草庐IT

防火墙双机热备

微笑的段嘉许 2023-03-28 原文

防火墙双击热备

?博客主页： ​​微笑的段嘉许博客主页​​

?欢迎关注?点赞?收藏⭐留言?

?本文由微笑的段嘉许原创！

?51CTO首发时间：?2022年10月4日?

✉️坚持和努力一定能换来诗与远方！

?作者水平很有限，如果发现错误，一定要及时告知作者哦！感谢感谢！

⭐本文介绍⭐

一提到防火墙，一般会联想到企业的边界设备，防火墙一般放置在内网和互联网的必经之路。防火墙承载了非常多的功能；如安全规则、防病-毒、IPS、文件类型过、内容过滤、应用层探测等。也正是因为防火墙如此重要，从另外一个角度看，一旦防火墙出现问题，所有的对外通信及对DMZ服务器的通信都将中断，所以企业还要考虑防火墙‘’‘’‘’‘’‘’‘’自身的优化及高可用性。本文介绍华为防火墙的高可用技术。


?理论讲解：

双机热备的工作原理

华为的双机热备是通过部署两台或多台防火墙实现热备及负载均衡，两台防火墙相互协同工作，犹如一个更大的防火墙。

如下图所示，企业中在关键的业务出口部署一台防火墙，所有的对外流量都经过防火墙传输，一旦防火墙出现故障，那么企业将面临网络中断的问题，无论防火墙本身的性能有多好、功能有多强，在这一刻，都无法挽回企业面临的损失。所以，通过在企业的出口部署两台防火墙产品，可以在增加企业安全的同时，保证业务传输基本不会中断，因为两台设备同时出现故障的概率非常小。

华为防火墙的双机热备包含一下两种模式

热备模式：同一时间只有一台防火墙转发数据包，其他防火墙不转发数据包，但是会同步会话表及Server-map表。

负载均衡模式：同一时间，多台防火墙同时准发数据，但每个防火墙又作为其他防火墙的备用设备，即每个防火墙既是主用设备也是备用设备，防火墙之间同步会话表及Server-map表。

VRRP协议

在双机热备技术中，即使选举出了主用设备和备用设备，默认情况下流量也通过主用设备转发，而备用设备处于备份状态。但是客户机通常通过指定网关地址来指定网络出口，当客户机将网关指向主用设备时，流量自然从主用设备转发，但是当主用设备故障时，客户机并不会将网关自动指向备用设备，所以即使双机热备本身可以切换，客户机也依然无法正常通信。所以要保证双机热备可以正常工作，还需解决客户机网关自动切换的问题。而VRRP技术可以解决网关自动切换的问题，甚至还能让设备切换对客户机而言时透明的。在华为防火墙的双机热备技术中，VRRP是非常重要的一个组成部分。

VRRP概论

  1. VRRP路由器：运行VRRP协议的路由器。
  2. 虚拟路由器：由一个主用路由器和若干个备用路由器组成的一个备份组，一个备份组对客户端提供一个虚拟网关。
  3. VRID：Virtual　Router　ID，虚拟路由器标识，用来唯一的表示一个备份组。
  4. 虚拟IP地址：提供给客户端的网关IP地址，也是分配给虚拟路由器的IP地址，在所有的VRRP中配置，只有主要设备提供IP地址的ARP响应。
  5. 虚拟MAC地址：基于VRID生成的用于VRRP的MAC地址，在客户端通过ARP协议解析网关的MAC地址时，主要路由器将提供该MAC地址。
  6. IP地址拥有者：若将虚拟路由器的IP地址配置为某个成员物理接口的真实IP地址，那么该成员被称为IP地址拥有者。
  7. 优先级：用于标识VRRP路由器的优先级，并通过每个VRRP路由器的优先级选举主要设备及备用设备。
  8. 抢占模式：在抢占模式下，如果备用路由器的优先级高于备份组中的其他路由器（包括当前的主要路由器），将立即称为新的主要路由器。
  9. 非抢占模式：在非抢占模式下，如果备用路由器的优先级高于备份组中的其他路由器（包括当前的主用路由器），则不会立即成为主用路由器，直到下一次公平选举（如断电、设备重启等）
    VRRP的工作原理和Cisco的HSRP基本相同，只是在细节上有些区别
  • VRRP时公有协议，而HSRP是Cisco专有协议。
  • VRRP中虚拟路由器的IP地址可以是成员路由器的IP地址，而HSRP不可以
  • VRRP的虚拟MAC地址前缀是00-00-5e-00-01-VRID，而HSRP的虚拟MAC地址前缀是00-00-0C-07-AC-组号
  • VRRP的状态机有三个，而HSRP的状态机包含五个（初始、学习、监听、发言、备份、活动）
  • VRRP只有一种报文，VRRP通告报文由主用路由器发出，用于检测虚拟路由器的参数，同时用于主用路由器的选举。而HSRP有三种报文（hell、政变、辞职）
  • VRRP不支持接口跟踪，而HSRP支持。

