TOS3.3版本HA的实现.ppt

TOS 3.3版本HA的实现 测试部 马爱卿 2007年4月26日 提纲 HA功能简介 HA的实现原理 HA的模式和典型应用 3.3和3.2版本HA功能的区别 HA的配置 FAQ HA功能简介 此处的HA特指双机单工和双机双工两种双机下的工作模式。其目的是为了避免防火墙作为网关设备出现故障时，成为网络的单一故障点。 HA主要有两种工作模式： A/A：Active-to-Active，即双机双工的备份方式。AA不需要留出一台设备专门做备份，而是可以两台或多台设备并行工作，并且相互间可以互为备份，保证设备故障时别的设备能接替其工作。 A/S：Active-to-Standby，即双机单工的备份方式。在A/S模式下，作为备份的双方，同一时刻只能有一台设备在工作，进行数据转发。 HA的实现原理 HA状态控制 软件同步 报文传输类型 VRRP状态机 HA中VRRP的实现程度 故障探测 主备切换过程 AA和AS模式的区别 HA状态控制 软件同步 软件同步包含配置同步和RTO同步两个方面，是保证主备切换后设备正常工作的一个重要因素。 配置同步： 配置同步保证双机热备时配置策略的一致性，如Firewall policy、PF rule、NAT policy等的配置必须相同，不会同步HA的本地配置。 需要指出的是，在3.3的实现中，只有A/S模式仍然支持配置进行同步，AA下配置相同的部分需要手动保证。 软件同步 RTO同步： RTO，即Run-time Object，这是NetScreen的说法，主要包含session表信息DPI信息。这里说的DPI，主要是指对FTP和SQLNet子连接的识别。 RTO信息在单独的UDP报文中发送。发送方式为：如果连接较少，则定期（1s）发送连接；如果连接较多，则采取一次发送30多条的方式。 发送连接的处理方式：发送连接表时，并不是把连接表整个打包进行发送，而只是发送连接表项的五元组、flags信息和DPI信息；接收方收到报文后，会根据这些信息重建连接。 报文传输类型 心跳线上存在3种类型的报文： 1. VRRP通告： 可以看作是HA的控制报文，是多播地址8的UDP报文。两台设备通过VRRP通告来得到对端信息，通过这些信息来决定墙的工作状态。 2. 连接表同步报文： TOS使用源和目的都是9000端口的UDP报文进行连接表的同步。当连接较多时，会采取一次（一个UDP包）发送几十条的方式；如果连接较少，则会由定时器触发定期发送。有两种情况下会进行连接表的同步： 从墙启动时会请求主墙做一次连接表的完全同步 有新建连接时会实时同步连接 同步本质上是由新建连接触发的，不是定时器触发的；定时器就是hello-interval，每次发送hello报文，会顺便触发连接表同步。 3. 配置同步报文： TOS使用TCP连接来传输配置，由此保证两台设备配置同步的准确性，所用端口也是9000。 VRRP状态机 HA中VRRP的实现程度 HA采用了VRRP的思想，但和标准的交换机上VRRP实现还是有一些区别的。 相同之处： AA拥有完整的VRRP状态机：Initiate、Master、Backup三种状态，状态转换的条件基本是一致的； 按照priority来进行主备状态选择； 均为主设备才进行数据报文的转发； 均支持设备恢复后的抢占； 均采用多播报文作为hello报文； 只有主设备才会通告自己的状态； 均实现了静态的负载均衡，而无法实现动态负载均衡。 HA中VRRP的实现程度 不同之处： AA只支持两台墙之间的备份； AA采用主墙的真实MAC地址进行通信，VRRP组则生成一个虚MAC地址进行通信； AA需要在两台墙上配置相同的IP地址作为备份，VRRP采用一个可配置的虚拟且共用的IP地址进行通信； AA中hello报文只能在心跳线上进行传输，VRRP中hello报文可以在任意链路上进行传输； AA上需要进行连接的实时同步，而VRRP协议本身没有这个要求； VRRP中可以进行明文或MD5认证，AA目前没有认证手段。 故障探测 故障探测保证主设备异常时从墙能正确进行状态切换，接替主墙工作。3.3版本的故障检测机制包括以下几个方面： 进行载波检测，如果检测不到载波信息，证明接口已经发生故障； 判断接口是否down掉； 可以配置探测的参考地址，通过接口探测不到某一个IP，则说明此链路不通。 当故障探测模块探测到故障时，会立即通知对应VRRP监控进程进行故障切换