双防火墙的网络拓扑.pdfVIP

双防火墙的 网络拓扑 高可用性防火墙组网方案比较 要实现网络的高可用性， 首先就要排除网络中的单点故障点， 使网络在任何一台网络设备失 效时仍能提供网络服务。 因此这种方案通常要在接入层配置最少两台的路由器， 在核心层配 置最少两台的交换机，同样在防火墙层配置最少两台的防火墙。 为了实现以上的功能要求， 防火墙必须应用到专门的双机容错技术， 一般防火墙都有该功能， 被称为 Failover 或者“ HA”。这种功能要求防火墙的两端设备必须具有交换功能，因为对 于两个互相做 Failover 的设备，互为备份的链路需要有相同的配置。例如要求有相同的外 部接口网关地址 （或者到外部网络的静态路由的下一跳地址） ，如果对端只是一个三层设备 （如路由器） ，是无法在两个接口配置同样的地址， 需要一个二层设备汇接两个防火墙的链 路，而这个二层设备的默认网关就是防火墙需要的网关地址。虽然也有一种非常规的做法， 可以把路由器的接口通过