ENSP-----VGMP与HRP协议---防火墙的双机热备

一.防火墙双机热备介绍

双机热备的概述

  • 双机热备是为了解决单点故障,实现业务的平滑过渡(会话表需要同步)
  • 华为防火墙的双机热备模式有:热备模式、负载均衡模式

ENSP-----VGMP与HRP协议---防火墙的双机热备_第1张图片

  • 主备备份指正常情况下仅由主用设备处理业务,备用设备空闲;当主用设备接口,链路或整机故障时,备用设备切换为主用设备,接替主用设备处理业务
  • 所谓负载分担,也可以称为“互为主备”,即两台设备同时处理业务,当其中一台设备发送故障时,另外一台设备会立即承担其业务,保证原来需要通过这台设备转发的业务不中断

VGMP简介

  • VGMP协议是华为公司的私有协议。VGMP协议中定义了VGMP组,FW基于VGMP组是实现设备主备状态管理
  • VGMP协议解决备份组切换不一致性的问题

VGMP的优先级

  • 中低端:Active设备优先级为65001,Standby设备优先级为6500
  • 高端:VGMP组初始优先级=45000+1000*LPU板上的插卡个数+2*SPU板上的CPU个数
  • USG6000,NGFW Module的初始化优先级都为45000

VGMP的状态转换与工作过程

ENSP-----VGMP与HRP协议---防火墙的双机热备_第2张图片

  • 启用双机热备功能后,各VGMP组进入Initialize(初始化)状态。
  • 启用Active组后,Active组的状态由Initialize切换成Active。
  • 启用Standby组后,Standby组的状态由Initialize切换成Standby。
  • 本端VGMP组监控的接口故障时,状态由Active切换成A to S,并发送VGMP请求报文给对端设备的VGMP组。
  • 本端VGMP组收到对端的VGMP请求报文,发现自身优先级高,则将状态由Standby切换成Acitve,并发送VGMP确认报文给对端设备的VGMP组。
  • 本端VGMP组收到对端的VGMP确认报文,确认本端需要进行状态切换,则本端的VGMP组状态由A to S切换成Standby。
  • 对端VGMP组确认本端的VGMP组不需要进行状态切换或连续三次没有回应本端的VGMP请报文,则本端的VGMP组状态由A to S切换成Active。
  • 本端VGMP组监控的接口故障恢复后,如果本端VGMP组优先级高于对端且配置了抢占功能,则本端VGMP组状态由Standby切换成S to A,并向对端发送VGMP请求报文。
  • 本端VGMP组收到对端的VGMP请求报文,发现对端优先级高,则将状态由Active切换成Standby,并发送VGMP确认报文给对端设备的VGMP组。
  • 本端VGMP组收到对端的VGMP确认报文,确认本端需要进行状态切换,则本端的VGMP组状态由S to A切换成Active,完成抢占过程。
  • 对端VGMP组确认本端的VGMP组不需要进行状态切换或连续三次没有回应本端的VGMP请报文,则本端的VGMP组状态由S to A切换成Standby。
     

VGMP的工作原理(主备模式下)

  • 指定设备为Active和Standby
  • 将VGMP组内所有VRRP备份组状态为指定的Active standby(VRRP备份组状态的一致性)
  • Active设备发送免费ARP,刷新交换机MAC地址表(引导流量)
  • 周期性发送HRP心跳报文(周期1s 死亡3s),监控Active和Standby

VGMP的故障检测

  • 针对直连故障
A. 检测VRRP备份组状态
适用场景:防火墙业务接口工作在三层,上下接交换机(二层)

B. 检测三层接口的状态
适用场景: 防火墙业务接口工作在三层,上下接路由器
int xxxx
hrp track xxxx

C 检测VLAN接口状态
适用场景:防火墙业务接口工作在二层,上下接交换机(或者上下接路由器)
vlan xxx
hrp track XXXX
  • 非直连故障
IP-LINK
BFD

