华为ensp中USG6000V防火墙双机热备VRRP+HRP原理及配置

作者主页：点击！

ENSP专栏：点击！

创作时间：2024年5月6日20点26分

华为防火墙双机热备是一种高可用性解决方案，可以将两台防火墙设备组成一个双机热备组，实现主备切换。当主用防火墙出现故障时，备用防火墙可以自动切换为新的主用防火墙，确保网络流量不中断。

华为防火墙双机热备的工作原理

华为防火墙双机热备的工作原理是通过两台防火墙设备之间定期发送心跳报文来判断对方的状态。如果主用防火墙出现故障，备用防火墙会收到主用防火墙停止发送心跳报文的消息，然后会自动切换为新的主用防火墙。

两种工作模式

  • 主备模式：在主备模式下，只有一台防火墙处于工作状态，另一台防火墙处于备用状态。当主用防火墙出现故障时，备用防火墙会自动切换为新的主用防火墙。
  • 负载分担模式：在负载分担模式下，两台防火墙都处于工作状态，可以同时处理网络流量。当其中一台防火墙出现故障时，另一台防火墙会承担全部的网络流量。

VRRP协议

VRRP（虚拟路由器冗余协议）是一种用于实现路由器冗余的协议，它可以将多台路由器组成一个虚拟路由器组，并选取其中一台路由器作为主用路由器，其他路由器作为备用路由器。当主用路由器出现故障时，备用路由器会自动切换为新的主用路由器，确保网络流量不中断。

VRRP在双机热备中的应用主要体现在以下几个方面：

  • 虚拟化路由器地址：VRRP可以为双机热备组分配一个虚拟的路由器地址，该地址可以被所有连接到双机热备组的设备使用。这样可以简化网络配置，并提高网络的可扩展性。
  • 负载分担：VRRP支持负载分担模式，在负载分担模式下，所有路由器都可以同时转发流量，从而提高网络的吞吐量。
  • 故障转移：VRRP可以快速检测主路由器的故障，并自动将备用路由器切换为新的主路由器。这样可以确保网络流量不中断，并提高网络的可用性。

华为防火墙双机热备

VRRP现以下功能

  • 虚拟化路由器地址：华为防火墙双机热备组通常会分配一个虚拟的路由器地址，该地址可以被所有连接到双机热备组的设备使用。这样可以简化网络配置，并提高网络的可扩展性。
  • 故障转移：VRRP可以快速检测主防火墙的故障，并自动将备用防火墙切换为新的主防火墙。这样可以确保网络流量不中断，并提高网络的可用性。

VRRP的角色

主路由器（Master）

备份路由器（Backup）

VRRP的状态

初始状态（Initialize）：当接口Up之后，如果其VRRP优先级为255 (这种情况发生在该接口的实际IP地址是VRRP虚拟IP地址的情况)，那么接口的VRRP状态将由Initialize切换到Master，而如果接口的VRRP优先级不为255，则进入Backup状态。

活动状态（Master）：处于活动状态的路由器是VRRP虚拟路由器组中的主路由器，负责转发数据包。主路由器会定期发送VRRP通告报文来宣告自己的状态，并更新路由表。

备份状态（Backup）：处于备份状态的路由器是VRRP虚拟路由器组中的备用路由器。备份路由器会定期接收主路由器的VRRP通告报文，如果主路由器出现故障，备份路由器会经过一段时间的等待时间后切换为新的主路由器。

VRRP 状态机之间的转换规则

当前状态事件下一个状态
初始状态收到 VRRP 通告报文备份状态
备份状态收到更高优先级的 VRRP 通告报文初始状态
备份状态定时器超时初始状态
备份状态检测到故障初始状态
活动状态收到更高优先级的 VRRP 通告报文备份状态
活动状态定时器超时备份状态
活动状态检测到故障初始状态

