防御笔记第七天(时需更新)

07-17 1638阅读

1.防火墙的可靠性:

防御笔记第七天(时需更新)

因为防火墙不仅需要同步配置信息,还需要同步状态信息(会话表等),所以防火墙不能像路由器那样单纯靠动态协议来进行切换,还需要用到双击热备技术。

  1. 双机---目前双机技术仅仅支持两台防火墙的互备
  2. 热备---两台设备共同运行,在一台设备出现故障的情况下,另一台设备可以立即代替原设备(也存在冷备的概念,仅工作一台设备,另外一台进行备份,备份设备仅同步配置,并不工作,只有在主设备出现故障时候,再由管理员替换工作,冷设备可能造成较长时间的业务中断)

2.VRRP---虚拟路由器冗余技术

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

3.VGMP---华为私有协议。

因为VRRP彼此是独立的,所以一个VRRP组进行切换不会直接导致其他组切换,在防火墙的双机热备场景之下,上下由两个VRRP组,需要同步切换,使用传统的上行链路监控比较复杂,所以设计了VGMP协议,来对VRRP进行统一的切换管理。

防御笔记第七天(时需更新)

5主备形成场景:

  1. FW1被设定成为主设备---FW1中的VGMP的active组被激活,并且将上下两个VRRP组拉到VGMP组中,并且状态都是active。
  2. FW2被设定为被设备—FW2中的VGMP的standby组被激活并且将上下两个VRRP组拉进VGMP的standby组中,并且状态都是standby。(VGMP中存在优先级概念,active组的默认优先级为65001,standby组的默认优先级为65000,并且,在VGMP中,所有的主设备都会成为active,所有的被设备都成为standby)
  3. 主设备上下两个VRRP组的接口将发送免费的ARP报文。

6.Fw1接口故障切换场景

  1. 假设fw1下的接口发生故障,接口状态会从active状态切换到initialize状态(接口故障的一个过度状态)
  2. VGMP组感知到接口变化,会降低自身的优先级(每一个接口发生故障则优先级会降低2)
  3. Fw1会项fw2发送一个状态变更的请求报文,这个报文中会包含降低后的优先级;
  4. FW2收到请求报文后,发现自身的优先级高于对方的优先级,则会将自己的standby 组的状态切换到active状态
  5. FW2的VGMP组状态发生变化,则组中的VRRP组状态同步发生变化,都从standby到active
  6. FW2回复FW1应答报文,表示允许切换
  7. FW1收到应答报文以后,将自身active状态从active切换到standby状态,并且其中的VRRP组同步切换到standby状态,不包含故障接口的状态,依旧是initialize状态
  8. FW2上下两个VRRP组将发送免费的ARP报文,让交换机切换mac地址表,之后所有的流量将会从FW2过。

注意:HRP---华为冗余协议----华为私有协议---可同步防火墙的状态和配置信息

配置信息---(接口IP地址,路由地址)-----hrp不能同步基本的接口和路由信息,安全策略和NAT策略…….

防御笔记第七天(时需更新)

状态信息-----会话表,server-map,黑名单和白名单等等

防御笔记第七天(时需更新)

HRP在进行双机热备时,还有一个要求,两台热设备之间,必须拥有一条链路,用来同步信息,并且,这条链路必须是三层链路---这两条路在进行数据传输时,不受安全策略的影响,(注意,如果心跳线是直连的,则不受安全策略的影响,但是中间有中继设备,即非直连场景,则需要配置安全策略)----心跳线----VGMP发送的报文也是通过心跳线传输的。

HRP会周期性的发送心跳报文,只有主设备发送,周期时间默认为1s如果设备在三个周期时间内没有收到对方的心跳报文,就会认定对方出现故障将以自身为主。

 7.HRP三种备份方式

  1. 自动备份---自动备份配置和状态信息,但是,配置信息可以立即自动备份,状态信息无法立即备份,智能通过短暂的延时之后,在进行备份。(备份时间大约在10s)
  2. 手工备份---由网络管理员手工触发,可以立即同步配置和状态信息
  3. 快速备份----该备份只针对负载分担场景。无法同步配置信息,仅能同步状态信息,并且可以立即同步状态信息。

8.各场景分析

  1. 主备形成场景防御笔记第七天(时需更新)

  2. 主备障碍切换场景:---接口故障

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

9.障碍发生的情况:

  1. 主备障碍切换场景----整机故障

整机故障可以通过保活机制来进行切换,主设备发生故障时则不会发送HRP心跳报文被设备在超时时间内没有接收到主设备的保活包,则将会进行状态切换;

  1. 原主设备故障恢复场景

根据有没有开启抢占分为两种不同的情况

  1. 如果没有开启抢占—原主设备继续以被设备身份工作
  2. 如果开启了抢占

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

10.负载分担场景

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

11负载分担接口故障场景

防御笔记第七天(时需更新)

12.双机热配置;

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

如果勾选了主动抢占,则代表开启了抢占模式,默认开启了60s抢占延迟(抢占延时主要是为了应对一些接口可能出现反复震荡的情况)

防御笔记第七天(时需更新)

Hello报文周期就是保活报文的发送周期,默认是1s,可以修改但是,需要两边同时修改。否则可能导致对接不上

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

注意:1.虚拟mac地址勾选可以让切换对用户全过程无感知

  1. 如果虚拟IP地址和接口IP地址不在同一个网段,则匹配时必须配置子网掩码

防御笔记第七天(时需更新)

HRP手工备份的位置

负载分担

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

13其他部署模式下的双机热备

  1. 双机热备直路部署-上下二层

防御笔记第七天(时需更新)

  1. 双击直路部署-上下三层

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

防火墙透明部署---上下二层

防御笔记第七天(时需更新)

防御笔记第七天(时需更新)

这种情况下建议使用主备模式不要使用负载负载分担模式

防火墙透明带部署----上下三层

防御笔记第七天(时需更新)

这种模式建议采用负载分担,并建议使用主备模式。

VPS购买请点击我

文章版权声明:除非注明,否则均为主机测评原创文章,转载或复制请以超链接形式并注明出处。

目录[+]