huawei USG6001v1学习---防火墙高可靠性(双机热备)

1.什么是双机热备

如图:当左图的防火墙发生故障时,整个系统都会收到影响,而右图即使有防火墙发生故障,但是还有一台防火墙做备份,相对于只有一台防火墙,要可靠些。

由于防火墙上不仅需要同步配置信息,还需要同步状态信息(会话表等),所以,防火墙不能
像路由器那样单纯的靠动态协议来实现切换,需要用到双机热备技术
1,双机 --- 目前双机热备技术仅支持两台防火墙的互备
2,热备 --- 两台设备共同运行,在一台设备出现故障的情况下,另一台设备可以立即替
代原设备
(也存在冷备的概念,仅工作一台设备,备份一台设备,备份设备仅同步配置,并
不工作,只有在主设备出现故障时,再由管理员替换工作,冷备可能会造成较长时
间的业务中断)

配置信息 --- (接口IP地址,路由信息)--- hrp不能同步基本的接口和路由信息,安全策略,
NAT策略....

状态信息:

2.VGMP

在网络学习中,做互为备份时,会使用一种技术---VRRP技术(虚拟路由器冗余技术),让一台设备为主,一台设备为备,当发生故障时,设备的主备角色发生变化,继续替出现故障的设备工作,从而实现备份的效果

但是,vrrp组是相互独立的,一台设备不只有一组VRRP组,发生故障时,其他组不会同步切换,就会发生丢包等情况,当需要同步切换,使用传统的上行链路监控,比较复杂

所以这里可以使用一种协议------VGMP ( vrrp Group Management Protocol )--- HUAWI的私有协议,来对VRRP组进行统一的切换管理

3.HRP心跳线

HRP --- 华为冗余协议 --- 华为的私有协议 --- 可以同步防火墙上的状态和配置信息

HRP在进行双机热备时,还有一个要求,两台热备设备之间,必须拥有一条链路,用来同步信
,并且,这条链路必须是三层链路 --- 这条链路在进行数据传递时,不受安全策略的影
响。(注意,如果心跳线是直连的,则不受安全策略的影响,但是,如果中间有中继设备,即
非直连场景,则需要配置安全策略) --- 心跳线 ---- VGMP协议发送的报文也是通过心跳线
传输的。
HRP会周期性的发送心跳报文,只有主设备会发送,周期时间默认为1S,如果备设备在三个周
期时间内默认3S没有收到对方的心跳报文,则认定对方出现故障将以自生为主


HRP三种备份方式
1,自动备份 --- 自动备份配置和状态信息,但是,配置信息可以立即自动备份,状态信息无
法立即备份,只能通过短暂的延迟之后,在进行备份(10S左右)


2,手工备份 --- 由网络管理员手工触发,可以立即同步配置和状态信息


3,快速备份 --- 该备份方式仅针对负载分担的场景。
无法同步配置信息,仅能同步状态信息,并且可以立即同步状态信息。

4.主备场景

1.主备场景

1,FW1被设定为主设备 --- FW1中的VGMP的active组被激活,并且将上下两个VRRP组拉
入到VGMP的active组中,并且状态都是ACTIVE
2,FE2被设定为备设备 --- FW2中的VGMP的standby组被激活,并且将上下两个vrrp组拉入
到VGMP的standby组中,并且状态都是standby
(VGMP组中存在优先级的概念,ACTIVE组的默认优先级是65001,standby组默认的优先
级为65000,并且,在VGMP中,所有的主都被成为active,所有的备成为standby)
3,主设备上下两个VRRP组的接口将发送免费ARP报文

2.主备故障切换场景 --- 接口故障

FW1接口故障的切换场景
1,假设FW1下的接口发生故障,接口的状态会从active状态切换到initialize状态(接口故障
的一个过渡状态)
2,VGMP组感知到接口状态变化,会降低自身的优先级(每一个接口发生故障,则优先级会
降低2。)
 分区 2024.7.5防御保护 的第 2 页 
3,FW1会向FW2发送一个状态变更的请求报文,这个报文中会包含降低后的优先级;
4,FW2收到请求报文后,发现自身的优先级高于对方的优先级,则会将自己standby组的状
态从standby切换为active状态
5,FW2的VGMP组状态发生变化,则组中的VRRP组的状态同步发生变化,都从standby切
换到active
6,FW2回复FW1应答报文,表示允许切换
7,FW1收到应答报文后,将自身ACTIVE组的状态从ACTIVE切换到standby状态,并且,其
中的VRRP组同步将状态切换到standby,不包含故障接口的状态,依旧是initialize状态
8,FW2上下两个VRRP组将发送免费ARP报文,让交换机切换MAC地址表,之后所有的流量
将从FW2通过。

3.主备故障切换场景 --- 整机故障


整机故障可以通过保活机制来进行切换,主设备发生故障,则不会发送HRP心跳报文,
备设备在超时时间内没有接收到主设备的保活包,则将会进行状态切换;