VRRP的角色

工作在VRRP模式下的路由器有两种角色，分别是Master路由器和Backup路由器。

  • Master路由器：正常情况下由Master路由器负责ARP响应及提供数据包的转发，并且默认每个1s 向其他路由器通告Master路由器当前的状态信息
  • Backup路由器：是Master路由器的备用路由器，正常情况下不提供数据包的转发，当Master路由器故障时，在所有的Backup路由器中优先级最高的路由器将成为新的Master路由器，接替转发数据包的工作，从而保证业务不中断。

VRRP的状态机

VRRP定义了三种工作状态，分别时Initialize（初始）Master（活动状态）和Backup（备份状态）

  • Initialize状态：刚配置了VRRP时的初始状态。该状态下，不对VRRP报文做任何处理，当接口Shutdown或接口故障时也将进入该状态。
  • Master状态：当前设备选举成为主用路由器时的一种状态。该状态下会转发业务报文，并周期性地发送VRRP通告报文，处于该状态地路由器还将响应客户机发送地ARP请求，并将虚拟MAC地址回送客户机。当接口关闭时，将立即切换至Initialize状态。
  • backup状态：当前设备选举成为备用路由器时的一种状态。该状态不转发任何业务报文，工作在该状态下的路由器会接收主用路由器发送的VRRP通告报文，并判断主用路由器是否正常工作。在双机热备模式中还将同步主用设备上的状态信息。
三种状态之间的切换关系如下图所示

VGMP的工作原理表现

  • VGMP组的状态决定了VRRP备份组的状态，即设备的角色（如Master和Backup）不通过VRRP报文选举，而是直接通过VGMP统一管理。
  • VGMP组的状态通过比较优先级决定，优先级高的VGMP组将成为Active，优先级低的VGMP组将成为Standby。
  • 默认情况下，VGMP组的优先级为4500
  • VGMP根据组内VRRP备份组的状态自动调正优先级，一旦检测到备份组的状态变成Initialize状态，VGMP组的优先级会自动减2
  • VGMP通过心跳线协商VGMP状态信息、
下面通过一个示例分析VGMP的工作原理，如图：

?友情提示：

在加入了VGMP组之后，VRRP中的状态标识从Master和Backup变成Active和Standby。

VGMP的报文封装

VGMP通过心跳线协商VGMP的状态信息，通过发送VGMP报文实现，VGMP报文有一下两种形式

在实际应用中，应根据实际的拓扑灵活选择报文封装。在华为防火墙中，通过一下命令指定通过接口的报文属于哪种类型的封装。

[USG6000V1]hrp interface GigabitEthernet 1/0/0 //eNSP模拟器中不支持该配置
[USG6000V1]hrp interface GigabitEthernet 1/0/0 remote 1.1.1.1
其中hrp命令用来指定用于心跳链路的接口，带remote参数的命令表示报文将封装UDP，并发送单薄报文，不带remote参数的命令表示将发送组播报文。1.1.1.1标识对端设备（心跳线对端接口）的IP地址，该地址要求可路由，只有指定remote参数时才需要指定。

双机热备的备份方式

双机热备的备份方式包括一下三种

  • 自动备份：该模式下，和双机热备有关的配置命令只能在主用设备上配置，并自动同步到备用设备中，主要设备自动将状态信心同步到备用设备中。该模式是华为防火墙的默认开启模式，主要应用于热备模式。
  • 手工批量备份：该模式下，主用设备上所有的配置命令和状态信息，只有在手工执行批量备份命令时才会自动同步到备用设备。该模式主要应用于主备设备配置不同步，需要立即进行同步的场景中。
  • 快速备份：该模式下，不同步配置命令，只同步状态信息。在负载均衡方式的双机热备坏境中，该模式必须启用，以快速更新状态信息。