###IP-LINK
IP-Link是指FW通过向指定的目的IP周期性地发送探测报文并等待应答,
来判断链路是否发生故障。
FW发送探测报文后,在三个探测周期(默认为15s)内未收到响应报文,
则认为当前链路发生故障,IP-Link的状态变为Down。随后,
FW会进行IP-Link Down相关的后续操作,例如双机热备主备切换等。
当链路从故障中恢复,FW能连续地收到3个响应报文,则认为链路故障已经消除,
IP-Link的状态变为Up。也就是说,链路故障恢复后,IP-Link的状态并不会立即变为Up,
而是要等三个探测周期(默认为15s)才会变为Up。

HRP协议基本原理

  • HRP协议实现备份会话表等状态信息和关键的配置
  • HRP报文实际上是一种VGMP报文,承载在VGMP报文的Data区域。即存在两种封装方式
  • 管理面上的HRP报文会携带:指定自动备份还是批量备份,指定发送还是应答,备份的数据类型,两种方式如下

ENSP-----VGMP与HRP协议---防火墙的双机热备_第3张图片

  • 转发层面的两种方式

ENSP-----VGMP与HRP协议---防火墙的双机热备_第4张图片

  • 封装VRRP,组播224.0.0.18,不需要考虑受安全策略监控
  • 封装UDP,单播,需要考虑安全策略监控
  • 配置心跳线的时候需要考虑remote

HRP的备份方式

  • 自动备份,默认方式
  • 手动备份,批量方式(hrp sync config 手动触发批量备份)
  • 快速备份,针对分载分担

备份通道状态

  • 当设备两边均配置心跳口,防火墙会判断心跳接口的物理与协议状态。心跳链路一共存在五种状态
  • running:正常运行,能够发送报文
  • ready:正常运行,此接口为备份通道,当前未使用
  • peerdown:本段正常,但是收不到对端的心跳报文
  • invaild:未指定心跳地址的IP地址,心跳口工作在二层
  • down:心跳接口的物理状态与协议状态都为DOWN

当有多根心跳线时,哪个接口先配置的心跳线,即哪个接口的状态先成为ready,当两端心跳线通信时,先成为ready的接口就会成为running

当本端running接口down时,第二成为ready的接口会代替down的接口成为本端设备的running口。

继承顺序按照成为ready的时间,没有比较优先级等。只看时间戳。

当两端心跳有多根时,如果两端的running口不是一根链路,也可以正常通信

心跳线

  • 双机热备组网中,心跳线是两台FW交互消息了解对端状态以及备份配置命令和各种表项的通道。心跳线两端的接口通常称为“心跳接口”
  • 心跳线主要传递如下消息
心跳报文(hello报文):两台FW通过定期(默认周期为1秒)互相发送心跳报文检测对端设备是否存活
VGMP报文:了解对端设备的VGMP组状态,确定本端和对端设备当前状态是否稳定,是否要进行故障切换
配置和表项备份报文:用于两台FW同步配置命令和状态信息
心跳链路探测报文:用于检测对端设备的心跳口能否正常接收本端设备的报文,确定是否有心跳接口可以使用
配置一致性检查报文:用于检测两台FW的关键配置是否一致,比如安全策略、NAT等

二.防火墙双机热备实例

网络拓扑图

ENSP-----VGMP与HRP协议---防火墙的双机热备_第5张图片

具体配置与分析

R1的配置

sys
Enter system view, return user view with Ctrl+Z.
[Huawei]sysname R1
[R1]un in en
Info: Information center is disabled.
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip add 10.1.1.1 24
[R1-GigabitEthernet0/0/0]un sh
Info: Interface GigabitEthernet0/0/0 is not shutdown.
[R1-GigabitEthernet0/0/0]q
[R1]int loo0
[R1-LoopBack0]ip add 1.1.1.1 32
[R1-LoopBack0]q	
[R1]ip route-static 192.168.10.0 24 10.1.1.100    //向下配置静态回程路由

