防御保护--防火墙的可靠性

目录

前提: 

VGMP 

接口故障切换场景

状态切换备份的过程 

HRP

第一种备份方式 --- 自动备份

第二种备份方式 --- 手工备份

第三种备份方式 --- 快速备份 

各备份场景过程分析

1,主备形成场景

2,主备模式下,接口故障切换场景

​3.主备场景,主设备故障切换

4,主备场景,主设备接口故障恢复切换

没有开启抢占--没有抢占则原主设备保持备份状态。

开启抢占:

5,负载分担

6,负载分担接口故障场景


前提: 

防御保护--防火墙的可靠性_第1张图片

 防火墙和路由器在进行可靠性备份时,路由器备份可能仅同步路由表中信息即可,而防火墙是基于状态检测机制,所以还需要同步记录状态的会话表等,所以,防火墙需要使用双机热备技术

双机:目前防火墙的双击热备技术仅支持两台设备

热备:两台设备同时运行,当然在一台设备出现故障的情况下,另一台设备可用立即替代原设备

VRRP技术

虚拟路由器冗余协议--"实的不行来虚的"

Initialize --- 在VRRP中,如果一个接口出现故障之后,则这个接口将进入到该过渡状态

VRRP备份组之间是相互独立的,当一台设备上出现多个VRRP组时,他们之间的状态无法同步。

VGMP 

华为私有协议 --- 这个协议就是将一台设备上的多个VRRP组看成一个组,之后统一进行管理,统一切换的协议。以此来保证VRRP组状态的一致性。

接口故障切换场景

在防火墙的双机热备中,我们不论时VRRP组还是VGMP组,主备的叫法发生了变化,主 统一被称为Active,备被称为Standby

防御保护--防火墙的可靠性_第2张图片

状态切换备份的过程 

1,假设主设备的下联口发生故障,则这个接口的vrrp状态将由原来的Active状态切换为 initialize状态。(这种情况下,按照VRRP自己的机制,主设备将无法发送周期保活报文, 则备设备在超过超时时间后将切换为主的状态。但是,因为这里启用VGMP在,则VRRP 切换状态将由VGMP接管,VRRP的机制名存实亡。)

2,VGMP组发现VRRP组出现变化,将降低自身的优先级。(说明,在VGMP组中,也 存在优先级的概念。一开始,每台设备中都会存在两个VGMP组,一个叫做Active组, 另一个叫做Standby组。Active组初始的默认优先级为65001,Standby组初始的默认 优先级为65000(不同版本的防火墙,这个优先级的定义不同)。一开始,我们FW1将 两个VRRP组都拉入VGMP_ACTIVE组中,因为ACTIVE组的状态时active,所以,里面 两个vrrp组的状态也是active(VGMP组的状态决定了VRRP组的状态),FW2同理。当 一个VRRP组的状态变为initialize,则VGMP则的优先级-2。)之后,原主设备会发送一 个VGMP请求报文给对端,里面包含了自己当前变化后的优先级。

3,当原备设备接收到请求报文后,看到里面的优先级时64999,而低于自身的65000, 分区 20240121防御保护寒假班 的第 10 页 则会将自己的VGMP_STANDBY组的状态由原来的standby切换为active。同时,发送 一个同意请求报文给原主设备。

4,原主设备接收到对方的应答报文之后,将会把自身VGMP_ACTIVE组的状态由原来的 ACTIVE切换为STANDBY。

5,在原备设备发送应答报文的同时,因为其VGMP组的状态切换,所以,其内部的 VRRP组状态也将由原来的standby转换为avtive。原主设备在接受到对方的应答报文之 后,因为将其VGMP组状态切换,所以,同时将其内部的VRRP组状态由原来的active状 态切换为standby状态(注意,故障接口依旧保持init的状态。)

6,原备设备会通过接口向上下联链路发送免费ARP报文,切换交换机的MAC地址表。 流量将被切换到原被设备上。

HRP

HRP --- Huawei Redundancy Protocol --- 华为冗余协议

这是一款华为的私有协议 --- 备份配置信息和状态信息。

HRP备份有一个前提,就是两台设备之间必须专门连一根用于备份的线路,这跟线路我 们称为心跳线(广义上,任何两台设备之间的链路都可以叫做心跳线)

心跳线的接口必须是一个三层接口,需要配置对应的IP地址。这条备份数据的链路不受 路由策略限制(直连场景。非直连场景依然需要配置安全策略。)

HRP协议本身算是VGMP协议的一部分

HRP的心跳线也会传递心跳报文,用于检测对端是否处于工作状态。这个周期时间默认 1s,逻辑和vrrp一样,只有主设备会周期发送,备设备仅监听即可,如果在三个周期 内,都没有收到HRP的心跳报文,则将认定原主设备故障,则将进行失效判断,认定自身为主

VGMP的报文也是通过这条心跳线发送的。

配置信息 --- 策略,对象,网络里面的一些配置都属于配置信息。(接口IP地址,路由 之类的不同步,因为这些是需要在双机组建之前配置的)

防御保护--防火墙的可靠性_第3张图片

状态信息

防御保护--防火墙的可靠性_第4张图片

第一种备份方式 --- 自动备份

默认开启自动备份,可以实时备份配置信息。但是,自动备份不能立即同步状态信息。 一般是在主设备上状态生成后一段时间(10s左右)同步到备设备上。 Hrp standby config enable --- 这个命令可以让备设备上的配置同步到主设备上。

第二种备份方式 --- 手工备份

由管理员手工触发,可以立即同步配置信息以及状态信息。

第三种备份方式 --- 快速备份 

该模式仅使用在负载分担的工作方式下。 因为负载分担的场景下,两台设备都需要处于工作状态,为了避免因为状态信息同步不 及时,导致业务流量中断,所以,该场景下,默认开启快速备份。 快速备份可以实时同步状态信息,但是,该方式不同步配置信息。

各备份场景过程分析

1,主备形成场景

防御保护--防火墙的可靠性_第5张图片

2,主备模式下,接口故障切换场景

防御保护--防火墙的可靠性_第6张图片

防御保护--防火墙的可靠性_第7张图片

防御保护--防火墙的可靠性_第8张图片3.主备场景,主设备故障切换

主故障之后,将无法周期发送HRP心跳报文,则备设备监 听超时,进行设备状态的切换。

4,主备场景,主设备接口故障恢复切换

没有开启抢占--没有抢占则原主设备保持备份状态。

开启抢占:

防御保护--防火墙的可靠性_第9张图片

防御保护--防火墙的可靠性_第10张图片

防御保护--防火墙的可靠性_第11张图片

防御保护--防火墙的可靠性_第12张图片

5,负载分担

防御保护--防火墙的可靠性_第13张图片

防御保护--防火墙的可靠性_第14张图片

6,负载分担接口故障场景

防御保护--防火墙的可靠性_第15张图片

你可能感兴趣的:(防御保护,网络,智能路由器)