华为_防火墙双机热备

                                                            防火墙双机热备

双机热备的工作原理：

故障隔离，简单的讲，高可用(热备)就是一种利用故障点转移的方式来保障业务连续性。其业务的恢复不是在原服务器，而是在备用服务器。

华为的双机热备是通过部署两台或多台防火墙实现热备以及负载均衡的，两台防火墙相互协同工作，犹如一个更大的防火墙。

双机热备示意图：

路由器与防火墙双机热备的区别：

区别就在于，防火墙在流量传输时，需要创建一个对话表，路由器则不需要，当防火墙出现故障时，需要从新与备用防火墙建立对话表，而路由器只要主瘫痪了，备用路由器马上顶上去。

华为防火墙的双机热备包含以下两种模式：

热备模式：同一时间，只有一台防火墙设备转发数据包，其他备用防火墙一律不做转发，但是会同步会话表以及Server-map表。

负载均衡模式：同一时间，多台防火墙同时转发数据，但每个防火墙又作为其他防火墙的备用设备，即每个防火墙即是主防火墙也是备份防火墙，防火墙之间也会同步会话表和Server-map表。

这两种模式的示意图：

 

VRRP协议：

在双机热备技术中，即是选举出了主设备和备设备。默认情况下流量也通过主用设备转发，而备用设备处于备份状态。但是客户机通常通过指定网关地址来指定网络出口，当客户机将网关指向主用设备时，流量自然从主用设备转发，但是当主设备故障时，客户机并不会将网关自动指向备用设备。所以即使双机热备本身可以切换，客户机依然无法正常通信。这时候就需要VRRP协议技术了。

VRRP概述：

VRRP(Virtual Router Redundancy Protocol虚拟路由冗余协议)由IETF小组进行维护，用来解决网关单点故障的路由协议。

VRRP的基础概念如下：

VRRP路由器：运行VPPR协议的路由器。

虚拟路由器：由一个主用路由器和若干个备用路由器组成的一个备份组，一个组队客户端提供一个虚拟网关。

VRID：Virtual Router ID，虚拟路由标识，用来唯一的标识一个备份组。

虚拟IP地址：提供给客户端的网关IP地址，也是分配给虚拟路由器的IP地址，在所有的VRRP中配置，只有主用设备提供该IP地址的ARP响应。

虚拟MAC地址：基于VRID生成的用于VRRP的MAC地址，在客户端通过ARP协议解析网关的MAC地址。

IP地址拥有者： 若将虚拟路由器的IP地址配置为某个成员物理接口的真实IP地址，那么该成员被称为IP地址拥有者。

优先级：用于标识VRRP路由器的优先级，并通过每个VRRP路由器的优先级选举主用设备以及备用设备。

抢占模式：在抢占模式下，如果备用路由器的优先级高于备份组中的其他路由器，将立即成为新的主用路由器。

非抢占模式：在非抢占模式下，如果备用路由器的优先级高于备份组中的其他路由器，则不会立即成为主用路由器，直到下一次公平选举为止。

VRRP的工作原理和之前的HSRP协议基本相同，VRRP是共有协议，而HSRP是Cisco的专有协议。

VRRP中虚拟路由器的IP地址可以是成员路由器的IP地址，而HSRP不可以

VRRP的虚拟MAC地址前缀是00-00-5e-00-01-VRID，而HSRP的虚拟MAC地址前缀是00-00-0c-07-AC-组号。

VRRP的状态机有三个，而HSRP的状态机包含六个(初始，学习，监听，发言，备份，活动)

VRRP只有一种报文，VRRP通告报文由主用路由器发出，用于检测虚拟路由器的参数，同时用于主路由器的选举。而HSRP有三种报文(holle、政变、辞职)

VRRP不支持接口跟踪，而HSRP支持。

VRRP的角色：

工作在VRRP模式下的路由器有两种角色，分别是Master路由器和Backup路由器

Master路由器：正常情况下由Master路由器负责ARP响应及提供数据包的转发，并且默认每隔1s向其他路由器通告Master路由器当前的状态信息。

Backup路由器：是Master路由器的备用路由器，正常情况下不提供数据包的转发，当Master路由器发生故障时，Backup路由器将成为新的Master路由器。接替转发数据包的工作，从而保证业务不中断。

VRRP的状态机：

VRRP定义了三种工作状态，分别如下：

Initialize状态：刚配置了VRRP时的初始状态，该状态下，不对VRRP报文做任何处理。

Master状态：当前设备选举成为主用路由器时的一种状态。该状态下会转发业务报文，并周期性地发送VRRP通告报文，处于该状态的路由器还将响应客户机发起的ARP请求，并将虚拟MAC地址回送客户机。

Backup状态：当前设备选举成为备用路由器时的一种状态。该状态不转发任何业务报文。

状态机选举过程：

VRRP的工作原理：

VRRP选举Master路由器和Backup路由器的流程

首先选举优先级高的设备为Master路由器，如果优先级相同，再比较接口的IP地址大小，IP地址大的设备将成为Master路由器。而其他的路由器将成为Backup路由器。VRRP中的默认接口优先级值为100，取值范围为0~255。其中优先级0是系统保留，优先级255保留给IP地址拥有者，IP地址拥有者不需要配置优先级，优先级默认就是255。

VRRP的工作原理：

实例演示：双及热备的配置。

 

配置命令：

FW1的配置命令：

配置安全策略：

配置VRRP备份组：

设置心跳接口：

启动双机热备：

FW2的配置命令：

配置安全策略：

配置VRRP备份组：

配置心跳接口：

启用双机热备：