4.原主设备故障恢复的场景


根据有没有开启抢占分为两种不同的情况
1,如果没有开启抢占 --- 原主设备继续以备设备的身份工作
2,如果开启了抢占

原设备的状态由initialize状态变为standby状态,并通过HRP向另一台设备发起VGMP请求报文表示切换状态。

另一台设备收到后,由于优先级比原设备低,由active状态变为standby状态,并通过HRP向另一台设备发起VGMP请求报文表示允许切换。

原设备接受到后,状态由standby状态变为active状态,此时原设备就变为主设备,另一台设备变为备设备

5.负载分担场景

1.负载分担场景

两台防火墙互为对方的主备设备,同时工作。

每台防火墙都有一组active组和standby组,在这一台划为active组的,在另一台就化为standby组,同时两台防火墙都免费发送ARP报文

2.负载分担接口故障场景

如图:当左边防火墙下面连接交换机的接口发生故障时,该接口的两个备份组的状态都变为initalize,同时该防火墙通过心跳线给左边防火墙告知发生故障,右边防火墙的的所有接口VRRP组的状态都变为active,此时由右边防火墙向交换机发免费的arp报文,交换机就发送数据就只走右边的防火墙。

6.双机设备配置

如果勾选了主动抢占,则代表开启抢占模式,默认开启60S抢占延迟
(抢占延时主要是为了应对一些接口可能出现反复震荡的情况)

hello报文周期就是保活报文的发送周期,默认是1S,可以修改,但是,需要两边同时修改,
否则可能导致对接不上

注意:1,虚拟mac地址勾选可以让切换对用户全程无感知
 2,如果虚拟IP地址和接口IP地址不再同一个网段,则配置时必须配置子网掩码

HRP手工备份的位置

负载分担

6.其他部署模式下的双机热备

1,双机热备直路部署 - 上下二层

这种情况下建议使用主备模式不要使用负载分担模式

1.stp不允许,会堵一条路2.两条路都会放行同一个vlan,会出现环路情况

2,双机热备直路部署 - 上下三层

负载分担下,两个防火墙都工作,都转发,如果是主备工作模式,有一条路是断开的,这样会导致没有工作的链路上的路由器的邻居关系无法建立不起来,工作会被中断。

这种模式建议采用负载分担,并建议使用主备模式

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.rhkb.cn/news/380577.html

如若内容造成侵权/违法违规/事实不符,请联系长河编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

【Linux】—— 进程的基本概念、PCB、fork

🌏博客主页:PH_modest的博客主页 🚩当前专栏:Linux跬步积累 💌其他专栏: 🔴 每日一题 🟡 C跬步积累 🟢 C语言跬步积累 🌈座右铭:广积粮&#xff0…

【海外云手机】静态住宅IP集成解决方案

航海大背景下,企业和个人用户对于网络隐私、稳定性以及跨国业务的需求日益增加。静态住宅IP与海外云手机的结合,提供了一种创新的集成解决方案,能够有效应对这些需求。 本篇文章分为三个部分;静态住宅优势、云手机优势、集成解决…

Spring框架、03SpringMVC

SpringMVC SpringMVC入门 介绍 SpringMVC将Servlet一些通用功能进行了抽取和封装,使用它之后,代码主要有两部分组成: 前端控制器:由SpringMVC提供,主要负责接收参数和返回数据 处理器:由程序员编写&…

好用的接口文档swagger

本篇文章记录怎么给我们的后端项目整一个好用的接口文档 这个东西好像叫什么swagger吧 1. 依赖引入&#xff1a; <dependency><groupId>com.github.xiaoymin</groupId><artifactId>knife4j-spring-boot-starter</artifactId></dependency>…

AWE2025正式启动,AWE×AI 推动智慧生活的普及

7月18日&#xff0c;2025年中国家电及消费电子博览会&#xff08;AWE2025&#xff09;正式启动。主办方宣布&#xff0c;AWE2025的主题为“AI科技、AI生活”&#xff0c;展会将于2025年3月20-23日在上海新国际博览中心举办。 作为全球三大家电和消费电子领域展会之一&#xff…

图书馆定位导航:RFID、VR与AR技术在图书馆中的应用

图书馆作为知识的宝库&#xff0c;承载着无数求知者的梦想与期待&#xff0c;随着馆藏书籍数量的激增与图书馆布局的日益复杂&#xff0c;读者在寻找目标书籍往往有许多困难。传统的索引号查询方式虽能提供书籍的基本信息&#xff0c;但在寻找过程中&#xff0c;因不熟悉图书馆…

各种复现,保证质量

代码复现&#xff0c;文献复现&#xff0c;模型复现&#xff0c;算法复现&#xff0c;文章复现&#xff0c;创新点等等&#xff0c;python/matlab/c语言/r语言均可&#xff0c;保证高质量完成&#xff0c;可接急单&#xff0c;不成功不收费&#xff01;

Apache Bigtop 正式支持 openEuler,共创大数据新生态

近日&#xff0c;在OpenAtom openEuler&#xff08;简称"openEuler"&#xff09;BigData SIG与Linaro的携手努力下&#xff0c;** Apache Bigtop于2024年7月8日发布的3.3.0新版本中&#xff0c;正式宣告了对openEuler操作系统的原生支持**。这一里程碑式的进展&#…