FW1的配置

sys
Enter system view, return user view with Ctrl+Z.
[USG6000V1]sysname FW1
[FW1]un in en
Info: Saving log files...
Info: Information center is disabled.
[FW1]int g1/0/0
[FW1-GigabitEthernet1/0/0]ip add 10.1.1.101 24
[FW1-GigabitEthernet1/0/0]un sh
Info: Interface GigabitEthernet1/0/0 is not shutdown.
[FW1-GigabitEthernet1/0/0]q
[FW1]int g1/0/1
[FW1-GigabitEthernet1/0/1]ip add 172.16.1.1 24
[FW1-GigabitEthernet1/0/1]un sh
Info: Interface GigabitEthernet1/0/1 is not shutdown.
[FW1-GigabitEthernet1/0/1]q
[FW1]firewall zone untrust    //定义各个区域的接口
[FW1-zone-untrust]add int g1/0/0
[FW1-zone-untrust]firewall zone dmz
[FW1-zone-dmz]add int g1/0/1
[FW1-zone-dmz]firewall zone trust
[FW1-zone-trust]add int g1/0/2
[FW1-zone-trust]q
[FW1]ip route-static 0.0.0.0 0.0.0.0 10.1.1.1    //向上配置回程路由	
[FW1]security-policy    //配置安全策略	
[FW1-policy-security]rule name permit_heat    //定义规则名字
[FW1-policy-security-rule-permit_heat]source-zone local    //定义源区域
[FW1-policy-security-rule-permit_heat]destination-zone dmz    //定义目的区域
[FW1-policy-security-rule-permit_heat]action permit    //动作设为允许
[FW1-policy-security-rule-permit_heat]q
[FW1-policy-security]rule name permit_trust_untrust    //配置trust与untrust区域规则
[FW1-policy-security-rule-permit_trust_untrust]source-zone trust
[FW1-policy-security-rule-permit_trust_untrust]destination-zone untrust
[FW1-policy-security-rule-permit_trust_untrust]action permit
[FW1-policy-security-rule-permit_trust_untrust]q
[FW1]int g1/0/2
[FW1-GigabitEthernet1/0/2]ip add 192.168.10.101 24
###定义下联口VRRP主组,以及虚拟IP地址
[FW1-GigabitEthernet1/0/2]vrrp vrid 1 virtual-ip 192.168.10.100 active 
[FW1-GigabitEthernet1/0/2]un sh
Info: Interface GigabitEthernet1/0/2 is not shutdown.
[FW1-GigabitEthernet1/0/2]q
[FW1]int g1/0/0
###定义上联口VRRP主组,以及虚拟IP地址
[FW1-GigabitEthernet1/0/0]vrrp vrid 2 virtual-ip 10.1.1.100 active
[FW1-GigabitEthernet1/0/0]un sh
Info: Interface GigabitEthernet1/0/0 is not shutdown.
[FW1-GigabitEthernet1/0/0]q
[FW1]hrp int g1/0/1 remote 172.16.1.2    //配置心跳接口
[FW1]hrp enable    //启动双机热备
Info: NAT IP detect function is disabled.
HRP_S[FW1]hrp auto-sync    //定义双机热备方式为自动备份
HRP_S[FW1]display hrp state    //查看双机热备状态信息
2020-02-16 11:25:47.720 
 Role: standby, peer: unknown
 Running priority: 45000, peer: unknown
 Backup channel usage: 0.00%
 Stable time: 0 days, 0 hours, 0 minutes
 Last state change information: 2020-02-16 11:25:11 HRP core state changed, old_
state = initial, new_state = abnormal(standby), local_priority = 45000, peer_pri
ority = unknown.

