【正文】 本手冊僅作為使用指導，本手冊中的所有陳述、信息和建議不構(gòu)成任何明示或暗示的擔保。 對于本手冊中出現(xiàn)的其它商標，由各自的所有人擁有。C08 iNET174。、HUAWEI OptiX174。、 DOPRA174。、 Inmedia174。、 Airbridge174。、Musa174。、 TELESIGHT174。、雷霆 174。、SYNLOCK174。、 Netkey174。、 TELLIN174。、 ETS174。、ViewPoint174。、 174。、 EAST8000174。、 Camp。、 HUAWEI174。 非經(jīng)本公司書面許可，任何單位和個人不得擅自摘抄、復制本書內(nèi)容的部分或全部，并不得以任何形式傳播。華為產(chǎn)品維護資料 Eudemon 系列 防火墻 維護手冊之四 雙機熱備組網(wǎng) 2020/04/20 i Eudemon系列 防火墻 維護手冊之四 雙機熱備組網(wǎng) 聲明 Copyright 169。2020 華為技術有限公司 版權所有，保留一切權利 。 174。、華為 174。C08174。、 HONET174。、視點 174。、 INtess174。、 DMC174。、 InfoLink174。、 Quidway174。、 Radium174。、 M900/M1800174。、 Quidview174。、視點通 174。、 Tellwin174。、 VRP174。、 iTELLIN174。、 Camp。、 NETENGINE?、 OptiX?、 iSite?、 USYS?、iMUSE?、 OpenEye?、 Lansway?、 SmartAX?、邊際網(wǎng) ?、 infoX?、TopEng?均為華為技術有限公司的商標。 由于產(chǎn)品版本升級或其它原因， 本手冊內(nèi)容會不定期進行更新。 技術支持 技術支援網(wǎng)址： 客戶服務郵箱： 客戶服務電話 ： 8008302118 075528560000 傳真： 075528560111 地址： 深圳市龍崗區(qū)坂田華為總部辦公樓 郵編： 518129 華為產(chǎn)品維護資料 Eudemon 系列 防火墻 維護手冊之四 雙機熱備組網(wǎng) 2020/04/20 ii 目 錄 第 1章 Eudemon防火墻雙機熱備概述 ................................................................................. 11 傳統(tǒng)維護鏈路穩(wěn)定性的方法 .........................................................................................11 引入雙機熱備的必要性 ...............................................................................................12 為什么要引入雙機熱備 ......................................................................................12 什么是雙機熱備 ................................................................................................13 如何實現(xiàn)雙機熱備 ............................................................................................13 雙機熱備的注意點 ............................................................................................14 防火墻雙機熱備的基本工作原理 ..................................................................................14 VRRP 協(xié)議 ......................................................................................................15 VGMP 協(xié)議 ......................................................................................................18 HRP 協(xié)議 ...................................................................................................... 111 VRRP、 VGMP 和 HRP 的相互關系 ................................................................. 114 第 2章 Eudemon防火墻雙機熱備組網(wǎng)配置基礎 ................................................................... 21 路由模式下雙機熱備的基本組網(wǎng) ..................................................................................21 混合模式下雙機熱 備的基本組網(wǎng) ..................................................................................23 路由模式下雙機熱備的負載分擔基本組網(wǎng) ....................................................................25 Eudemon 雙機熱備配置注意點 ....................................................................................28 Eudemon 雙機熱備備份信息 ..................................................................................... 214 Eudemon200 與 Eudemon500/1000 雙機熱備配置區(qū)別 .............................................. 