可能导致对接不上hello报文周期就是保活报文的发送周期，默认是1S，可以修改，但是，需要两边同时修改，否则可能导致对接不上。3，快速备份 ： 该备份方式仅针对负载分担的场景。
防火墙技术基础篇：eNSP配置防火墙主备备份的双机热备
qq_39241682的博客
05-29 6768
防火墙双机热备（High Availability, HA）技术是网络安全中的一个关键组成部分，通过它，我们可以确保网络环境的高可靠性和高可用性。下面我们一起来了解防火墙双机热备的基本原理、主要工作模式。
【华为ensp防火墙】双机热备+NAT+外网访问内部服务器（http、ftp）
A1111_599的博客
12-11 3940
1、路由、透明、混合2、区域：Local、Trust、Dmz、Untrust3、安全策略，区域操作，IP条件、操作、配置文件（根据现今情况，另外的安全产品替代）NAT策略：源地址、目的地址、双向静态、动态、NAPT、Easy-IPNat Server。
防火墙双机热备---VRRP,VGMP,HRP(超详细)
最新发布
ii10086的博客
02-25 2227
防火墙双机热备---VRRP,VGMP,HRP
【华为】华为防火墙双机热备
2301_77161465的博客
05-01 1766
本篇文章主要是讲华为防火墙双机热备，主要是以CLI界面来配置，双机热备用到了VRRP（网关冗余技术）、VMGP和HRP（华为心跳协议），里面有详细的配置，可以放心食用呀
防火墙--双机热备
banliyaoguai的博客
07-17 2627
当有接口坏掉了，接口成了过度状态，VGMP就会发现自己管理的VRRP组出现故障，VGMP就会降低自己的优先级，VGMP默认优先级（这里优先级和VRRP中不同）主设备组为65001，备份设备组65000。B和D也无法建立邻居关系，然后如果主设备坏了，是不是就要切换到备用设备上，然后B和D要重新建立邻居关系。再创建一个VGMP组，两台设备互为两个VGMP组的主设备，然后这种情况可能会两条链路都会走，如下图上去的时候走1这边，下去的时候走二这边，所以是不是两台设备需要快速同步状态信息，不然业务就会收到影响。
防火墙之双机热备篇
qq_67758645的博客
07-17 2495
因为VRRP彼此是独立的，所以，一个VRRP组进行切换不会其他组同步切换，而在防火墙的双机热备场景下，上下有俩个VRRP组，需要同步切换，使用传统的上行链路监控，比肩复杂，因为要监控所有的接口。冷备的概念：仅工作一台设备，备份一台设备，备份设备仅同步配置，并不工作，只有主设备出现故障时，再由管理员替换工作，冷备可能会造成较长时间的业务中断。每个组里面有两个状态，一个active状态，一个standby状态。5，FW2的VGMP组状态发生变化，则组中的VRRP组的状态同步发生变化，都从standby切。
防火墙————双机热备
xiazhui1的博客
11-17 1857
FW部署在网络出口位置时，如果发生故障会影响到整网业务。为提升网络的可靠性，需要部署两台FW并组成双机热备。双机热备需要两台硬件和软件配置均相同的FW。两台FW之间通过一条独立的链路连接，这条链路通常被称之为“心跳线”。两台FW通过心跳线了解对端的健康状况，向对端备份配置和表项（如会话表、IPSec SA等）。当一台FW出现故障时，业务流量能平滑地切换到另一台设备上处理，使业务不中断。
防火墙双机热备
dz804355207的博客
06-14 1289
两台FW之间通过一条独立的链路连接(可以跨交换机、路由器或者直连)传递双端FW的状态、配置等信息，不传递业务报文，称之为心跳线，心跳线两端端口被称为心跳端口。对象： 包括邮件地址组、签名、安全配置文件（反病毒、入侵防御系统、URL过滤、文件过滤、内容过滤、应用行为控制、邮件过滤等）会话表、SeverMap表、IP监控表、分片缓存表、GTP表、黑名单、PAT方式端口映射表、NO-PAT方式地址映射表。策略： 包括安全策略、NAT策略、带宽管理、认证策略、攻击防范、黑名单、ASPF等。
华为防火墙双机热备案例(基于eNSP的防火墙实验)
weixin_50571749的博客
06-21 2449
华为防火墙双机热备的详细配置案例
防火墙 双机热备配置(主备备份和负载分担模式)
one piece的博客
02-01 2236
1. 根据网段划分配置IP地址和安全区域。
防火墙双机热备，基于VRRP实现负载分担双机热备
