双机热备的系统要求

硬件要求

组成双机热备的两台 FW的型号必须相同，安装的单板类型、数量以及单板安装的位置必须相同。对于 USG6680E和 USG6712E/6716E，要求组成双机热备的两台同型号设备的BomID Version匹配，即BomID Version为000、001、002的设备不能与BomID Verison为003及其之后的同型号设备组建双机热备环境，其中，BomID Version可通过 display version查看。

软件要求

组成双机热备的两台 FW的系统软件版本、系统补丁版本、动态加载的组件包、特征库版本、HASH选择CPU模式以及HASH因子都必须相同。

实际上，在系统软件版本升级或回退的过程中，两台 FW可以暂时运行不同版本的系统软件。

License要求

双机热备功能自身不需要License。但对于其他需要License的功能，如IPS、反病毒等功能，组成双机热备的两台 FW需要分别申请和加载License，两台 FW之间不能共享License。两台 FW的License控制项种类、资源数量、升级服务到期时间都要相同。

心跳线

双机热备组网中，心跳线是两台 FW交互消息了解对端状态以及备份配置命令和各种表项的通道。心跳线两端的接口通常被称之为 “心跳接口”。

心跳线主要传递如下消息：

心跳报文（Hello报文）：两台 FW通过定期（默认周期为1秒）互相发送心跳报文检测对端设备是否存活。
VGMP报文：了解对端设备的VGMP组的状态，确定本端和对端设备当前状态是否稳定，是否要进行故障切换。
配置和表项备份报文：用于两台 FW同步配置命令和状态信息。
心跳链路探测报文：用于检测对端设备的心跳口能否正常接收本端设备的报文，确定是否有心跳接口可以使用。
配置一致性检查报文：用于检测两台 FW的关键配置是否一致，如安全策略、NAT等。

上述报文均不受 FW的安全策略控制。因此，不需要针对这些报文配置安全策略。

心跳线和心跳接口的配置建议

心跳接口的连线方式可以是直连，也可以通过交换机或路由器连接。建议将组成双机热备的两台 FW安装在同一个机架或者相邻的机架上，心跳接口使用网线或者光纤直连。
对于其他未提供专门HA接口的机型，建议规划专门的接口作为心跳接口，该接口只用来发送心跳报文、备份报文等双机热备功能相关的报文，不要将业务报文引导到该接口上转发。同时，建议将多个以太网接口绑定成Eth-Trunk接口，使用Eth-Trunk作为心跳接口。这样既提高了链路的可靠性，又可以增加备份通道的带宽。

建议至少配置2个心跳接口。一个心跳接口作为主用，另一个心跳接口作为备份。

心跳线和心跳接口的配置注意事项

MGMT接口（ MEth0/0/0）不能作为心跳接口。
配置了 vrrp virtual-mac enable命令的接口不能用作心跳接口。
两台 FW心跳接口的类型、接口编号、链路协议类型必须相同。如果使用Eth-Trunk接口作为心跳接口， Eth-Trunk接口的成员接口也要相同。如果使用VLAN接口（VLANIF）作为心跳接口，实际收发报文的二层物理接口也必须相同。
两台 FW心跳接口必须加入相同的安全区域。

如果 FW上配置了虚拟系统，心跳接口不能是虚拟系统的接口，必须是根系统的接口。虚拟系统的配置命令和表项也能通过规划在根系统的心跳接口备份到对端设备。

双机热备工作模式

1、主备备份模式：两台设备一主一备。正常情况下业务流量由主用设备处理。当主用设备故障时，备用设备接替主用设备处理业务流量，保证业务不中断。

2、负载分担模式：两台设备互为主备。正常情况下两台设备共同分担整网的业务流量。当其中一台设备故障时，另外一台设备会承担其业务，保证原本通过该设备转发的业务不中断。