HRP_S[FW1]dis hrp int    //查看心跳接口状态信息
2020-02-16 11:26:14.920 
             GigabitEthernet1/0/1 : negotiation failed

HRP_S[FW1]

FW2的配置

sys
Enter system view, return user view with Ctrl+Z.
[USG6000V1]sysname FW2
[FW2]un in en
Info: Saving log files...
Info: Information center is disabled.
[FW2]int g1/0/0
[FW2-GigabitEthernet1/0/0]ip add 10.1.1.102 24
[FW2-GigabitEthernet1/0/0]un sh
Info: Interface GigabitEthernet1/0/0 is not shutdown.
[FW2-GigabitEthernet1/0/0]q
[FW2]int g1/0/1
[FW2-GigabitEthernet1/0/1]ip add 172.16.1.2 24
[FW2-GigabitEthernet1/0/1]un sh
Info: Interface GigabitEthernet1/0/1 is not shutdown.
[FW2-GigabitEthernet1/0/1]q	
[FW2]firewall zone untrust 
[FW2-zone-untrust]add int g1/0/0
[FW2-zone-untrust]q
[FW2]firewall zone dmz
[FW2-zone-dmz]add int g1/0/1
[FW2-zone-dmz]firewall zone trust
[FW2-zone-trust]add int g1/0/2
[FW2-zone-trust]q
[FW2]ip route-static 0.0.0.0 0.0.0.0 10.1.1.1
[FW2]security-policy 
[FW2-policy-security]rule name permit_heat
[FW2-policy-security-rule-permit_heat]source-zone local	
[FW2-policy-security-rule-permit_heat]destination-zone dmz	
[FW2-policy-security-rule-permit_heat]action permit
[FW2-policy-security-rule-permit_heat]q
[FW2-policy-security]rule name permit_trust_untrust
[FW2-policy-security-rule-permit_trust_untrust]source-zone trust	
[FW2-policy-security-rule-permit_trust_untrust]destination-zone untrust	
[FW2-policy-security-rule-permit_trust_untrust]action permit 
[FW2-policy-security-rule-permit_trust_untrust]q
[FW2-policy-security]int g1/0/2
[FW2-GigabitEthernet1/0/2]ip add 192.168.10.102 24
###定义下联口虚拟IP地址,以及VRRP为备组状态
[FW2-GigabitEthernet1/0/2]vrrp vrid 1 virtual-ip 192.168.10.100 standby 
[FW2-GigabitEthernet1/0/2]un sh
Info: Interface GigabitEthernet1/0/2 is not shutdown.
[FW2-GigabitEthernet1/0/2]q
[FW2]int g1/0/0
###定义上联口虚拟IP地址,以及VRRP为备组状态
[FW2-GigabitEthernet1/0/0]vrrp vrid 2 virtual-ip 10.1.1.100 standby 
[FW2-GigabitEthernet1/0/0]un sh
Info: Interface GigabitEthernet1/0/0 is not shutdown.
[FW2-GigabitEthernet1/0/0]q
[FW2]hrp int g1/0/1 remote 172.16.1.1
[FW2]hrp enable
Info: NAT IP detect function is disabled.	
HRP_S[FW2]hrp auto-sync 
HRP_S[FW2]dis hrp state
2020-02-16 11:34:15.410 
 Role: standby, peer: active
 Running priority: 45000, peer: 45000
 Backup channel usage: 0.02%
 Stable time: 0 days, 0 hours, 0 minutes
 Last state change information: 2020-02-16 11:34:08 HRP core state changed, old_
state = abnormal(active), new_state = normal, local_priority = 45000, peer_prior
ity = 45000.

HRP_S[FW2]dis hrp int
2020-02-16 11:34:28.650 
             GigabitEthernet1/0/1 : running

HRP_S[FW2]

实验验证

  • 抓取心跳线处的数据包,其协议为UDP

ENSP-----VGMP与HRP协议---防火墙的双机热备_第6张图片

  • 由PC1处pingR1的环回地址

ENSP-----VGMP与HRP协议---防火墙的双机热备_第7张图片

  • 模拟故障切换,在FW1上down掉下联口,再从pc1pingR1

ENSP-----VGMP与HRP协议---防火墙的双机热备_第8张图片

  • 恢复故障之后,由于抢占机制,fw1由standby变为active

ENSP-----VGMP与HRP协议---防火墙的双机热备_第9张图片

 

 

你可能感兴趣的:(ensp(华为设备))