防火墙————主备备份双机热备

一、双机热备简介

FW部署在网络出口位置时，如果发生故障会影响到整网业务。为提升网络的可靠性，需要部署两台FW并组成双机热备。

双机热备需要两台硬件和软件配置均相同的FW。两台FW之间通过一条独立的链路连接，这条链路通常被称之为“心跳线”。两台FW通过心跳线了解对端的健康状况，向对端备份配置和表项（如会话表、IPSec SA等）。当一台FW出现故障时，业务流量能平滑地切换到另一台设备上处理，使业务不中断。

图1 双机热备典型组网图

二、双机热备的系统要求

介绍双机热备功能对设备硬件、软件以及License的要求。

硬件要求

组成双机热备的两台FW的型号必须相同，安装的单板类型、数量以及单板安装的位置必须相同。

两台FW的硬盘配置可以不同。例如，一台FW安装硬盘，另一台FW不安装硬盘，不会影响双机热备的运行。但未安装硬盘的FW日志存储量将远低于安装了硬盘的FW，而且部分日志和报表功能不可用。

软件要求

组成双机热备的两台FW的系统软件版本、系统补丁版本、动态加载的组件包、特征库版本、HASH选择CPU模式以及HASH因子都必须相同。

实际上，在系统软件版本升级或回退的过程中，两台FW可以暂时运行不同版本的系统软件。例如，一台设备的软件版本为V500R001C50，另一台设备的软件版本为V500R001C30SPC300。

License要求

双机热备功能自身不需要License。但对于其他需要License的功能，如IPS、反病毒等功能，组成双机热备的两台FW需要分别申请和加载License，两台FW之间不能共享License。两台FW的License控制项种类、资源数量、升级服务到期时间都要相同。

三、基于VRRP实现主备备份双机热备

如果要两台FW工作在主备备份模式，需要将一台FW的所有VRRP备份组状态都配置为active，另一台FW的所有VRRP备份组状态都配置为standby。

如图1所示，FW_A的所有VRRP备份组状态都被配置成active，FW_B的所有VRRP备份组状态都被配置成standby。正常情况下，两台FW的VGMP组状态都是load-balance，VRRP备份组的运行状态由配置决定。因此，FW_A的VRRP备份组运行状态都是Master，FW_B的VRRP备份组运行状态都是Backup。

由于内部网络中主机的网关都被设置成了VRRP备份组2的虚拟IP地址10.0.0.1，这些主机在访问外部网络时，会广播一个ARP请求报文，请求10.0.0.1的MAC地址。FW_A的VRRP备份组1状态为Master，会响应内网主机的ARP请求。FW_B的VRRP备份组1状态为Backup，不会响应内网主机的ARP请求。FW_A响应的ARP报文会刷新交换机的MAC地址表和主机的ARP缓存表，使主机发往外部网络的流量都被引导到FW_A上处理。

同理，路由器R1和R2到内部网络路由的下一跳地址被设置成了VRRP备份组1的虚拟IP地址10.0.1.1。外部网络发往内部网络的流量也被引导到FW_A上处理。

图1 基于VRRP实现主备备份（双机状态正常）

实验拓扑图

 

配置FW各个接口的IP地址，配置相同FW2的配置略 

将FW的各个接口加入相应的安全区域，FW2配置相同

trust
 priority is 85
 interface of the zone is (2):
    GigabitEthernet0/0/0
    GigabitEthernet1/0/3
#
untrust
 priority is 5
 interface of the zone is (1):
    GigabitEthernet1/0/1
#
dmz
 priority is 50
 interface of the zone is (1):
    GigabitEthernet1/0/6
#

在FW1上接口1/0/1配置VRRP备份组1，并设置其状态为Active，在1/0/3接口配置VRRP备份组2，并设置状态为Active

interface GigabitEthernet1/0/3
 undo shutdown
 ip address 10.3.0.1 255.255.255.0
 vrrp vrid 2 virtual-ip 10.3.0.3 active
#
interface GigabitEthernet1/0/1
 undo shutdown
 ip address 10.2.0.1 255.255.255.0
 vrrp vrid 1 virtual-ip 1.1.1.1 255.255.255.0 active
#

 在FW2上接口1/0/1配置VRRP备份组1，并设置其状态为Standby，在1/0/3接口配置VRRP备份组2，并设置状态为Standby

interface GigabitEthernet1/0/1
 undo shutdown
 ip address 10.2.0.2 255.255.255.0
 vrrp vrid 1 virtual-ip 1.1.1.1 255.255.255.0 standby
#
interface GigabitEthernet1/0/3
 undo shutdown
 ip address 10.3.0.2 255.255.255.0
 vrrp vrid 2 virtual-ip 10.3.0.3 standby
#

在FW1和FW2上指定心跳口并启用双机热备功能

[FW1] hrp interface GigabitEthernet 1/0/6 remote 10.10.0.2 
[FW1] hrp enable 
[FW2] hrp interface GigabitEthernet 1/0/6 remote 10.10.0.1 
[FW2] hrp enable 

 在FW1上配置安全策略。双机热备状态成功建立后，FW1的安全策略配置会自动备份到FW2上

security-policy
 rule name tr>un
  source-zone trust
  destination-zone untrust
  source-address 10.3.0.0 mask 255.255.255.0
  action permit
#

 在FW1上配置NAT策略。双机热备状态成功建立后，FW1的NAT策略配置会自动备份到FW2上

nat-policy
 rule name nat1
  source-zone trust
  destination-zone untrust
  source-address 10.3.0.0 mask 255.255.0.0
  action source-nat address-group group1
#

实验结果 

在Trust区域的pc1ping通untrust区域的R1路由器

 在FW2上查看会话表，可以看出FW2上存在带有Remote标记的会话，表示配置双机热备功能后，会话备份成功。