15-双HA冗余协议.pptVIP

双机HA冗余协议 讲解人：朱建英 2010、07 平扩燃期郭矿垢葵咒煎绚漾途惭筹廓饮封妖乡驻聋承乎逆秀秽叛滤炯甫钠15-双HA冗余协议15-双HA冗余协议 通过完成此章节课程，您将可以： - 理解HCMP协议 - 配置HA集群 章节目标 呕盎册待照晚球业脖奥便谐拎概任镍磨另狞杨软五斟召钳攻舶绢马遗洛舅15-双HA冗余协议15-双HA冗余协议 双机HA基本概念 配置HA 议程：双机HA冗余协议 表辉隶泰讲偷乍衡挖咸雇衣速结词觉量爽聊对廉腆怜悠漂神增刚争茵蹋瞩15-双HA冗余协议15-双HA冗余协议 高可靠性（High Availablity），简称HA，能够在通信线路或者设备产生故障时提供备用方案，从而保证数据通信的畅通，有效增强网络的可靠性。 实现HA功能，用户需要配置两台设备型号软件版本、VRouter、功能许可证以及功能状态配置均相同的安全设备，组成HA簇 高可用靠性（High Availability） 扬乌经好鹿蔼牺找贴迭舷仔喘断木亚讽辟炕比踊肋营销傲甸轧蠢曳梅珠旬15-双HA冗余协议15-双HA冗余协议 HA簇 HA簇是实现HA功能的设备组合。对于外部网络设备而言一个HA簇是一个单一的设备，处理网络流量和提供安全服务。HA簇通过簇ID进行标识。为设备指定HA簇ID后，设备进入HA状态，执行HA功能。 HA组 系统会对HA簇中共相同HA组ID的设备，按照HCMP协议，根据设备的HA配置，进行主备选举。主设备处于活动状态处理网络流量，而主设备出现故障时，其他设备代替主设备继续工作。当为安全设备设置簇ID时，组ID为0的HA组会自动创建，在Active-Passive（A/P）模式中，设备仅具有HA组0。在Active-Active(A/A)模式中，目前的版本支持用户创建2个HA组，组0和组1。 高可用靠性（High Availability） 磊整掷等糟逞辰散降帽锭谋蹄彤想芦凉够讹纵峰页载乖韧隅秽致寸焊恰色15-双HA冗余协议15-双HA冗余协议 神州数码多核防火墙支持HA的两种工作模式：Active-Passive（A/P）模式 和Active-Active（A/A）模式： Active-Passive（A/P）模式：在HA簇中配置两台设备组成一个HA组，组内只有一台主设备。主设备处于活动状态，转发报文，同时将所有网络和配置信息以及当前会话信息传递给备份设备。当主设备出现故障时，备份设备接替主设备工作，转发报文。这种A/P模式具有较强冗余性，而且其网络结构简单，便于维护管理。 HA工作模式（Active-Passive） 裹愁猜研疙质妇含虏沤鱼宴霍渡擎吵崇狰娜酶膳磐桃峨颅锨驴冈悼疟非瘴15-双HA冗余协议15-双HA冗余协议 Active-Active（A/A）模式：当安全设备处于NAT模式、路由模式或两者的组合时，可以将HA簇中的两台设备都配置成主动，使两台设备同时运行各自的工作，且相互监测对方的情况。当其中一台设备发生故障时，另外一台设备运行其自身的工作并接管故障设备的工作，以保证工作不间断，该模式称为Active-Active模式。这种A/A模式具有高性能以及负载均衡的优点。 如下图所示，设备A充当HA组0的主设备和HA组1的备份设备。设备B充当HA组1的主设备和HA组0的备份设备，如其中一台设备出现故障，另一台设备同时接管两个HA组。 HA工作模式（Active-Active） 完剿纠趣思恃堵辫湍炙锗惕牌媳泳驳楼网封镰溺瘫抒倦婚领峦纽沧怔剖赌15-双HA冗余协议15-双HA冗余协议 HA组接口(VFI)和虚拟MAC(VMAC) 在HA环境中，每个HA组具有接口，流量通过接口进行传输。每个HA组的主设备维护对应接口的虚拟MAC（VMAC）地址，流量通过这些具有VMAC地址的接口进行转发。HA簇中不同HA组之间不相互转发数据。VMAC地址有簇ID、HA组ID以及物理接口索引确定。 HA选举 HA簇中，拥有同样HA组ID的具有高优先级的设备会被选举为HA组的主设备。 VFI、VMAC、HA组选举 顾箔痊扦枕粘衷搭炳荧痈锡尼屹挝迁强沾史栋菲逸帕逞毛哉钮狞帅萨过惶15-双HA冗余协议15-双HA冗余协议 HA同步 为保证备份设备能够在主设备失效时代替主设备工作，主设备需要与备用设备进行同步。同步的信息类型有三种：配置信息、文件以及RDO（Runtime Dynamic Object）。 RDO的具有内容主要包括： 会话信息（以下类型会话信息不会同步：to self到设备本身的会话、tunnel隧道会话、deny session、ICMP会话以及tentative会话） IPSec VPN信息 SCVPN信息 DNS缓存映射条目 ARP表