DS002005 Eudemon防火墙双机热备业务特性与配置 ISSUE1.00.pptVIP

1 Eudemon防火墙双机热备业务特性与配置 前 言 在当前的组网应用中，用户对网络可靠性的要求越来越高，特别是在一些重要的业务入口或接入点上需要保证网络不间断运行。对于这些重要的业务点如何保证网络的不间断传输，成为必须解决的一个问题。 本胶片主要介绍防火墙的双机热备份技术原理和具体配置，以及在Eudemon防火墙上实施双机热备份技术所使用的三种协议：VRRP、VGMP和HRP。 培训目标 学完本课程后，您应该能： 掌握双机热备份技术原理 掌握VRRP，VGMP和HRP之间的关系 掌握典型双机组网的配置 目 录 双机热备份技术原理 Eudemon防火墙双机热备份技术 双机热备份技术在防火墙上的实施 目 录 双机热备份技术原理 Eudemon防火墙双机热备份技术 双机热备份技术在防火墙上的实施 双机热备份技术产生的原因 传统的组网方式如图所示，内部用户和外部用户的交互报文全部通过Firewall A。如果Firewall A出现故障，内部网络中所有以Firewall A作为默认网关的主机与外部网络之间的通讯将中断，通讯可靠性无法保证。 传统双机热备份技术在路由器上的部署 VRRP在多区域防火墙组网中的应用 VRRP在防火墙应用中存在的缺陷 目 录 双机热备份技术原理 Eudemon防火墙双机热备份技术 双机热备份技术在防火墙上的实施 防火墙双机热备份技术分析 防火墙双击热备份技术的特征 控制主、备用防火墙的切换 状态信息的备份 Eudemon防火墙的双机热备份技术依靠三种协议实现： VRRP（虚拟路由冗余协议） VGMP（VRRP组管理协议） HRP（华为冗余协议） 防火墙主备状态切换的实现 VGMP（VRRP Group Management Protocol) 提出VRRP管理组的概念，将同一台防火墙上的多个VRRP备份组都加入到一个VRRP管理组，由管理组统一管理所有VRRP备份组。通过统一控制各VRRP备份组状态的切换，来保证管理组内的所有VRRP备份组状态都是一致的。 VGMP的作用：防火墙主备状态控制切换 VRRP管理组的功能： 状态一致性管理（管理组内VRRP备份组同步状态切换） 抢占管理（屏蔽VRRP备份组抢占） 通道管理（data，trans-only） VGMP实现原理 VGMP数据通道 防火墙状态信息的备份 VGMP可以保证报文来回路径通过同一台防火墙。当主防火墙出现故障时，所有流量都将切换到备防火墙。但Eudemon防火墙是状态防火墙，如果备防火墙上没有原来主防火墙上的连接状态数据，则切换到备防火墙的很多流量将无法通过防火墙，造成现有的连接中断，此时用户必须重新发起连接。 为了实现主用设备出现故障时能由备用设备平滑地接替工作，需要在主、备用设备之间备份关键配置命令和会话表状态等关键信息。 HRP HRP（Huawei Redundancy Protocol ）华为冗余协议 华为公司冗余协议HRP（Huawei Redundancy Protocol）是承载在VGMP报文上进行传输的。HRP用于在主用设备和备用设备之间备份关键配置命令和会话表状态等关键信息。 HRP/VGMP/VRRP之间的关系 目 录 双机热备份技术原理 Eudemon防火墙双机热备份技术 双机热备份技术在防火墙上的实施 防火墙双机热备份组网方式 Eudemon的双机热备份，可以工作在路由模式和混合模式两种模式下： 路由模式是指Eudemon的业务端口和HRP备份通道接口均工作在路由模式下。 混合模式是指Eudemon的业务端口工作在透明模式下，而HRP备份通道接口工作在路由模式下。 路由模式和混合模式都包含两种组网方式： 主备组网方式 负载分担组网方式 路由模式-主备组网方式 路由模式-主备组网方式配置参考1 路由模式-主备组网方式配置参考2 路由模式-主备组网方式配置参考3 路由模式-主备组网方式配置验证 路由模式-负载分担组网方式 路由模式-负载分担组网方式配置参考1 路由模式-负载分担组网方式配置参考2 路由模式-负载分担组网方式配置参考3 路由模式-负载分担组网方式配置验证 HRP_M[Eudemon] dis hrp state The firewalls config state is: MASTER Current state of virtual routers configured as master: GigabitEthernet3/0/0 vrid 2 : master GigabitEthernet2/0/0 vrid 3 : master GigabitEt