10.neteyefirewall5200_高可用性课题.pptVIP

高可用性 演讲人： 唐作夫 tangzf@ 网络安全产品营销中心 东软集团股份有限公司 高可用性提供了一种最小化网络中由于单点故障而带来的风险的方法。 虚拟防火墙冗余协议（VFRP）是运行在Nokia NetEye FW5200上的专用协议，使用VFRP协议可以将NetEye FW5200配置成双机热备，实现高可用性。 * 注意： 在同步之前，Heartbeat首先会对两个成员防火墙进行拓扑结构的校验。如果校验成功，则进行配置手工同步；如果不成功，则不进行同步。 配置手工同步，使用覆盖同步。即在配置同步之前要删除对端的配置。 * 注意： 点击Synchronize Now按钮进行手动同步。 * 注意： 当发生故障切换时，如果没有运行信息，Passive防火墙将不能正常接管Active防火墙的工作。例如，如果状态切换时Active防火墙上的会话表没有被同步到Passive防火墙，那么根据状态检测原理，新的Active防火墙将对之前在老Active防火墙上建立的会话的后续报文进行过滤，因此在启用选举协议时，启用运行信息同步是很有必要的，可以避免数据丢失等问题。 * 注意： on：启用运行信息同步。 off：禁止运行信息同步。 默认情况下，镜像协议对VPN隧道相关信息、NAT资源和ARP表和非HTTP会话（TCP端口不为80）进行同步。运行信息的同步是每隔0.5秒或同步缓冲区满时进行同步。 想正常启用运行信息同步功能，必须在两台成员防火墙上都启用运行信息同步功能。 * 注意： 不管对哪个会话进行同步，像VPN隧道相关信息、NAT资源信息和ARP表等的同步都将会进行。 * 注意： Protocol：选择协议类型。 Port：自定义同步会话的端口范围。 * 注意： ON：启用时钟同步。(为了使时钟同步功能正常工作，必须在两台防火墙上都启用时钟同步功能) OFF：禁用时钟同步。 When firewall boot：选择此复选框代表当防火墙重新启动时进行时钟同步。任意一台防火墙处于系统启动时都会根据基准防火墙上的时钟来改变自己的时钟。 Every day：选择此复选框代表当防火墙到达每天某个特定时间点时进行时钟同步，并在Hour和Minute文本框中输入小时和分钟的值。这个特定的时间是以基准防火墙上的时间为基准的。(用户可以同时选择当防火墙重新启动时和到达每天某个特定时间点时进行时钟同步) Benchmark：选择此复选框代表将此防火墙设置为基准防火墙。(用户必须确保同一时刻在同一台防火墙冗余组中只存在一台基准防火墙，否则时钟同步功能不能正常进行。当防火墙重新启动时和到达每天某个特定时间点时引发的时钟同步是以该基准防火墙的时钟为标准进行同步的。) When time modified：选择此复选框代表如果希望当某台防火墙时钟发生修改时（手动修改或通过NTP进行同步），将该防火墙的时钟同步到对端防火墙上。即使对方是基准防火墙也可以对它进行同步。 * 注意： Password：输入同步加密密钥（密钥长度为6-120字节），可修改。 在两台防火墙直连的情况下，推荐关闭同步加密功能。因为当直连时，同步信息泄露的可能性很小，并且关闭同步加密功能能够减少防火墙的额外开销。 * 注意： Password：输入认证密码(密码长度为6-120字节之间)。 * * * * * 注意： 对于第一种情况，可以通过链路探测技术来获知。探测方式也有三种：ARP方式、TCP方式和ICMP方式。 * 注意： 后两种故障可以通过内部消息机制获知。 * 注意： DNAT是指数据包进入防火墙后，防火墙对数据包包头的目的地址进行转换再将其转发。DNAT可以是一对一的，也可以是一对多的。NAT负载均衡就是通过将一个目的地址转换成多个不同的地址来实现的。 * * * 注意： 在正常情况下，主防火墙FW1处于Active状态，所有本地主机与互联网之间的通信流量必须经过FW1。另一台防火墙作为备份设备处于Passive状态，监控FW1的状态。当FW1发生故障（如断电）时，备份防火墙FW2转为Active状态工作，并接管FW1的所有工作，从而可以有效的防止防火墙上的单点故障。另外这个接管过程对用户是透明的，用户无需关心某一时刻哪台物理防火墙为它提供服务。 * 注意： NetEye FW5200规定防火墙冗余组的两台成员防火墙必须分别指定一个以太网接口作为专用的HA接口，并且VFRP的所有通信都是通过该接口进行的。HA接口不能路由。 选举协议和镜像协议是VFRP的两个互相独立的子协议，它们可以独立运行。 * 注意： 启用运行信息同步后，每隔0.5秒或同步缓冲区满时（同步缓冲区的大小为10K），镜像协议会进行一次同步过程。默认情况下，镜