智能选路（四种）防火墙的可靠性（VGMP HRP）

防火墙的智能选路

就近选路 我们希望访问电信就走电信  而不绕路

策略路由  PBR 

传统的路由，仅基于数据包中的目标IP地址查找路由表。仅关心其目标，所以，在面对一些特殊的需求时，传统路由存在短板，缺乏灵活性，使用场景比较单一。

策略路由也是一种策略，策略主要先匹配流量，再执行动作。策略路由可以从多维度去匹配流量，之后，执行的动作就是定义其转发的出接口和下一跳。策略路由末尾隐含一条不做策略的规则，及所有没有匹配上策略路由的流量，都将匹配传统路由进行转发。

如果存在多条策略路由，自上而下，逐一匹配

DSCP 优先级

动作

转发 可以定义其转发方式

转发其他虚拟路由 VRF

不做策略路由

监控

没开启，当策略是单出口时，如果这里写的下一跳和出接口不可达，则防火墙直接丢弃，

开启后，即使下一跳何处接口不可达，则匹配不到策略路由，则可以匹配传统路由

智能选路

宽带负载分担

基于链路带宽的负载分担会按照多条链路的带宽比例来分配流量。并且，如果配置的过

载保护阈值，则一条链路达到过载保护阈值之后，除了已经创建会话表的流量依然可以

从该接口通过外，该接口将不再参与智能选路，需要新建会话表的流量将从其余链路中

按照比例转发。

质量负载分担

丢包率 --- FW会发送若干个探测报文（默认5个），将统计丢包的个数。丢包率等于回

应报文个数除以探测报文个数。丢包率是最重要的评判依据。

时延 --- 应答报文接受时间减去探测报文发送时间。FW会发送若干个探测报文，取平均

时延作为结果进行评判

延时抖动 --- 两次探测报文时延差值的绝对值。FW会发送若干个探测报文，取两两延时

抖动的平均值

权重负载分担

权重是由网络管理员针对每一条链路手工分配的，分配之后，将按照权重比例分配流

量。

优先级

优先级也是由网络管理员针对每一条链路手工分配的。

执行逻辑：

1，接口没有配置过载保护：

优先使用优先级最高的链路转发流量，其他链路不工作。直到优先级最高的链路故

障，则优先级次高的链路开始转发流量。其余链路依旧不工作。

2，接口配置了过载保护：

优先使用优先级最高的链路转发流量，其他链路不工作；如果最高的链路达到或超

过保护阈值，则优先级次高的链路开始工作。

DNS透明代理检测

DNS透明代理的前提是开启就近选路 （两个配合才是最高效的）

防火墙的可靠性

 防火墙和路由器在进行可靠性备份时，路由器备份可能只需要同步路由信息即可，但是防火墙基于状态检测，是否可以创建会话表，所以防火墙需要使用到双机热备技术（字面意思，就是双机）

双击 目前防火墙只支持两个设备进行双机热备

热备 两台设备同时运行，在一台设备出现故障的情况下，另一台设备可以立即替代原设备

Vrrp 技术 （主 master 备 backup ）

虚拟路由冗余协议 实的不行，来虚的

Initialize 在vrrp中，如果一个接口故障后，则这个接口就会改变状态（过渡状态）

Vrrp 备份组是相互独立的，当一个设备出现多个vrrp组时，之间的状态无法同步

VGMP VRRP Group Management protocol （主 Active 备 standby）

华为的私有协议 这个协议可以将一台设备上的vrrp组看成一个组，之后同意进行管理，统一切换协议。以来保证vrrp组状态一致

接口故障切换场景

在防火墙的双机热备中，我们不论VRRP组还是VGMP组，主备的叫法发生了变化，主

统一被称为Active，备被称为Standby

先口述

1、主设备接口发生故障，则由原来的active切换到init状态

2、自己的优先级-2

3、告诉备设备自己目前的优先级

4、备设备收到之后跟自己的优先级进行比较

5，将自己的standby接口切换成active接口

6、并回复原来的主设备，自己已经成为主

7，对上下同时发送免费arp

 

1，假设主设备的下联口发生故障，则这个接口的vrrp状态将由原来的Active状态切换为 initialize状态。（这种情况下，按照VRRP自己的机制，主设备将无法发送周期保活报文， 则备设备在超过超时时间后将切换为主的状态。但是，因为这里启用VGMP在，则VRRP

切换状态将由VGMP接管，VRRP的机制名存实亡。）

 

2，VGMP组发现VRRP组出现变化，将降低自身的优先级。（说明，在VGMP组中，也 存在优先级的概念。一开始，每台设备中都会存在两个VGMP组，一个叫做Active组， 另一个叫做Standby组。Active组初始的默认优先级为65001，Standby组初始的默认 优先级为65000（不同版本的防火墙，这个优先级的定义不同）。一开始，我们FW1将两个VRRP组都拉入VGMP_ACTIVE组中，因为ACTIVE组的状态时active，所以，里面 两个vrrp组的状态也是active（VGMP组的状态决定了VRRP组的状态），FW2同理。当一个VRRP组的状态变为initialize，则VGMP则的优先级-2。）之后，原主设备会发送一个VGMP请求报文给对端，里面包含了自己当前变化后的优先级

 

3，当原备设备接收到请求报文后，看到里面的优先级时64999，而低于自身的65000，则会将自己的VGMP_STANDBY组的状态由原来的standby切换为active。同时，发送一个同意请求报文给原主设备。

 

4，原主设备接收到对方的应答报文之后，将会把自身VGMP_ACTIVE组的状态由原来的ACTIVE切换为STANDBY。

 

5，在原备设备发送应答报文的同时，因为其VGMP组的状态切换，所以，其内部的VRRP组状态也将由原来的standby转换为avtive。原主设备在接受到对方的应答报文之 后，因为将其VGMP组状态切换，所以，同时将其内部的VRRP组状态由原来的active状 态切换为standby状态（注意，故障接口依旧保持init的状态。）

 

6，原备设备会通过接口向上下联链路发送免费ARP报文，切换交换机的MAC地址表。 流量将被切换到原被设备上。

 

目前只是将链路切换过来，并没有将会话表和和策略同步过来

 

HRP  Huawei Redundancy Protocol 华为冗余协议

华为私有协议 备份配置信息和状态信息

 

HRP备份必须要有个核心，就是两台设备之间专门得有一条备份线（心跳线）

心跳线的接口必须是三层接口，需要配置对应的ip地址 这条备份线路不受路由策略控制（直连不需，非直连需要）

 

HRP协议其实也算是MGRP协议的一部分

HRP 心跳线，也会检测心跳报文，用于检测对端是否是工作状态，这个周期是1s，只有主设备发送，备设备监听，三个周期内，没有侦听到，则认为主以挂，认定自己就是主

VGMP 报文也是靠心跳线转发的

配置信息 --- 策略，对象，网络里面的一些配置都属于配置信息。（接口IP地址，路由

之类的不同步，因为这些是需要在双机组建之前配置的）

状态信息 --- 会话表，server-map，黑名单，白名单。。。

 

第一种备份方式 自动备份

默认开启自动备份，可以实时备份配置信息，但是，不同步状态信息。

一般是在主设备上状态生成后（10s左右），开始同步

第二种备份方式 手动备份

有管理员手工触发，可以立即同步状态信息和配置信息

第三种备份方式 快速备份

该模式仅使用在负载分担的工作方式下。

因为负载分担的场景下，两台设备都需要处于工作状态，为了避免因为状态信息同步不

及时，导致业务流量中断，所以，该场景下，默认开启快速备份。

快速备份可以实时同步状态信息。但是，该方式不同步配置信息。