215 Eudemon 雙機熱備的缺陷和技術規(guī)劃 ........................................................................ 216 第 3章 Eudemon雙機熱備組網(wǎng)配置方案 .............................................................................. 31 防火墻工作在路由模式下的組網(wǎng)配置方案 .....................................................................31 雙機熱備和二層交換機的組網(wǎng)配置方案 ..............................................................31 雙機熱備與三層交換機的組網(wǎng)配置方案 ..............................................................38 雙機熱備與路由器的組網(wǎng)配置方案 ................................................................... 317 防火墻工作在混合模式下的組網(wǎng)配置方案 ................................................................... 325 防火墻工作在負載分擔下的組網(wǎng)配置方案 ................................................................... 332 第 4章 雙機熱備配置檢查 ..................................................................................................... 41 路由模式下的雙機熱備配置檢查 ..................................................................................41 混合模式下的雙機熱備配置檢查 ..................................................................................42 在配置檢查完后，通過命令檢查雙機熱備的狀態(tài)是否正確 .............................................44 華為產(chǎn)品維護資料 Eudemon 系列 防火墻 維護手冊之四 雙機熱備組網(wǎng) 錯誤 !未找到引用源。象企業(yè)的 inter 接入點，銀行的數(shù)據(jù)庫服務器等，對于這樣一些重要的業(yè)務點如何保證網(wǎng)絡的不間斷傳輸，成為必須解決的一個問題。而防火墻正是作為內(nèi)外網(wǎng)的一個接入點上，為了防止一臺設備出現(xiàn)故障導致網(wǎng)絡業(yè)務中斷， 故此 如何 維護網(wǎng)絡穩(wěn)定性 是急需解決的問題。為了避免由于單點故障而導致的業(yè)務中斷，從而形成多條鏈路的保護機制，如下圖所示。 Eudemon 防火墻雙機熱備概述 12 采用多條鏈路的保護機制，依靠動態(tài)路由協(xié)議進行鏈路切換。例如：如上圖所示，如果內(nèi)部網(wǎng)絡直接連到路由器上，由于 PC 機上無法執(zhí)行動態(tài)路由只能使用靜態(tài)路由方式，從而指 定 PC 下一跳的固定的路由器接口，當鏈路中斷后，無法實現(xiàn)鏈路切換。 圖 13 采用 VRRP進行 鏈路保護機制 采用 VRRP的鏈路保護機制比依賴動態(tài)路由協(xié)議的廣播報文來進行鏈路切換的時間更短，同時彌補了不能使用動態(tài)路由情況下的鏈路保護。其中僅有一臺設備處于活動狀態(tài)（ Master）并承擔報文轉(zhuǎn)發(fā)任務，其余設備都處于備份狀態(tài)，并隨時按照優(yōu)先級高低做好接替任務的準備 。 引入雙機熱備的必要性 為什么要引入雙機熱備 雖然存在這么兩種鏈路保護的機制，為什么防火墻還要提出雙機熱備呢？ (1) 報文的轉(zhuǎn)發(fā)機制不同 對于路由器來說，業(yè)務中的每個數(shù)據(jù)包都會逐包轉(zhuǎn)發(fā)，即每個報文都會查路由表當匹配上后才進行轉(zhuǎn)發(fā)，當鏈路切換后，后續(xù)報文不會受到影響，繼續(xù)進行轉(zhuǎn)發(fā)。 Eudemon 防火墻雙機熱備概述 13 致業(yè)務中斷。 (2) VRRP 在防火墻應用的缺陷 每個備份組的 VRRP 是單獨工作的，并且每個 VRRP 狀態(tài)相對獨立，因此無法保證同一防火墻上各接口的 VRRP 狀態(tài)都為主用或都為備用 。 圖 14 雙機熱備基本組網(wǎng) 如何實現(xiàn)雙機熱備 Eu d e mo n AMa ste rEu d e mo n BBa ck u pTr us t 區(qū)域DM Z 區(qū)域Unt r us t 區(qū) 域PCPC( 1 ) ( 2 )( 3 )( 4 )( 7 )會話表項Ser v er( 5 )( 6 )( 8 )實際連線報文流徑Eu d e m o n AM a ste rEu d e m o n BBa ck u pTr ust 區(qū)域D M Z 區(qū)域U nt r ust 區(qū) 域備份組 1備份組 2備份組 3A1A2A3B2B1B3管理組 1管理組1華為產(chǎn)品維護資料 Eudemon 系列 防火墻 維護手冊之四 雙機熱備組網(wǎng) 錯誤 !未找到引用源。 兩臺防火墻形成雙機熱備，兩臺防火墻之間通過 VRRP 的 hello 報文協(xié)商主備關系，根據(jù) VGMP 的優(yōu)先級和接口的 IP 從而確定防火墻的 master 和 slave 關系，并且master 防火墻會通過 HRP 協(xié)議定時向 slave傳送備份信息（命令行備份信息和動態(tài)備份信息），當 master 防火墻出現(xiàn)故障時，主備關系發(fā)生轉(zhuǎn)換，業(yè)務會平滑切換，不會影響這個業(yè)務的進行。但對于只使用 VRRP 的組網(wǎng)可以支持多臺設備進行冗余備份； ? 由于雙機熱備中具有備份機制可以備份動態(tài)信息和命令，因此要求進行雙機 熱備的兩臺設備板卡的位置，以及接口卡的類型都要求相同，否則會出現(xiàn)主防火墻備份過去的信息，與從防火墻根本就無法進行搭配使用，如出現(xiàn)主備狀態(tài)切換就會導致業(yè)務出問題。 防火墻雙機熱備的基本工作原理 防火墻雙機熱備包含