第五章-防火墙双机热备技术.pptx

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,Copyright,2015,Huawei Technologies Co.,Ltd.All rights reserved.,Page,#,Thank you,第五章,防火墙双机热备技术,目标,学完本课程后，您将能够,:,掌握双机热备技术原理,掌握双机热备基础配置,目录,双机热备,技术原理,双机热备基本组网与配置,双机热备份技术产生的原因,传统的组网方式如图所示，内部用户和外部用户的交互报文全部通过,Firewall A,。如果,Firewall A,出现故障，内部网络中所有以,Firewall A,作为默认网关的主机与外部网络之间的通讯将中断，通讯可靠性无法保证。,Firewall A,10.100.10.1/24,Internet,PC,服务器,内部网络,10.100.10.0/24,双机热备在路由器上部署,路由器组网中通过,VRRP,协议实现双机热备份,RouterA,10.100.10.2,Master,RouterB,Backup,10.100.10.3,RouterC,10.100.10.4,Backup,备份组,Virtual IP Address,10.100.10.1,Internet,PC,服务器,内部网络,10.100.10.0/24,VRRP,在多区域防火墙组网中的应用,为防火墙上多个区域提供双机备份功能时，需要在每一台防火墙上配置多个,VRRP,备份组。,DMZ,Trust,Untrust,USG A,10.100.20.0/24,Master,USG B,Backup,10.100.10.0/24,备份组,1,Virtual IP Address,10.100.10.1,备份组,2,Virtual IP Address,10.100.20.1,备份组,3,Virtual IP Address,202.38.10.1,VRRP,在防火墙应用中存在的缺陷,传统,VRRP,方式无法实现主、备用防火墙状态的一致性。,USG A,Master,USG B,BackupTrust,DMZ,Untrust,PC1,PC2,(1),(2),(3),(4),(7),会话表项,Server,(5),(6),(8),实际连线,报文流径,(9),VRRP,用于防火墙多区域备份,为了保证所有,VRRP,备份组切换的一致性，在,VRRP,的基础上进行了扩展，推出了,VGMP,（,VRRP Group Management Protocol,）来弥补此局限。,DMZ,Trust,Untrust,USG A,10.100.20.0/24,USG B,10.100.10.0/24,备份组,2,备份组,3,备份组,1,VGMP,管,理组,VGMP,管,理组,VGMP,基本原理,VGMP,状态,(Active/Standby),VGMP HELLO,VGMP priority,65001,DMZ,Trust,Untrust,USG A,10.100.20.0/24,USG B,10.100.10.0/24,备份组,2,备份组,3,备份组,1,VGMP Active,VGMP Standby,VGMP priority,65000,hello,ack,VGMP,组管理,状态一致性管理,VGMP,管理组控制所有的,VRRP,备份组统一切换。,抢占管理,当原来出现故障的主设备故障恢复时，其优先级也会恢复，此时可以重新将自己的状态抢占为主。,HRP,基本概念,HRP,（,Huawei Redundancy Protocol,）协议，用来将主防火墙关键配置和连接状态等数据向备防火墙上同步。,VRRP,组,1,VRRP,组,2,VRRP,组,3,Untrust,Trust,DMZ,会话表,FWA,FWB,HRP,会话快速备份,首包会话快速备份,更新报文会话快速备份,会话快速备份,主,备,目录,双机热备,技术原理,双机热备基本组网与配置,双机热备基本组网,上下行业务接口工作在三层模式，连接二层设备时，需要在上下行的业务接口上配置,VRRP,备份组，使,VGMP,管理组能够通过,VRRP,备份组监测三层业务接口。,USG_A,Master,USG_B,Backup,备份组,1,Virtual IP Address,1.1.1.1/24,G1/0/1,10.2.0.1/24,PC1:1.1.1.10/24,Untrust,Trust,G1/0/3,10.3.0.1/24,G1/0/7,10.10.0.1/24,G1/0/7,10.10.0.2/24,G1/0/1,10.2.0.2/24,G1/0/3,10.3.0.2/24,备份,组,2,Virtual IP Address,10.3.0.3/24,PC2:10.3.0.10/24,配置,VRRP,备份组,接口视图下配置,VRRP,：,vrrp vrid,virtual-router-ID,virtual-ip,virtual-address ip-mask|ip-mask-length active|standby,执行此命令时，指定,active,或,standby,参数后，即将该,VRRP,组加入了,VGMP,管理组的,Active,或,Standby,管理组。,每个普通物理接口（,GigabitEthernet,接口）下最多配置,255,个,VRRP,组。,HRP,配置命令,指定心跳口,hrp interface,interface-type,interface-number remote ip-address|ipv6-address ,启用,HRP,备份功能,hrp enable,启用允许配置备用设备的功能,hrp standby config enable,启用命令与状态信息的自动备份,hrp auto-sync,config|connection-status,启用会话快速备份,hrp mirror session enable,VRRP,配置举例,USG_A,关于,VRRP,组,1,配置：,USG_Ainterface GigabitEthernet 1/0/1,USG_A-GigabitEthernet 1/0/1 ip address 10.2.0.1 24,USG_A-GigabitEthernet 1/0/1 vrrp vrid 1,virtual-ip,1.1.11 255.255.255.0 active,USG_B,关于,VRRP,组,1,的配置：,USG_Binterface GigabitEthernet 1/0/1,USG_B-GigabitEthernet1/0/1 ip address 10.2.0.2 24,USG_B-GigabitEthernet 1/0/1 vrrp vrid 1 virtual-ip 1.1.1.1 255.255.255.0 standby,HRP,配置举例,USG_A,关于,HRP,配置：,USG_Ahrp enable,USG_Ahrp mirror session enable,USG_Ahrp interface GigabitEthernet 1/0/7,双机热备配置,(WEB),USG_A,双机热备配置,(WEB),USG_B,查看,VRRP,状态,HRP_Adisplay vrrp interface G1/0/3,GigabitEthernet1/0/3|Virtual Router 2,VRRP Group:,Active,state:Active,Virtual IP,:10.3.0.3,Virtual MAC:0000-5e00-0102,Primary IP:10.3.0.1,PriorityRun:,120,PriorityConfig:100,MasterPriority:120,Preempt:,YES,Delay Time:0,Advertisement Timer:1,Auth Type:NONE,Check TTL:YES,查看,HRP,状态,查看处于,Master,状态防火墙的状态信息如下：,HRP_Adis hrp state,The firewalls config state is:,ACTIVE,Current state of virtual routers configured as active:,GigabitEthernet1/0/1 vrid 1:active,GigabitEthernet1/0/3 vrid 2:active,总结,双机热备技术原理,双机热备基本组网及配置,