3、镜像模式：两台设备的配置相同。镜像模式是实现主备备份双机热备的一种特殊技术手段，主要用于DCN 和云管理场景中。\\镜像方式不支持VRRP

VGMP组协议

为了保证所有VRRP备份组切换的一致性，在VRRP的基础上进行了扩展，推出了VGMP（VRRP组管理协议）来弥补此局限。

双机热备协议框架

VGMP组优先级是不可配置的。设备正常启动后，会根据设备的硬件配置自动生成一个VGMP组优先级，我们将这个优先级称之为初始优先级。当设备发生故障时，VGMP组优先级会降低。

VGMP：保证VRRP主备切换一致性；---利用VRRP协议的扩展报文来实现

HRP：用于双机之间的配置命令和连接状态信息的同步； ---利用VRRP协议的扩展报文来实现

VRRP：虚拟路由冗余协议；

==============================

路由器中VRRP的组网

==============================================

VGMP监控主备状态的方式：

1、对VRRP组进行监控

适用于上下行都是交换机组网场景：

vrrp vrid 1 virtual-ip xxxx active

vrrp vrid 1 virtual-ip xxxx standby

2、对直连接口状态进行监控；

hrp track interface GX/X/X

主备设备的确定方式：

a、手动指定备设备 hrp standby-device

b、系统计算主机名的ASII码计算小的是主设备

适用于上下行都是路由器组网，如果是间接故障，使用hrp track ip-link

3、对VLAN减进行监控

hrp tack vlan X

主备设备的确定方式：

a、手动指定备设备 hrp standby-device

b、系统计算主机名的ASII码计算小的是主设备

防火墙工作的二层模式下使用。
4、如果上行路由器或者下行交换机，可以使用vrrp vrid 1 virtual-ip xxxx active 和hrp track interface XXX 来结合使用。

练习拓扑

1、防火墙、路由器基础配置、防火墙接口加入对应区域等略；

2、配置vrrp并指定主备

[USG6000V1-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 10.1.1.254 active \\在FW1上配置，指定主

[USG6000V1-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 10.1.1.254 standby \\在FW1上配置，指定备

3、两端防火墙分别配置心跳

[USG6000V1]hrp interface Eth-Trunk 1 remote 1.1.1.2

[USG6000V1]hrp enable

HRP_M[USG6000V1]dis hrp state

2021-04-29 06:45:44.040

Role: active, peer: standby

Running priority: 45000, peer: 45000

Backup channel usage: 0.00%

Stable time: 0 days, 0 hours, 0 minutes

Last state change information: 2021-04-29 6:45:39 HRP link changes to up.

4、SW1上配置vlan1 的IP地址，并配置默认路由

[Huawei]int Vlanif 1

[Huawei-Vlanif1]ip add 10.1.1.1 24

[Huawei]ip route-static 0.0.0.0 0 10.1.1.254

5、AR1、FW1、FW2上配置OSPF，并把G 1/0/0配置为静默接口，心跳接口不需配置OSPF

6、在AR1上会学到一条10.1.1.0网段的路由---可并不是等价路由

AR1到10.1.1.0网段的路由，看起来都走FW1没有什么影响，来回路径是一致的

我们查看下这条路由，是因为备墙在运行OSPF时候会把 metric值被设置为最大

7、当FW1的G 1/0/1接口down掉

HRP_M[USG6000V1]int g 1/0/1 (+B)

HRP_M[USG6000V1-GigabitEthernet1/0/1]shutdown

FW的主备不会切换，

HRP_M[USG6000V1-GigabitEthernet1/0/1]dis vrrp brief

2021-04-29 07:47:55.720

Total:1 Master:1 Backup:0 Non-active:0

VRID State Interface Type Virtual IP

----------------------------------------------------------------

1 Master GE1/0/0 Vgmp 10.1.1.254

但是AR1的路由会切换到备墙FW2上，会出现来回路由不一致的情况

8、如何解决?======防火墙track 下联接口

HRP_M[USG6000V1]hrp track interface GigabitEthernet 1/0/1

HRP_S[USG6000V1]hrp track interface GigabitEthernet 1/0/1

再看防火墙的主备状态，已经进行了倒换

AR1来回路径一致。

ITPub博客

防火墙的双机热备1：主备、负载方式