华为防火墙主备模式工作原理

 如上图：

主墙  1/0/2 1/0/1 这2个端口都是监控的，命令如下
 hrp track interface GigabitEthernet1/0/1
 hrp track interface GigabitEthernet1/0/2
也就是说 当  1/0/2 1/0/1 这2个端口，任何一个down，主墙会将业务流量全部迁移到备墙来转发，此时主备墙角色会调换

如果接口不监控，则不会影响主备墙的角色
如上图 1/0/3 此接口没有监控，如果down，主墙则不会有任何反应，主墙还是主墙，备墙还是备墙

对于监控接口的设备来说，才会起到主备防火墙的功能。
对于未监控接口的设备来说，相当于是两台独立的防火墙。

主备模式下备墙是否会转发数据

1/0/3 接口没有监控

正常情况下，PC1访问 R5 的流量是如图红线的走向

当主墙1/0/3接口 down 之后，

 此时主墙没有任何变化，主墙还是主墙

这时PC1访问 10.5.5.5的流量走向，如图

此现象可以说明，主备模式下备墙是可以转发数据的

以上是接口不监控的情况

如图：此时主备墙的 1/0/1 与 1/0/2 接口是监控状态

正常情况下PC3访问 R5 的流量走势，要经过 R2->R1->FW1(主墙)->R3->R5

 

R2与R1之间断开连接，PC3没有到主墙的链路

此时测试 PC3访问R5 流量走势如下图，经过备墙R2->FW2(备墙)->R4->R5

此现象说明备墙不管是监控接口下的流量或者不是监控接口下的流量，只要流量经过备墙也是可以转发的

主备模式下的防火墙，备墙不是为宕机状态，如果当数据没有到达主防火墙的链路的时候，备机还是可以转发数据的，或者非要走备机也是可以的

对于防火墙不监控接口下的设备，防火墙起不到主备的作用，只能将其当做两台独立的防火墙来使用。

如果不监控接口，主备防火墙的好处就是，主墙配置策略，可以同步到备墙

备墙不可以配置策略