?实验配置与实现：

拓扑图：

推荐步骤：

将防火墙接口划分到指定的区域给防火墙接口配置IP地址查看接口配置IP地址

配置防火墙安全策略允许local访问DMZ，允许Trust访问Untrust

在FW1和FW2配置VRRP，FW1为Trust和Untrust区域的master设备，FW2为VRRP的Backup设备

在FW1启动双机热备，配置防火墙的DMZ区域接口为心跳网络通过VGMP检测VRRP故障

PC2访问PC1将FW1内网接口关闭在FW2抓包验证防火墙双机热备

实验步骤：

一、将防火墙接口划分到指定的区域给防火墙接口配置IP地址查看接口配置IP地址

1、将防火墙FW1接口划分到指定的区域给给防火墙配置IP地址、查看配置的IP地址

1）进入到指定区域、接口加入指定的区域

2）配置IP地址

3）查看配置的IP地址

4）允许ping防火墙

2、将防火墙FW1接口划分到指定的区域给给防火墙配置IP地址、查看配置的IP地址

1）进入到指定区域、接口加入到指定的区域

2）配置IP地址、允许ping防火墙

3）查看配置的IP地址

二、配置防火墙安全策略允许local访问DMZ，允许Trust访问Untrust

1、防火墙FW1配置安全策略允许local访问DMZ，允许Trust访问Untrust

1）FW1配置安全策略

2、防火墙FW2配置安全策略允许local访问DMZ，允许Trust访问Untrust

1）FW2配置安全策略

三、在FW1和FW2配置VRRP，FW1 为Trust和Untrust区域的master设备，FW2为VRRP的Backup设备

1、在防火墙FW1配置VRRP为TRust和Untrust区域的master设备

1）进入接口

2）指定VRRP的ID号和客户端网关配置为master

3）查看配置的VRRP

4）进入接口

5）指定VRRP的ID号和客户端网关配置master

6）查看配置的VRRP

2、在防火墙FW2配置VRRP为TRust和Untrust区域的Backup设备

1）进入接口

2）指定VRRP的ID号和客户端网关配置为Backup

3）查看配置的VRRP

4）进入接口

5）指定VRRP的ID号和客户端网关配置为Backup

6）查看配置的VRRP

3、客户端配置IP地址

1）PC1配置IP地址

-2）PC2配置IP地址

4、测试直连路由

1）PC1：

2）PC2：

四、在FW1启动双机热备，配置防火墙的DMZ区域接口为心跳网络通过VGMP检测VRRP故障

1、在防火墙FW1启动双机热备份

1）传输心跳信息互指IP地址

2）启动双机热备份

3）指定双机热备份

2、在防火墙FW2启动双机热备份

1）传输心跳信息互指IP地址

2）启动双机热备份

3）指定双机热备份

五、PC2访问PC1将FW1内网接口关闭在FW2抓包验证防火墙双机热备

1、PC2访问PC1关闭FW1的内网接口在FW2抓包验证

1）关闭接口

2）PC2访问PC1

?作者水平很有限，如果发现错误，一定要及时告知作者哦！感谢感谢！

​​返回顶部​​

防火防火墙x-oss-processimageip地址双机热备优先级云平台云计算私藏项目实操分享

有关防火墙双机热备的更多相关文章

  1. 阿里云Web应用防火墙-WAF - 2

    WAF可以对网站进行扫描，识别API漏洞。API安全如何设置API安全_Web应用防火墙-阿里云帮助中心API安全如何划分API业务用途？登录认证手机验证码认证数据保存数据查询数据导出数据分享数据更新数据删除数据增加下线注销信息发送信息认证邮件信息发送邮箱验证码认证账号密码认证账号注册API安全支持检测哪些敏感数据？敏感数据级别敏感数据类型非敏感数据（N）不涉及。特级敏感数据（L0）与一级敏感数据（L1）或二级敏感数据（L2）相同。单次响应中一级敏感数据（L1）较多时，升级为特级敏感数据（L0）。单次响应中二级敏感数据（L2）较多时，升级为一级敏感数据（L1）或特级敏感数据（L0）。一级敏感数

  2. ruby - 从企业防火墙后面安装 gem - 2

    我怀疑公司防火墙阻止安装gem。我定义了HTTP_PROXY，我可以通过以下命令查看远程gem:jruby-Sgemlist-r但是当我去安装gem时，我得到一个404:jruby-Sgeminstallrails除了维护内部gem存储库之外，是否有解决此问题的良好解决方法？ 最佳答案 对于ruby​​gems，将它放在我的gem.bat中这对我有用@"%~dp0ruby.exe""%~dpn0"%*--http-proxyhttp://domainname.ccc.com:8080对于jrubygems这有效@"%~dp0jrub

  3. 防火墙后面的 Mac 上的 Ruby gem 安装问题 - 2

    请为我提供以下问题的解决方案，1)如何在公司防火墙后面的Mac(OSX10.5.1)上安装ruby​​gems。问候，太阳 最佳答案 假设您使用HTTP代理，gem应用程序有一个--http-proxy选项。geminstall--http-proxyhttp://corporate-proxy:1234 关于防火墙后面的Mac上的Rubygem安装问题，我们在StackOverflow上找到一个类似的问题： https://stackoverflow.com