VGMP组管理协议

VGMP（VRRP组管理协议）代表VRRP组管理协议。这是华为开发的专有协议，专门用于其防火墙，用于管理冗余连接和实现高可用性。

  • 在华为防火墙上管理多个VRRP（虚拟路由器冗余协议）组。
  • 确保设备上所有 VRRP 组的故障转移行为一致。
  • 为在 VRRP 组中的主状态和备份状态之间切换提供集中控制。

 工作原理：

  • VGMP在华为防火墙上运行的多个VRRP组之间建立通信通道。
  • 它协调这些组之间的故障转移过程，确保在主防火墙遇到问题时平稳过渡。
  • VGMP 依赖于分配给每个 VRRP 组的优先级。发生故障时，优先级最高的组将接管主服务器。

使用场景

  • VGMP 在需要最大程度地减少网络停机时间的高可用性环境中特别有用。
  • 它通常用于数据中心、企业网络和其他关键基础设施部署。


HRP(华为冗余协议)

是华为开发的专有协议，旨在为其防火墙和路由器提供高可用性和冗余。它支持主用和备用设备之间的无缝故障切换，确保在主设备发生故障时不间断的网络连接和数据转发。

HRP的主要特点

  • 快速故障转移：HRP 采用快速故障转移机制，通常在 50 毫秒内，最大限度地减少设备转换期间的网络停机时间。

  • 负载均衡：HRP 支持跨活动 HRP 设备进行负载均衡，分配网络流量并增强整体网络性能。

  • 安全性：HRP 包含身份验证和加密等安全措施，以防止未经授权的访问和数据操纵。

优点

  • 高可用性：HRP即使在设备故障的情况下也能确保网络持续运行，最大限度地减少停机时间并保持业务连续性。

  • 负载均衡：HRP 在活动设备之间分配网络流量，提高网络性能并减少拥塞。

  • 可扩展性：HRP 支持扩展 HRP 组以容纳更多设备，从而在不影响冗余的情况下实现网络增长。

什么是HRP

HRRP 代表 华为快速环协议。它是华为开发的专有协议，用于在以太网中提供冗余。HRRP主要用于华为设备，如路由器、交换机等，用于建立备用路由器组，实现容错。在此组中，一台路由器充当活动路由器，处理路由职责，而其他路由器则保持待机模式，准备在活动路由器发生故障时接管。

VRRP（虚拟路由器冗余协议）和 HSRP（热备用路由器协议）是以太网中更广泛采用的冗余标准。HRRP是华为专有协议，而VRRP和HSRP则受到更广泛的供应商和设备的支持。

HRRP的主要特点：

  1. 快速故障转移：HRRP 提供快速故障转移，通常在活动路由器发生故障后的 100 毫秒内，从而最大限度地减少网络停机时间。

  2. 负载均衡：HRRP可以在群组中的活动路由器之间分配流量，实现负载均衡，提高网络性能。

  3. 简单性：与其他冗余协议（如 VRRP 或 HSRP）相比，HRRP 配置相对简单。

实验拓扑

AR1的基本配置

<Huawei>
<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]un in en
Info: Information center is disabled.
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 10.1.1.1 24
[Huawei-GigabitEthernet0/0/0]int lo0
[Huawei-LoopBack0]ip add 100.0.0.100 24
[Huawei-LoopBack0]q//默认路由接收1.0网段的数据
[Huawei]ip route-s 192.168.1.0 24 10.1.1.100
[Huawei]

FW1配置

基本的IP地址配置

[USG6000V1]un in en
Info: Saving log files...
Info: Information center is disabled.
[USG6000V1]int g1/0/0
[USG6000V1-GigabitEthernet1/0/0]ip add 10.1.1.2 24
[USG6000V1-GigabitEthernet1/0/0]int g1/0/2
[USG6000V1-GigabitEthernet1/0/2]ip add 172.16.1.1 24
[USG6000V1-GigabitEthernet1/0/2]int g1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip add 192.168.1.1 24
[USG6000V1-GigabitEthernet1/0/1]q//配置默认路由所有流量流出
[USG6000V1]ip route-static 0.0.0.0 0 10.1.1.1

