TOS3.3版本HA的实现_2可编辑.pdfVIP

TOS3.3版本HA的实现 测试部 马爱卿 2007年4月26日 提纲 □HA功能简介 □HA的实现原理 □HA的模式和典型应用 □3.3和3.2版本HA功能的区别 □HA的配置 □FA HA功能简介 此处的HA特指双机单工和双机双工两种双机下的工作模式。其 目的是为了避免防 墙作为网关设备出现故障时，成为网络的单一 故障点。 HA主要有两种工作模式： ➢A/A：Active-to-Active，即双机双工的备份方式。AA不需要留 出一台设备专门做备份，而是可以两台或多台设备并行工作， 并且相互间可以互为备份，保证设备故障时别的设备能接替 其工作。 ➢A/S：Active-to-Standby，即双机单工的备份方式。在A/S模式 下，作为备份的双方，同一时刻只能有一台设备在工作，进 行数据转发。 HA的实现原理 ➢HA状态控制 ➢软件同步 ➢报文传输类型 ➢VRRP状态机 ➢HA中VRRP的实现程度 ➢故障探 ➢主备切换过程 ➢AA和AS模式的区别 HA的基本工作方式是：两台互为备份的设备按预先定义的冗余协议交换报文，根 协议定义的状态机进行状态切换，切换时 通告其他关心HA状态切换事件的模块，其他模块进行相应的处理。任何希望得到HA通知的模块，都需要定义一个通知接口 并注册到HA模块，以求在HA状态切换时获得执行机会。 HA的状态控制模块依赖于冗余协议工作，状态机参考了VRRP的状态机，也存在三种工作状态：Initialize、Master和Backup，状 态切换的触发事件也和VRRP状态机中的基本一致。此处就不做详细的说明了。 HA状态控制 HA状态切换的触发事件是收到对端发出的通告报文，判断条件是比较对端和本地设备priority值的大小。 设备A 设备B 冗余协议 HA状态控制模块 HA状态控制模块 网络模块 其余受控模块 其余受控模块 网络模块 软件同步 软件同步包含配置同步和RTO同步两个方面，是保证主备切换 后设备正常工作的 个重要因素。 ➢ 配置同步： 配置同步保证双机热备时配置策略的 致性，如Firewallpolicy、 PFrule、NATpolicy等的配置必须相同，不会同步HA的本地配置。 需要指出的是，在3.3的实现中，只有A/S模式仍然支持配置进行 同步，AA下配置相同的部分需要手动保证。 软件同步 ➢ RTO同步： RTO，即Run-timeObject，这是NetScreen的说法，主要包 session表信息DPI信息。这里说的DPI，主要是指对FTP和SQLNet 子连接的识别。 RTO信息在单独的UDP报文中发送。发送方式为：如果连接 较少，则定期 （1s）发送连接；如果连接较多，则采取一次发送 30多条的方式。 发送连接的处理方式：发送连接表时，并不是把连接表整个 打包进行发送，而只是发送连接表项的五元组、flags信息和DPI 信息；接收方收到报文后，会根据这些信息重建连接。 报文传输类型 心跳线上存在3种类型的报文： 1. VRRP通告： 可以看作是HA的控 报文，是多播地址8的UDP报文。两台设 备通过VRRP通告来得到对端信息，通过这些信息来决定墙的工作状态。 2.连接表同步报文： TOS使用源和目的都是9000端口的UDP报