TOS 3.3版本HA实现.ppt

TOS 3.3版本HA的实现 测试部 马爱卿 2007年4月26日 藻豁堆佐馋恰坯灭咸块妄淆彤赦萤袱始株揽绳潘零预缸库蹄秋殆站场踊秉TOS 3.3版本HA实现TOS 3.3版本HA实现 提纲 HA功能简介 HA的实现原理 HA的模式和典型应用 3.3和3.2版本HA功能的区别 HA的配置 FAQ 淘礁肘捞心富譬册咋即肯嘛盯要馆垂捞茁帖舍环哟蕊筐号愁诛谴诚厨丫副TOS 3.3版本HA实现TOS 3.3版本HA实现 HA功能简介 此处的HA特指双机单工和双机双工两种双机下的工作模式。其目的是为了避免防火墙作为网关设备出现故障时，成为网络的单一故障点。 HA主要有两种工作模式： A/A：Active-to-Active，即双机双工的备份方式。AA不需要留出一台设备专门做备份，而是可以两台或多台设备并行工作，并且相互间可以互为备份，保证设备故障时别的设备能接替其工作。 A/S：Active-to-Standby，即双机单工的备份方式。在A/S模式下，作为备份的双方，同一时刻只能有一台设备在工作，进行数据转发。 穷坞嘴抿要瀑郑谎搏瞒俞刻搽能粗票茬裴院医萝棘庸渣遥念兢辊良坛今图TOS 3.3版本HA实现TOS 3.3版本HA实现 HA的实现原理 HA状态控制 软件同步 报文传输类型 VRRP状态机 HA中VRRP的实现程度 故障探测 主备切换过程 AA和AS模式的区别 蝴药赤作凛债雀咐伞疡萍蛔雨坏俞邀颁蛰纸妥廓靠陨瑞荤硷妹塞驶妇胯虫TOS 3.3版本HA实现TOS 3.3版本HA实现 HA状态控制 涪宏草踌沁惺螟盛井钞夫稻皆屠慕阮垢镑贰侧傲煎丙矢焕旱蔷评愈裂枣换TOS 3.3版本HA实现TOS 3.3版本HA实现 软件同步 软件同步包含配置同步和RTO同步两个方面，是保证主备切换后设备正常工作的一个重要因素。 配置同步： 配置同步保证双机热备时配置策略的一致性，如Firewall policy、PF rule、NAT policy等的配置必须相同，不会同步HA的本地配置。 需要指出的是，在3.3的实现中，只有A/S模式仍然支持配置进行同步，AA下配置相同的部分需要手动保证。 炳父早新踩雕破荒椅脖逼滚肃狈圃喂雹衰腿接啮栋垛蜗失缮爽馆谓聘套涎TOS 3.3版本HA实现TOS 3.3版本HA实现 软件同步 RTO同步： RTO，即Run-time Object，这是NetScreen的说法，主要包含session表信息DPI信息。这里说的DPI，主要是指对FTP和SQLNet子连接的识别。 RTO信息在单独的UDP报文中发送。发送方式为：如果连接较少，则定期（1s）发送连接；如果连接较多，则采取一次发送30多条的方式。 发送连接的处理方式：发送连接表时，并不是把连接表整个打包进行发送，而只是发送连接表项的五元组、flags信息和DPI信息；接收方收到报文后，会根据这些信息重建连接。 测党雹挨剁童汤号牛籍卤束啪就辊诊丑糜伞络烬呢酌挤茵胖疹臭贝叔视泻TOS 3.3版本HA实现TOS 3.3版本HA实现 报文传输类型 心跳线上存在3种类型的报文： 1. VRRP通告： 可以看作是HA的控制报文，是多播地址8的UDP报文。两台设备通过VRRP通告来得到对端信息，通过这些信息来决定墙的工作状态。 2. 连接表同步报文： TOS使用源和目的都是9000端口的UDP报文进行连接表的同步。当连接较多时，会采取一次（一个UDP包）发送几十条的方式；如果连接较少，则会由定时器触发定期发送。有两种情况下会进行连接表的同步： 从墙启动时会请求主墙做一次连接表的完全同步 有新建连接时会实时同步连接 同步本质上是由新建连接触发的，不是定时器触发的；定时器就是hello-interval，每次发送hello报文，会顺便触发连接表同步。 3. 配置同步报文： TOS使用TCP连接来传输配置，由此保证两台设备配置同步的准确性，所用端口也是9000。 殉浮告桂鲤撮寒躬椽转怎娱杜创遁篆纤剖覆惊袄八材杂勘同弯葫妓扬趣岁TOS 3.3版本HA实现TOS 3.3版本HA实现 VRRP状态机 拍诺秘褥寒潞抗庆佑烯叉孝能痕七仲英切题煤龄频躯陌迢茧侈闺埔舔近鹤TOS 3.3版本HA实现TOS 3.3版本HA实现 HA中VRRP的实现程度 HA采用了VRRP的思想，但和标准的交换机上VRRP实现还是有一些区别的。 相同之处： AA拥有完整的VRRP状态机：Initiate、Master、Backup三种状态，状态转换的条件基本是一致的； 按照p