双机热备方案应用案例

1.双机热备概述

在当前的组网应用中，用户对网络可靠性的要求越来越高，对于一些重要的业务入口或接入点（比如企业的Internet接入点、银行的数据库服务器等）如何保证网络的不间断传输，成为急需解决的一个问题。如图2.78左图所示，防火墙作为内外网的接入点，设备出现故障便会导致内外网之间的网络业务全部中断。在这种关键业务点上如果只使用一台设备的话，无论其可靠性多高，系统都必然要承受因单点故障而导致网络中断的风险。

于是，业界推出了传统备份组网方案来避免此风险，该方案在接入点部署多台设备形成备份，通过VRRP或动态路由等机制进行链路切换，实现一台设备故障后流量自动切换到另一台正常工作的设备，如图2.78右图所示。

传统备份组网方案适用于接入点是路由器等转发设备的情况。因为经过设备的每个报文都是查找转发表进行转发，连接切换后，后续报文的转发不受影响。但是当接入点是状态防火墙等设备时，由于状态防火墙是基于连接状态的，当用户发起会话时，状态防火墙只会对会话的首包进行检查，如果首包允许通过则会建立一个会话表项（表项里包括源IP、源端口号、目的IP、目的端口号等信息），只有匹配该会话表项的后续报文（包括返回报文）才能够通过防火墙。如果链路切换后，后续报文找不到正确的表项，会导致当前业务中断。

因此，对于状态防火墙，在链路切换前，必须对会话信息进行主备同步。在设备故障后能将流量切换到其他备份设备，由备份继续处理业务，从而保证了当前的会话不被中断。如图2.78右图所示，在接入点的位置部署两台防火墙，当其中一台防火墙发生故障时，数据流被引导到另一台防火墙上继续传输，因为在流量切换之前已经进行了数据同步，所以当前业务不会中断，从而提高了网络的稳定性及可靠性。

图2.78 双机热备

2.双机热备工作模式

根据组网情况，双机热备有两种工作模式，主备模式和负载分担模式。在这两种模式中，设备的角色根据是否承担流量来决定，有流量经过的设备即为主设备，无流量经过的设备即为备份设备。

（1）主备模式 主备模式下的两台防火墙，其中一台为主设备，另一台作为备份设备。主设备处理所有业务，并将产生的会话信息传送到备份设备进行备份，备份设备不处理业务，只用做备份。当主设备故障，备份设备接替主设备处理业务，从而保证新发起的会话能正常建立，当前正在进行的会话也不会中断，如图2.79所示。

（2）负载分担模式 负载分担模式下，两台设备均为主设备，都处理业务流量，同时又作为另一台设备的备份设备，备份对端的会话信息。

图2.79 主备模式

当其中一台故障后，另一台设备负责处理全部业务，从而保证新发起的会话能正常建立，当前正在进行的会话也不会中断，如图2.80所示。

图2.80 负载分担模式

3.双机热备实现机制

防火墙设备需要维护每条会话的状态等相关信息，当主设备故障，流量切换到备份设备时，仍然要求备份设备上有正确的会话信息才能继续处理会话报文，否则会话报文会被丢弃从而导致会话中断，因此，主设备上会话建立或表项变化时需要将相关信息同步保存到备份设备，以保证主设备和备份设备会话表项的完全一致。防火墙能够同步的信息包括会话、NAT、ALG、ASPF、黑名单、H.323、SIP、ILS、RTSP、NBT、SQLNET等。

会话同步的方式有批量备份和实时备份两种：

（1）批量备份 防火墙设备工作了一段时间后，可能已经存在大量的会话表项，此时加入另一台防火墙设备，在两台设备上使能双机热备功能后，先运行的防火墙会将已有的会话表项一次性同步到新加入的设备，这个过程称为批量备份。

（2）实时备份 防火墙在运行过程中，可能会产生新的会话表项。为了保证表项的完全一致，防火墙在产生新表项或表项变化后会及时备份到另一台设备，这个过程称为实时备份。

双机热备流量切换有两种方式：一是通过VRRP实时流量切换，其次是通过动态路由实现流量切换。(www.xing528.com)

