防火墙链路探测技术.pptVIP

IPLink自动侦测是利用ICMP或者ARP协议的特征对业务链路正常与否进行的自动侦测。它定时(5个报文/秒)地向指定的目的IP地址发送ICMP或者ARP请求，等待相应目的IP地址的回应，根据回应的情况判断网络的连通状况。 如果在设定的时限(默认为3秒)内未收到回应报文，则认为链路发生故障，并进行后续相应的操作。当原来认为发生故障的链路，在之后设定的时限内，有连续3个回应报文返回，则认为发生故障的链路已经恢复正常，此后进行链路恢复的相关操作。 IPLink有ICMP和ARP两种模式：在配置每条IPLink时可以指定是使用ICMP包侦测还是使用ARP包来侦测，默认是使用ICMP包。 可以同时使用这两种模式对同一地址进行侦测，如果配置正确，两种模式对同一地址的侦测结果应该是一致的。并且两种模式之间互不影响，使用ICMP模式侦测不到应答报文不会自动切换到ARP模式，反之亦然。 IPLink侦测的目的地址可以是防火墙的非直连接口，但如果是侦测非直连接口的话必须使用ICMP模式。使用ARP模式只能侦测防火墙的直连接口。 配置IPLink时需要允许防火墙local域到接口所在域的缺省规则。 IPLink定时(5个报文/秒)地向某个(或某些)指定的目的IP地址发送ICMP报文，并根据收到回应报文的情况进行链路状态判断。 IPLink定时(5个报文/秒)地向某个(或某些)指定的目的IP地址(同一网段)发送ARP报文，并根据收到回应报文的情况进行链路状态判断。 使能IPLlink自动侦测功能[Eudemon] ip-link check enable 关闭IPLlink自动侦测功能[Eudemon] undo ip-link check enable 配置一条IPLink[Eudemon] ip-link number destination ip-address [interface interface-type interface-number] [timer interval] [ mode { icmp | arp }]如果不配置出接口，则通过查路由表获取出接口。自动侦测的时间间隔默认为3s (就是说一条IPLink在3秒内收不到响应包就发生状态切换) ，自动侦测模式默认为icmp模式. 删除一条IPLink[Eudemon] undo ip-link number IPLink自动侦测的侦测结果（目的主机可达或者不可达）可以被其他特 性所引用，主要应用包括： 应用在静态路由中当IPLink侦测出链路发生故障，防火墙会对自身的静态路由进行相应的调整。如原来高优先级的静态路由所经链路被检测到发生故障，防火墙会选择新的链路进行业务转发。如果高优先级的静态路由链路故障恢复正常时，防火墙又会进行静态路由的调整，用高优先级的路由替换低优先级的路由，保证每次用到的链路是最高优先级的并且是可达的，以保持业务的持续进行。 应用在双机热备中当IPLink侦测到的链路故障会影响防火墙的主备业务，则防火墙会对VGMP的优先级进行调整，引发主备切换，从而保证业务能够持续流通。 IPLink功能－应用在静态路由 配置两条（或多条）有相同目的IP，不同下一跳（优先级可以相等可以不等，但是优先级相等时目前我们的防火墙走的是静态路由负载分担）的静态路由，利用IPLink监视下一跳IP，如果IPLink监视到下一跳DOWN掉，将该静态路由置为无效，同时选择次优先级且活跃的静态路由。当IPLink监视到高优先级的链路恢复时，将当前的静态路由置为无效，同时选择高优先级路由。当有2条或多条静态路由负荷分担时，其中1条静态路由的下一跳DOWN，IPLink监视到以后，在还有其他静态路由可以转发数据的情况下，不会选择次优的静态路由了。 IPLink功能－应用在静态路由(续一) 利用IPLink监视下一跳IP，如果IPLink监视到高优先级的下一跳DOWN掉，将该静态路由置为无效，同时选择低优先级（如果有IPLink监视，需要判断该链路是否活跃）的静态路由。 IPLink功能－应用在静态路由(续二) 当IPLink监视到原来高优先级的路由恢复时，将当前静态路由置为无效，同时选择当前高优先级路由。 IPLink功能－应用在双机热备 根据IPLink的结果调整VGMP的优先级： 当IPLink发现影响主备的接口链路不可达时，进行VGMP优先级的调整，引发主备切换。 当IPLink发现原来不可达链路恢复时，进行VGMP优先级的调整，引发主备抢占切换。 IPLink功能－应用在双机热备(续) HUAWEI TECHNOLOGIES CO., LTD. Huawei Confidential 英文标题:32-35pt 颜色: R153 G0 B0 内部使用字体