人话讲下如何用github actions编译flutter应用-以编译windows为例

actions的脚本看下这个&#xff0c;有简单的说明&#xff0c;有关于编译个平台的脚本&#xff1a; https://github.com/marketplace/actions/flutter-action 打开你要编译的项目点击那个Actions按钮 然后随便点击一个脚本会跳到白框编辑界面 打开上文提到的网址随便抄下就ok …

前端-04-VScode敲击键盘有键入音效,怎么关闭

目录 问题解决办法 问题 今天正在VScode敲项目&#xff0c;不知道是按了什么快捷键还是什么的&#xff0c;敲击键盘有声音&#xff0c;超级烦人啊&#xff01;&#xff01;于是我上网查了一下&#xff0c;应该是开启了VScode的键入音效&#xff0c;下面是关闭键入音效的办法。…

Go语言并发编程-Goroutine调度

goroutine 概念 在Go中&#xff0c;每个并发执行的单元称为goroutine。通常称为Go协程。 go 关键字启动goroutine go中使用关键字 go 即可启动新的goroutine。 示例代码&#xff1a; 两个函数分别输出奇数和偶数。采用常规调用顺序执行&#xff0c;和采用go并发调用&…

Win10环境将Docker部署到非系统盘

Win10环境将Docker部署到非系统盘 目录 Win10环境将Docker部署到非系统盘 一、Docker官网客户端Docker Hub下载 二、windows环境的安装 三、正确的迁移步骤 3.1、确保你的系统分区至少3G的剩余空间&#xff1b; 3.2、默认方式安装Docker hub&#xff1b; 3.3、打开Dock…

HTML开发笔记:1.环境、标签和属性、CSS语法

一、环境与新建 在VSCODE里&#xff0c;加载插件&#xff1a;“open in browser” 然后新建一个文件夹&#xff0c;再在VSCODE中打开该文件夹&#xff0c;在右上角图标新建文档&#xff0c;一定要是加.html&#xff0c;不要忘了文件后缀 复制任意一个代码比如&#xff1a; <…

OCC 创建点线面体

目录 一、利用封装已有算法实现 1、盒子建模算法封装 2、可视化 二、利用OCC 点线面实现 1、实现过程 2、实现一个面 3、拉伸面生成体 4、旋转面生成体 三、总结 一、利用封装已有算法实现 1、盒子建模算法封装 BRepPrimAPI_MakeBox box(2, 2, 2); 2、可视化 void VTK…

基于上下文自适应可变长熵编码 CAVLC 原理详细分析

CAVLC CAVLC&#xff0c;即Context-Adaptive Variable-Length Coding&#xff0c;是一种用于视频压缩的编码技术&#xff0c;特别是在MPEG-4视频编码标准中使用。CAVLC是一种熵编码方法&#xff0c;它根据视频数据的上下文信息来调整编码长度&#xff0c;以实现更有效的数据压…

Stable Diffusion 使用详解(2)---- 图生图原理,操作,参数

目录 背景 图生图原理 基本原理 1. 扩散模型基础 2. 图生图的具体流程 3. 关键技术点 4. 应用实例 CLIP 原理 1.基本概念 2. 核心特点 使用及参数 随机种子 重绘幅度 图像宽高 采样方法 1. DPM&#xff08;扩散概率模型&#xff09; 2. SDE&#xff08;随机微…

5G mmWave PAAM 开发平台

Avnet-Fujikura-AMD 5G 毫米波相控阵天线模块开发平台 Avnet 和 Fujikura 为毫米波频段创建了一个领先的 5G FR2 相控阵天线开发平台。该平台使开发人员能够使用 AMD Xilinx 的 Zynq UltraScale™ RFSoC Gen3 和 Fujikura 的 FutureAcess™ 相控阵天线模块 (PAAM) 快速创建和制…

【项目】星辰博客介绍

目录 一、项目背景 二、项目功能 1. 登录功能&#xff1a; 2. 列表页面&#xff1a; 3. 详情页面&#xff1a; 4. 写博客&#xff1a; 三、技术实现 四、功能页面展示 1. 用户登录 2. 博客列表页 3. 博客编辑更新页 4.博客发表页 5. 博客详情页 五.系统亮点 1.强…

【AI学习】LLaMA 系列模型的进化(二)

在前面LLaMA 系列模型的进化&#xff08;一&#xff09;中学习了LLama模型的总体进化发展&#xff0c;再来看看其中涉及的一些重要技术。 PreLayerNorm Layer Norm有Pre-LN和Post-LN两种。Layer Normalization&#xff08;LN&#xff09;在Transformer架构中的放置位置对模型…

使用Java -jar运行就jar包时报异常:org.yaml.snakeyaml.error.YAMLException异常

Java运行就 .jar包时出现的 YAMLException 异常 我在本地环境测试时&#xff0c;使用 java -jar 命令运行 Java 可执行 .jar 包时&#xff0c;遇到了 org.yaml.snakeyaml.error.YAMLException: java.nio.charset.MalformedInputException: Input length 1 异常&#xff1b;这…