在华为USG6000V1防火墙上配置防火墙区域。

[USG6000V1]firewall zone trust 
[USG6000V1-zone-trust]add int g1/0/1[USG6000V1]firewall zone untrust 
[USG6000V1-zone-untrust]add int g1/0/0
[USG6000V1-zone-untrust]q[USG6000V1]firewall zone  dmz 
[USG6000V1-zone-dmz]add int g1/0/2
[USG6000V1-zone-dmz]q

[USG6000V1-zone-trust]add int g1/0/1 - 此命令将接口 g1/0/1 添加到“信任”区域。信任区域中的接口通常连接到您的内部网络，该网络被视为受信任的。

[USG6000V1-zone-untrust]add int g1/0/0 - 此命令将接口 g1/0/0 添加到“不信任”区域。不信任区域通常用于外部连接，例如被视为不受信任的 Internet。

您提供的命令在华为USG6000V1防火墙上配置安全策略规则，以允许从“信任”区域到“不信任”区域的流量。


[USG6000V1]security-policy
[USG6000V1-policy-security]rule name trust_untrust
[USG6000V1-policy-security-rule-trust_untrust]source-zone trust 
[USG6000V1-policy-security-rule-trust_untrust]destination-zone untrust 
[USG6000V1-policy-security-rule-trust_untrust]action permit 
[USG6000V1-policy-security-rule-trust_untrust]q[USG6000V1-policy-security]rule name heat
[USG6000V1-policy-security-rule-heat]source-zone local 
[USG6000V1-policy-security-rule-heat]destination-zone dmz 
[USG6000V1-policy-security-rule-heat]action permit 
[USG6000V1-policy-security-rule-heat]q

让我们分解每个步骤：

进入安全策略配置：

  • [USG6000V1]security-policy - 该命令在USG6000V1防火墙上进入安全策略配置模式。此模式允许您定义控制流量如何流经防火墙的规则。
  • [USG6000V1-policy-security-rule-trust_untrust] - 此行表示您现在正在配置名为“trust_untrust”的特定规则。防火墙规则通常具有描述性名称来标识其用途。、
  • [USG6000V1-policy-security-rule-trust_untrust]source-zone trust - 此命令指定规则的源区域。源自“信任”区域的流量将按此规则进行评估。“信任”区域通常表示您的内部网络，该网络被视为受信任网络。
  • [USG6000V1-policy-security-rule-trust_untrust]destination-zone untrust - 此命令定义规则的目标区域。发往“不信任”区域的流量将按此规则进行评估。“不信任”区域通常表示外部网络，如互联网，它被认为是不受信任的。
  • [USG6000V1-policy-security-rule-trust_untrust]action permit - 此命令设置规则的操作。在这种情况下， permit 允许与指定条件（源区域和目标区域）匹配的流量流经防火墙。
  • 第二组的命名以及信任是同类~~

[USG6000V1]int g1/0/0
[USG6000V1-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 10.1.1.100 active 
[USG6000V1-GigabitEthernet1/0/0]q
[USG6000V1]int g1/0/1
[USG6000V1-GigabitEthernet1/0/1]vrrp vrid 2 virtual-ip 192.168.1.100 active 
[USG6000V1-GigabitEthernet1/0/1]q//HRP配置指向对端建立
[USG6000V1]hrp int g1/0/2 remote 172.16.1.2
  • vrrp ：在接口上启用VRRP功能。
  • vrid 1 ：将 VRRP 组 ID 设置为 1。此 ID 标识参与 VRRP 以实现冗余的一组路由器。
  • virtual-ip 10.1.1.100 ：定义 VRRP 组使用的虚拟 IP 地址。客户端设备会将此 IP 视为其默认网关。
  • active ：将接口的 VRRP 状态设置为活动状态。这意味着该接口将尝试成为VRRP组中的主路由器，并宣传其处理路由任务的可用性。
  • 第二组同类~~~