2301_77023501的博客
11-17 1130
同理，路由器R1到内部网络路由的下一跳地址被设置成了VRRP备份组1的虚拟IP地址10.0.1.1，路由器R1发往内部网络的流量会被引导到FW_A上处理。FW_A响应的ARP报文会刷新交换机的MAC地址表和主机的ARP缓存表，使这部分主机发往外部网络的流量都被引导到FW_A上处理。同理，如果FW_B发生故障，FW_A无故障，内外部网络之间的流量会被引导到FW_A上转发。同时，FW_A和FW_B的VGMP组状态也发生了变化。所示，FW_A的上行业务接口故障，FW_A的VRRP备份组1和2的状态变为。
【防火墙】防火墙双机热备
2301_76769041的博客
08-30 6307
双机热备需要两台硬件和软件配置均相同的华为防火墙，两台华为防火墙之间通过一条独立的链路连接，这条链路通常被称之为“心跳线”，两台华为防火墙通过心跳线了解对端的健康状况，向对端备份配置和表项（如会话表、IPSec SA等），当一台防火墙出现故障时，业务流量能平滑地切换到另一台设备上处理，使业务不中断。
防御保护--防火墙的双机热备
m0_72210904的博客
01-29 1807
一开始，我们FW1将 两个VRRP组都拉入VGMP_ACTIVE组中，因为ACTIVE组的状态时active，所以，里面 两个vrrp组的状态也是active（VGMP组的状态决定了VRRP组的状态），FW2同理。原主设备在接受到对方的应答报文之 后，因为将其VGMP组状态切换，所以，同时将其内部的VRRP组状态由原来的active状 态切换为standby状态（注意，故障接口依旧保持init的状态。但是，因为这里启用VGMP在，则VRRP 切换状态将由VGMP接管，VRRP的机制名存实亡。
华三防火墙双机热备负载分担
01-10
### H3C 防火墙双机热备与负载分担配置指南 #### 双机热备 (HSRP/VRID) 为了实现H3C防火墙之间的高可用性和冗余，通常采用Hot Standby Router Protocol (HSRP) 或 Virtual Router Redundancy Protocol (VRRP)[^1]。这些协议允许两台或多台路由器形成一个虚拟路由器组，其中一台作为活动路由器处理流量，另一台则处于待命状态准备接管。 对于H3C设备而言，设置过程涉及以下几个方面： - **定义接口IP地址**：确保每台防火墙上都有相同的虚拟网关IP地址。 ```bash system-view interface GigabitEthernet 0/0/1 ip address 192.168.1.1 255.255.255.0 ``` - **创建HRSP实例并指定优先级** ```bash hrsp enable hrsp group 1 timer delay up-time 1 down-time 1 priority 100 preempt ip 192.168.1.254 active exit ``` 上述命令将在GigabitEthernet端口上启用HSRP服务，并设定该节点为活跃成员；如果发生故障，则会自动切换到备用单元继续提供服务。 #### 负载均衡策略 当涉及到多条链路间的流量分配时，可以利用静态路由、动态路由或是更复杂的基于应用层的调度算法来达成目的。具体来说，在H3C防火墙上可以通过如下方式实施简单的源NAT加权轮询机制来进行基本形式上的负载平衡操作: - **配置SNAT规则** ```bash nat server protocol tcp global current-interface www inside 172.16.10.1 www acl number 2000 rule permit source any destination 172.16.10.1 0.0.0.0 nat outbound 2000 ``` 此段脚本指定了内部服务器对外映射的具体参数以及相应的访问控制列表ACL用于匹配符合条件的数据包执行转换动作. 另外一种更为灵活的方法是通过Smart Policy功能模块完成更加精细粒度下的业务导向型分流决策流程设计. ---
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

YancyYue

您是我的“大可爱”！

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值