Netscreen火墙双机非对称路由session同步案例.docVIP

Netscreen防火墙双机非对称路由session同步案例综述在部署Netscreen防火墙双机时，由于客户的网络环境往往比较复杂，并且客户普遍存在一些比较独特的需求，比如：不愿改变当前网络的组网结构、不能因部署防火墙而带来其他网络设备的采购、两台防火墙要能同时进行独立工作且能够互为备份、要求防火墙支持非对称路由结构下的路径冗余。这样就对防火墙双机适应复杂的网络环境提出了及高的要求，Netscreen NSRP冗余协议在提供了高可靠性的基础上充分发挥设备的可用性。能够实现基于链路级的多重冗余能力，提供多种环境下灵活的组网方式，具体部署时可以根据具体客户网络环境选择主/备和主/主结构下的口型或Full Mesh组网方式，并且能够实现两台防火墙独立工作时的session同步。本文将对非对称网络结构下Netscreen双机的session同步进行讨论。非对称路由环境下路径冗余分析众所周知，状态检测防火墙依据策略来决定会话的建立，一旦策略匹配且应用连接建立后，防火墙将根据会话的具体信息建立相应的session（会话条目），并通过session来匹配该连接的后续数据报，只有匹配某session的数据包才能够通过数据流状态的检查。通常来讲，进入某防火墙的数据流，其返回数据包也必须流经该防火墙。如果当网络出现故障或不对称路由（进出流量经过不同路径）时，Netscreen防火墙是否能保证已建的s