防御保护---防火墙的可靠性

文章目录

• 目录

  文章目录

  一.防火墙可靠性概述

   VGMP协议

   HRP协议

   防火墙的备份

  练习。

---

一.防火墙可靠性概述

      上图中，主防火墙失效后，流量可通过备防火墙进行正常访问；然而防火墙与路由器不同，路由器的冗余备份（VRRP）可通过协议（动态/静态路由）等手段使主/备路由器的配置相同（路由表）即可；防火墙存在基于会话表进行的状态检测；由于会话表是通过流量命中防火墙策略（NAT/安全策略等）自动生成且存在老化时间；当主防火墙未失效前，流量不会经过备防火墙进行访问从而触发会话表自动生成，即使主防火墙失效切换为备防火墙，流量经过备防火墙时也会因为无法生成对应的会话表而无法正常访问。

---

双机热备技术概述

        双机热备技术是一种高可用性的系统架构设计方法，通过在两台服务器之间实时同步数据和状态，实现在主服务器发生故障时快速切换到备份服务器，从而保证系统的连续可用性和数据的完整性。

        双机热备技术的核心思想是将主服务器和备份服务器组成一个高可用性集群，主服务器负责处理实际的业务请求，备份服务器处于待命状态，与主服务器保持数据和状态的同步。一旦主服务器发生故障，备份服务器会立即接管主服务器的工作，继续提供服务，用户无感知。

双机热备技术具有以下特点：

1. 实时数据同步：主服务器和备份服务器之间通过网络实时同步数据和状态，保证数据的一致性。

2. 快速切换：当主服务器发生故障时，备份服务器能够快速接管主服务器的工作，通常在几秒钟内完成切换。

3. 高可用性：通过双机热备技术，系统可以实现高可用性，即在主服务器发生故障时，无需手动介入，系统可以自动切换到备份服务器，从而避免服务中断。

4. 数据保护：双机热备技术可以保护数据的完整性，即使主服务器发生故障，备份服务器上的数据仍然是最新的。

5. 系统可扩展性：通过添加更多的备份服务器，可以进一步提高系统的可用性和容错性。

点击此处了解：虚拟路由冗余协议--VRRP概述

---

 VGMP协议

VGMP协议概述

     双机热备（VRRP）中的VGMP技术是一种用于实现高可用性的网络技术。VGMP主要用于双机热备模式下的虚拟网关，用于实现网络设备的冗余备份和无缝切换。

    在双机热备模式中，有两台设备（通常是路由器或交换机）同时工作，其中一台设备为主设备（Active设备），另一台为备用设备，主设备负责处理网络流量，备用设备（StandBy设备）则处于备份状态，监视主设备运行状态。

    VGMP技术通过在主设备和备设备之间建立通信通道，实时监视主设备的状态。主设备会定期发送心跳包给备设备，备设备接收到心跳包后会判断主设备是否正常运行。如果备设备连续若干次接收不到心跳包，认为主设备故障，然后自动将备设备切换为主设备，确保网络的连续性和可用性。

---

VGMP协议工作机制

1. 每台防火墙默认存在两个VGMP组（Active组-默认优先级65001;StandBy组-默认优先级65000）；假设 FW1 是VRRP组1,2的主（Active设备），FW2是VRRP组1,2的备（StandBy设备）；注：VRRP组的状态与VGMP组的状态默认一致
2.  FW1默认将VRRP组1,2划入Active组，FW2默认将VRRP组1,2默认划入StandBy组；当FW1中的一个VRRP组发生故障其状态由Active变为initialize时，FW1会将该VRRP组优先级减少2（65001-2=64999）并向FW2发送包含优先级为64999的VGMP报文；
3.  FW2接收到FW1发送的VGMP报文后从默认将VRRP组1，2划入StandBy组改为划入Active组并发送同意请求报文给FW1；FW1收到应答报文后将VRRP组1，2划入StandBy组；故障接口依然保持initialize状态；
4. 备设备FW2通过接口向上下联链路发送免费ARP报文，切换交换机的MAC地址表，流量将被切换到原被设备上。

• 主备形成场景

• 主备模式下故障切换场景 

---

 HRP协议

HRP协议概述

       HRP协议负责将主防火墙的关键配置和会话表状态等数据向备份防火墙同步。主设备会不断地发送心跳包给备份设备，以检测备份设备的状态。当主设备发生故障或者被手动禁用时，备份设备会接管主设备的功能，并继续处理流量。这个过程是无感知的，对网络中的其他设备和用户来说是透明的。

心跳线概述

   两台FW之间通过一条独立的链路连接，进行信息同步；发送VGMP报文等---此链路称为心跳线；心跳线需要配置IP地址但不受路由策略限制；HRP协议主设备可通过心跳线向备设备周期性（1s）发送心跳报文用于检测被设备状态；若三个周期内未收到主设备心跳报文则判定原设备故障，备设备自动切换为主设备。

---

---

 防火墙的备份

  备用防火墙的备份信息

防火墙的备份方式 

设备接口恢复抢占模式

当设备接口恢复后首先进入StandBy状态（状态1）；优先级由64999变为65001并进入S to A 状态（状态2）通过心跳线发送给VGMP请求报文；FW2收到后发送FW1优先级高于自身优先级则VGMP确认报文并将VRRP组从Active组划入StandBy组。FW1同理。

 防火墙负载分担

 二.双机热备实验配置

• 配置接口IP 

FW1配置

 

FW2 配置相同 

---

•  双机热备配置

配置位置：系统-->高可靠性-->双机热备-->配置

FW1

 配置VRRP

 注：与接口IP处于不同网段需要添加子网掩码

FW2

 注：主备防火墙完成相关设置后显示如下界面，可使用一致性检测是否同步

---

•  配置安全策略

FW1

 注;NAT策略仅可在主防火墙配置

•  抓包测试连通性

三.负载分担实验配置

 

• 配置负载分担

FW1配置

 FW2配置

 

 

---

练习。