FW2配置

基本的IP地址和路由配置

[USG6000V1]un in en
Info: Saving log files...
Info: Information center is disabled.
[USG6000V1]int g1/0/0
[USG6000V1-GigabitEthernet1/0/0]ip add 10.1.1.3 24
[USG6000V1-GigabitEthernet1/0/0]int g1/0/2
[USG6000V1-GigabitEthernet1/0/2]ip add 172.16.1.2 24
[USG6000V1-GigabitEthernet1/0/2]q
[USG6000V1]int g1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip add 192.168.1.2 24
[USG6000V1-GigabitEthernet1/0/1]q[USG6000V1]ip route-static 0.0.0.0 0 10.1.1.1

创建不同的区域

[USG6000V1]firewall zone trust 
[USG6000V1-zone-trust]add interface g1/0/1[USG6000V1]firewall zone  untrust 
[USG6000V1-zone-untrust]add interface g1/0/0[USG6000V1]firewall zone  dmz 
[USG6000V1-zone-dmz]add int g1/0/2

这次就不详细介绍了 原理同上~~~

防火墙上配置安全策略规则

[USG6000V1]security-policy
[USG6000V1-policy-security]rule name trust_untr	
[USG6000V1-policy-security-rule-trust_untr]source-zone trust  
[USG6000V1-policy-security-rule-trust_untr]destination-zone untrust 
[USG6000V1-policy-security-rule-trust_untr]action permit 
[USG6000V1-policy-security-rule-trust_untr]q[USG6000V1-policy-security]rule name heat
[USG6000V1-policy-security-rule-heat]source-zone local 
[USG6000V1-policy-security-rule-heat]destination-zone dmz 
[USG6000V1-policy-security-rule-heat]action permit 
[USG6000V1-policy-security-rule-heat]q
[USG6000V1]int g1/0/0
[USG6000V1-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 10.1.1.100 standby 
[USG6000V1-GigabitEthernet1/0/0]int g1/0/1	
[USG6000V1-GigabitEthernet1/0/1]vrrp vrid 2 virtual-ip 192.168.1.100 standby 
[USG6000V1-GigabitEthernet1/0/1]q//指向对端双机热备中，心跳线
[USG6000V1]hrp int g1/0/2 remote  172.16.1.1

测试

FW1的信息

活跃

进入

关闭接口

这是再次查看

变为了备用的状态信息 (检测链路故障 启用另外一条链路传输数据)

FW2的信息

从standby变为active

PC机器在访问的时候也出现丢失一个包的现象并没有造成多大的数据丢失

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/320460.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

零基础入门学习Python第二阶01生成式（推导式），数据结构

零基础入门学习Python第二阶01生成式（推导式），数据结构

Python语言进阶 重要知识点 生成式&#xff08;推导式&#xff09;的用法 prices {AAPL: 191.88,GOOG: 1186.96,IBM: 149.24,ORCL: 48.44,ACN: 166.89,FB: 208.09,SYMC: 21.29}# 用股票价格大于100元的股票构造一个新的字典prices2 {key: value for key, value in prices.i…
阅读更多...
【强训笔记】day7

【强训笔记】day7

NO.1 思路&#xff1a;双指针模拟&#xff0c;begin表示最长数字字符串最后一个字符&#xff0c;而len表示数字字符串的长度&#xff0c;i用来遍历&#xff0c;如果为数字&#xff0c;那么定义j变量继续遍历&#xff0c;直到不为数字&#xff0c;i-j如果大于len&#xff0c;就…
阅读更多...
优惠券样式案例

