Hillstone高可靠组网解决方案技术白皮书.pdfVIP

Hillstone 防火墙高可靠组网解决方案技术白皮书 关键词：防火墙，单点故障，状态检测，HA 组，AP，AA ，Hillstone 集群管理协议 （HCMP）， 冗余，负载均衡，非HA 组，非对称流量，企业网络出口，数据中心网络出口，宽带运营商 网络出口，状态机。 摘要：本文介绍了防火墙高可靠组网的需求背景、Hillstone 防火墙高可靠组网的工作模式、 典型应用场景，以及Hillstone 集群管理协议的基本原理。 缩略语： 缩略语 英文全称 中文解释 HA High Availability 高可靠性 AP Active-Passive 主备 AA Active-Active 双主 HCMP Hillstone Cluster Management Protocol Hillstone 集群管理协议 NAT Network Address Translation 网络地址转换 OSPF Open Shortest Path First 开放式最短路径优先 CE Customer Edge (Router) 客户边缘路由器 PE Provider Edge (Router) 运营商边缘路由器 VRRP Virtual Router Redundancy Protocol 虚拟路由器冗余协议 RDO Runtime Dynamic Object 运行时动态对象 IPSec Internet Protocol Security 互联网协议安全 SSL Secure Sockets Layer 安全套接层 L2TP Layer 2 Tunneling Protocol 第二层隧道协议 VPN Virtual Private Network 虚拟专用网络 DNS Domain Name System 域名系统 ARP Address Resolution Protocol 地址解析协议 PKI Public Key Infrastructure 公钥基础设施 DHCP Dynamic Host Configuration Protocol 动态主机配置协议 MAC Media Access Control 媒体接入控制 1. 防火墙高可靠组网需求背景 1.1 单机部署存在单点故障风险 单台设备部署时，无论其可靠性多高，系统都必然要承受因单点故障而导致网络业 务中断的风险。而且防火墙部署在互联网出口一般主要使用网络地址转换（NAT）功能， 因此无法使用Bypass 来解决单点故障问题。 图1 单机部署存在单点故障风险 1.2 双活单机部署依然存在问题 单点故障问题可通过双活架构组网来规避，但防火墙（不同于路由器）是状态检测 设备，如果仍是单机模式，会出现单台设备故障时，靠路由冗余切换过来的TCP 流无法 通过状态检测而中断。即使防火墙关闭状态检测，对于需要网络地址转换的流，由于没 有 NAT 会话同步，也会导致中断。而且流的后续报文可能缺少应用特征关键字，导致 流量应用类型识别不准。 图2 双活单机部署依然存在问题 2. Hillstone 防火墙高可靠组网工作模式 Hillstone