  4. 华为防火墙简单介绍 - 2

    防火墙防火墙分类第一代防火墙：包过滤防火墙包过滤防火墙的缺点第二代防火墙：代理防火墙第三代防火墙：状态防火墙第四代防火墙：UTM防火墙第五代防火墙：下一代防火墙华为防火墙介绍安全策略防火墙的会话表防火墙分类第一代防火墙：包过滤防火墙属于第一代防火墙技术，在没有专用防火墙设备时，一般由路由器实现该功能。将网络上传送数据包的IP首部以及TCP/UDP首部，获取发送源的IP地址和端口号，以及目的地的IP地址和端口号，并将这些信息作为过滤条件，决定是否将该分组转发至目的地网络分组过滤的执行需要设置访问控制列表。访问控制列表也可以称为安全策略（简称策略）或安全规则（简称规则）。类似于进站检票的做法，符合

  5. 华三防火墙NAT配置CLI - 2

    web界面NAT策略配置位置策略--》NAT动态转换--》策略配置如图所示，有两种NAT的配置方式，一种是基于对象组，另一种是传统的ACL，其实两者并没有什么十分大的区别，对象组是人为的预先定义地址组，然后在配置NAT策略的时候通过调用地址组来完成的，这种方式对于那种简单的网络，临时的策略来说有点麻烦，但是如果是需要配置很多的NAT策略，那么这种方式还是不错的，相较于ACL方式就比较适合临时的策略创建。web方式--基于对象组的NAT策略创建 如图所示，基于对象组的方式需要注意的地方就是对象组，对象组其实就是预先创建的组，这些组内部的成员有很多个种类：如图所示，对象组的成员可以是IP，端口，或

  6. Linux下的防火墙 - 2

    Linux下防火墙简介Linux下防火墙有两种分别是iptables和firewalld，在centos7之前centos用的防火墙是iptables，自从centos7过后防火墙的使用就从iptables变成了firewalld。防火墙的作用是根据系统管理员设定的规则来控制数据的包的进出，今天我们来重点介绍firewalld防火墙相较于传统的防火墙管理工具，firewalld加入了zone（区域）的概念，区域对我来说就是他给你整理了几套模板，我们可以通过不同的场景从而进行不同的选择，实现了防火墙策略之间的快速切换zone区域分类         当我们创建一台Linux系统后，我们的默认fi

  7. java - 如何检查客户端网络/防火墙的端口是否打开？ - 2

    Thisissolvedatlastwith"timeout"attributeofjQueryAJAX(andJSONP).Seemyownanswer!请看更新的部分，我也试过小程序。如果您能提供带有小程序实现的解决方案，我们会毫不犹豫地接受您的回答。我正在使用基于Java的Web应用程序。我的要求是检查特定端口(例如1935)在客户端是打开还是被阻止。我已经实现了一个“jsonp”(为什么是“jsonp”？我发现通过AJAX的“http”请求不能用于浏览器“同源策略”的corssdomain)AJAX调用到我的一个包含特定端口的服务器。如果服务器返回xhr.status==200

  8. 华为ENSP之防火墙双机热备 - 2

    实验目的        防火墙现网典型应用-双机热备实验过程        分别实现二层，三层的双机热备配置a.上下联二层环境接口IP配置举例intg1/0/0ipadd10.1.12.25324intg1/0/1ipadd10.1.34.25324intg1/0/6ipaddress12.1.1.224防火墙创建区域zone，并绑定接口firewallzoneuntrustaddinterfaceGigabitEthernet1/0/1firewallzonetrustaddinterfaceGigabitEthernet1/0/0firewallzonenamehrpsetpriority

  9. ensp——防火墙安全策略配置实验 - 2

    目录一、实验环境实验拓扑图二、防火墙配置Cloud云：启动防火墙：登陆后:三、拓扑设备配置PC1：client1：sever1：PC2：四、配置路由器接口五、创建地址对象 六、配置安全策略配置第一条安全策略配置第二条安全策略配置第三条安全策略测试安全策略七、测试ASPF一、实验环境ensp+USG6000V防火墙文件包第一次在ensp中使用防火墙，需导入USG6000V的文件包实验拓扑图网关都为254二、防火墙配置Cloud云：增加UDP与VMnet1，入端口1出端口2双向通道启动防火墙：用户名：admin默认密码：Admin@123建议修改为：Admin@1234登陆后:输入sy进入配置模式

  10. 防火墙用户管理理论+实验 - 2

    目录注：实验需要有安全策略配置、NAT配置基础一、防火墙用户管理重要知识点用户管理访问控制策略NGFW下一代防火墙AAA鉴别方式——认证用户认证的分类：上网用户上线流程：二、用户认证实验：实验拓扑先配置防火墙上接口和区域、地址对象配置NAT与安全策略确保内部PC能够上网对PC2进行MAC地址免认证的配置对PC3进行Portal认证的配置注：实验需要有安全策略配置、NAT配置基础传送门——》防火墙的基础配置与安全策略配置实验 传送门——》防火墙NAT配置实验一、防火墙用户管理重要知识点用户管理本地设备的用户管理基于远程认证服务器的用户管理访问控制策略IP不等于用户、端口不等于应用，传统防火墙基于

随机推荐