优惠券样式案例

优惠券样式案例 <template><view class"box"><view class"boxItem"><img src"../../../static/come.png" alt"" class"img"/><span class"icon">&#xffe5;</span><s…
阅读更多...
cmake进阶：文件操作

cmake进阶：文件操作

一. 简介 前面几篇文章学习了 cmake的文件操作&#xff0c;写文件&#xff0c;读文件。文章如下&#xff1a; cmake进阶&#xff1a;文件操作之写文件-CSDN博客 cmake进阶&#xff1a;文件操作之读文件-CSDN博客 本文继续学习文件操作。主要学习 文件重命名&#xff0c;删…
阅读更多...
Flink窗口理论到实践 | 大数据技术

Flink窗口理论到实践 | 大数据技术

⭐简单说两句⭐ ✨ 正在努力的小叮当~ &#x1f496; 超级爱分享&#xff0c;分享各种有趣干货&#xff01; &#x1f469;‍&#x1f4bb; 提供&#xff1a;模拟面试 | 简历诊断 | 独家简历模板 &#x1f308; 感谢关注&#xff0c;关注了你就是我的超级粉丝啦&#xff01; &a…
阅读更多...
vue3中标签的ref属性

vue3中标签的ref属性

组合API-ref属性 在vue2.x中&#xff0c;可以通过给元素添加refxxx属性&#xff0c;然后在代码中通过this.$refs.xxx获取到对应的元素 然而在vue3中时没有$refs这个东西的&#xff0c;因此vue3中通过ref属性获取元素就不能按照vue2的方式来获取。 目标&#xff1a;掌握使用re…
阅读更多...
unittest_parameterized批量测试测试用例

unittest_parameterized批量测试测试用例

import unittest from parameterized import parameterizeddef add(x, y):return xy"""问题&#xff1a;如果有三组数据需要测试&#xff1f;[(1,1,2), (1,2,3), (0,3,3)] """def get_data():return [(1, 2, 3), (3, 0, 3), (2, 1, 3)]# 定义测试…
阅读更多...
win10安装DHCP服务--用于2台机器之间搭建简易网络来进入目标机器修改配置

win10安装DHCP服务--用于2台机器之间搭建简易网络来进入目标机器修改配置

前言&#xff1a; 客户多了&#xff0c;往往会出现各种突发情况。 比如一个客户现场没有DHCP&#xff0c;没有显示器&#xff0c;键盘。 你只有一台笔记本的情况下要配置目标机器的网络。要如何配置&#xff1f;&#xff1f; 这时候就可以使用这篇博客提供的方式了。 Windows…
阅读更多...
低功耗UPF设计的经典案列分享

低功耗UPF设计的经典案列分享

案例1 分享个例子&#xff0c;景芯A72低功耗设计&#xff0c;DBG domain的isolation为何用VDDS_maia_noncpu供电而不是TOP的VDD&#xff1f; 答&#xff1a;因为dbg的上一级是noncpu&#xff0c;noncpu下面分成dbg和两个tbnk。 案例2 景芯A72的低功耗&#xff0c;请问&#…
阅读更多...
LangChain-RAG学习之 文档加载器

LangChain-RAG学习之 文档加载器

目录 一、实现原理 二、文档加载器的选择 (一).PDF 加载本地文件 可能需要的环境配置 (二).CSV 1、使用每个文档一行的 CSV 数据加载 CSVLoader 2、自定义 csv 解析和加载 &#xff08;csv_args 3、指定用于 标识文档来源的 列&#xff08;source_column (三)、文件目…
阅读更多...
【数据可视化-02】Seaborn图形实战宝典

【数据可视化-02】Seaborn图形实战宝典

Seaborn介绍 Seaborn是一个基于Python的数据可视化库&#xff0c;它建立在matplotlib的基础之上&#xff0c;为统计数据的可视化提供了高级接口。Seaborn通过简洁美观的默认样式和绘图类型&#xff0c;使数据可视化变得更加简单和直观。它特别适用于那些想要创建具有吸引力且信…
阅读更多...
（数据分析方法）长期趋势分析