通过VRRP将局域网中的一组设备配置成一个备份组，这组设备在功能上就相当于一台虚拟设备。局域网内的主机只需要知道这个虚拟设备IP地址，通过这个虚拟设备与其他网络进行通信。备份组中，仅有一台设备处于活动状态，能够转发报文，称为主用设备（master），其余设备都处于备份状态，并随时按照优先级高低做好接替任务的准备，称为备份设备（backup）。当发现主用设备故障时，优先级次高的备用设备会选为新的主用设备接替原主用设备工作，整个过程对用户来说是完全透明的，这就很好地实现了流量切换。

主备模式下仅需要配置一个备份组，不同防火墙在给备份组中拥有不同优先级，优先级高的防火墙成为Master。如图2.81所示，防火墙Firewall 1和Firewall 2上创建VRRP备份组1，并配置Firewall 1的优先级高于Firewall 2。主机Host A和Host B的缺省网关设为备份组1的虚拟IP地址172.17.1.200／24。Firewall 1能正常工作的情况下，Firewall 1承担Host A和Host B的转发任务，Firewall 2是备份设备且处于就绪监听状态。如果Firewall 1发生故障，则Firewall 2成为新的主用设备，继续为Host A和Host B提供转发服务，如图2.81左图所示。

图2.81 通过VRRP实时流量切换

负载分担模式需要配置两个备份组，通过配置保证一台防火墙是备份组1的主用设备，另一台防火墙是备份组2的主用设备。防火墙Firewall 1和Firewall 2上均创建VRRP备份组1和备份组2，配置在备份组1上Firewall 1的优先级高于Firewall 2，在备份组2上Firewall 2的优先级高于Firewall 1，主机Host A的缺省网关设为备份组1的虚拟IP地址172.17.1.200／24，主机Host B的缺省网关设为备份组2的虚拟IP地址172.17.1.201／24。以此实现Firewall 1正常工作的情况下，Host A的报文通过Firewall 1转发，Host B的报文通过Firewall 2转发，Firewall 1和Firewall 2分担处理内网的报文流量，同时又互为备份，监听对方的状态。如果Firewall 1发生故障，则Firewall 2成为备份组1的主用设备，Host A和Host B的报文均通过Firewall 2转发，如图2.81右图所示。

图2.82 通过动态路由实现流量切换

如果网络中不同网段的两台设备A到B之间有多条通路，动态路由协议会使用算法选取最优的一条路径作为A到B的路由。当这条通路故障时，路由协议会从剩余的可用通路中选择最优的一条作为新的路由，如果故障路由恢复，则又会重新启用原路由，从而动态的保证A与B之间的连通。

双机热备的工作模式是主备模式还是负载分担模式可以通过组网和动态路由的配置实现（以下以OSPF为例）：

主备模式只有一台防火墙处于工作状态，另一台防火墙处于备份状态。如图2.82所示，Router A，Router B，Firewall 1和Firewall 2上均配置OSPF功能，处于同一个OSPF域，在Router A和Router B上都配置Ethernet 1／1的cost值小于Ethernet 1／2的，这样，路径Router AFirewall 1router B的优先级会高于路径Router AFirewall 2Router B，当Firewall 1能正常工作的情况下，内网发往外网的报文会通过Firewall 2转发。

负载分担模式下两台防火墙处于工作状态并互为备份。Router A，Router B，Firewall 1和Firewall 2上均配置OSPF功能，处于同一个OSPF域，在Router A和Router B上都配置至少允许两条等价路由。因为Router AFirewall 1Router B这条路由与

Router Afirewall 2Router B优先级一样，所以，当Firewall 1，Firewall 2能正常工作的情况下，Firewall 1和Firewall 2分担处理内网发往外网的报文；当Firewall 1发生故障，则Firewall 2会处理内网发往外网的全部报文。

4.配置双机热备

在导航栏中选择“高可用性”→“双机热备”，进入如图2.83所示的页面。

图2.83 配置双机热备功能

在“双机热备配置”中使能双机热备功能，选择备份的类型，然后单击【修改备份接口】按钮，进入如图2.84所示的页面。

图2.84 备份接口配置

从“可选的备份接口”列表中选择备份接口，然后单击【确认】按钮完成双机热备的配置。