（数据分析方法）长期趋势分析

目录 一、定义 二、目的 三、方法 1、移动平均法 (1)、简单移动平均法 (2)、加权移动平均法 (3)、指数平滑法 2、最小二乘法 3、线性回归 1、数据预处理 2、观察数据分布建立假设模型 3、定义损失函数 4、批量梯度下降 5、优化 4、LSTM 时序分析 5、特征工程 一…
阅读更多...
重写muduo之EPollPoller

重写muduo之EPollPoller

1、EPollPoller.h EPollPoller的主要实现&#xff1a;作为poller的派生类&#xff0c;把基类给派生类保留的这些纯虚函数的接口实现出来。 override表示在派生类里面&#xff0c;这些方法是覆盖方法。必须由编译器来保证在基类里面一定有这些函数的接口的声明。在派生类要重写…
阅读更多...
动态库和静态库

动态库和静态库

动态库与静态库 库是写好的现有的&#xff0c;成熟的&#xff0c;可以复用的代码。现实中每个程序都要依赖很多基础的底层库&#xff0c;不可能每个人的代码都从零开始&#xff0c;因此库的存在意义非同寻常。 本质上来说库是一种可执行代码的二进制形式&#xff0c;可以被操作…
阅读更多...
灌溉机器人 状压dp

灌溉机器人 状压dp

灌溉机器人 题目描述 农田灌溉是一项十分费体力的农活&#xff0c;特别是大型的农田。小明想为农民伯伯们减轻农作负担&#xff0c;最近在研究一款高科技——灌溉机器人。它可以在远程电脑控制下&#xff0c;给农田里的作物进行灌溉。 现在有一片 N 行 M 列的农田。农田的土…
阅读更多...
[Java EE] 多线程(八):CAS问题与JUC包

[Java EE] 多线程(八):CAS问题与JUC包

&#x1f338;个人主页:https://blog.csdn.net/2301_80050796?spm1000.2115.3001.5343 &#x1f3f5;️热门专栏:&#x1f355; Collection与数据结构 (90平均质量分)https://blog.csdn.net/2301_80050796/category_12621348.html?spm1001.2014.3001.5482 &#x1f9c0;Java …
阅读更多...
8个细节决定你的活动策划推广成败-华媒舍

8个细节决定你的活动策划推广成败-华媒舍

活动策划和推广对于一个成功的活动来说至关重要。许多因素会影响活动的成功与否&#xff0c;以下我将介绍8个关键细节&#xff0c;这些细节能够决定活动的策划与推广的成败。 1. 目标定位 活动策划必须明确目标。你需要确定你的活动是为了推广何种产品或服务&#xff0c;吸引什…
阅读更多...
简述前后端分离架构案例

简述前后端分离架构案例

Hello , 这里是小恒不会java 。今晚1点写写关于RESTful接口的使用案例&#xff0c;本文会通过django原生js前后端分离的案例简单讲解。本文带你认识一下简化版的前后端分离架构 代码 本文案例代码在GitHub上 https://github.com/lmliheng/fontend前后端分离 先说说什么是前后…
阅读更多...
rust将json字符串直接转为map对象或者hashmap对象

rust将json字符串直接转为map对象或者hashmap对象

有些时候我们还真的不清楚返回的json数据里面到底有哪些数据&#xff0c;数据类型是什么等&#xff0c;这个时候就可以使用批处理的方式将json字符串转为一个对象&#xff0c;然后通过这个对象的get方法来获取json里面的数据。 pub async fn test_json(&self) {let json_st…
阅读更多...
『项目整理』易CAR通项目说明文档-我的第一款APP

『项目整理』易CAR通项目说明文档-我的第一款APP

『项目整理』易CAR通项目说明文档-我的第一款APP 项目介绍功能介绍技术栈介绍实现效果如何运行备注 项目介绍 易CAR通项目是我的第一个Android项目。是一款结合了AR技术的模仿懂车帝的看车软件。因为是初学&#xff0c;所示实现的效果差强人意&#xff0c;很多的功能界面只实现…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023