17.防火墙双机热备 (1).pptx

云计算安全与管理----防火墙双机热备

教学内容认识双机热备技术的应用场景目标掌握双机热备技术原理重点掌握双机热备的组网难点

双机热备技术产生的原因传统的组网方式如图所示，内部用户和外部用户的交互报文全部通过FirewallA。如果FirewallA出现故障，内部网络中所有以FirewallA作为默认网关的主机与外部网络之间的通讯将中断，通讯可靠性无法保证。FirewallA10.100.10.1/24PC服务器内部网络10.100.10.0/24

VRRP概述是一种容错协议，它保证当主机的下一跳路由（默认网关），出现故障时候，由备份路由器自动代替出现故障的路由器完成报文转发，从而保持网络通信的连续性和可靠性。

路由器冗余部署方案路由器组网中通过VRRP协议实现设备冗余：RouterA10.100.10.2MasterRouterBBackup10.100.10.3RouterC10.100.10.4Backup备份组VirtualIPAddress10.100.10.1PC服务器内部网络10.100.10.0/24

VRRP工作原理

VRRP工作原理

VRRP在多区域防火墙组网中的应用为防火墙上多个区域提供双机备份功能时，需要在每一台防火墙上配置多个VRRP备份组。DMZTrustUntrustUSGA10.100.20.0/24MasterUSGBBackup10.100.10.0/24备份组1VirtualIPAddress10.100.10.1备份组2VirtualIPAddress10.100.20.1备份组3VirtualIPAddress202.38.10.1

VRRP在防火墙应用中存在的缺陷传统VRRP方式无法实现主、备用防火墙状态的一致性。USGAMasterUSGBBackupTrustDMZUntrustPC1PC2(1)(2)(3)(4)(7)会话表项Server(5)(6)(8)实际连线报文流径(9)

VRRP用于防火墙多区域备份为了保证所有VRRP备份组切换的一致性，在VRRP的基础上进行了扩展，推出了VGMP（VRRPGroupManagementProtocol）来弥补此局限。DMZTrustUntrustUSGA10.100.20.0/24vUSGB10.100.10.0/24备份组2备份组3备份组1VGMP管理组VGMP管理组helloack

VGMP基本原理当防火墙上的VGMP为Active/Standby状态时，组内所有VRRP备份组的状态统一为Active/Standby状态。状态为Active的VGMP也会定期向对端发送HELLO报文，通知Standby端本身的运行状态（包括优先级、VRRP成员状态等）。DMZTrustUntrustUSGA10.100.20.0/24USGB10.100.10.0/24备份组2备份组3备份组1VGMPActiveVGMPStandbyhelloack

VGMP组管理状态一致性管理VGMP管理组控制所有的VRRP备份组统一切换。抢占管理当原来出现故障的主设备故障恢复时，其优先级也会恢复，此时可以重新将自己的状态抢占为主。

VRRP备份组配置命令-CLI接口视图下配置VRRP：执行此命令时，指定active或standby参数后，即将该VRRP组加入了VGMP管理组的Active或Standby管理组。每个普通物理接口（GigabitEthernet接口）下最多配置255个VRRP组。vrrpvridvirtual-router-IDvirtual-ipvirtual-address[ip-mask|ip-mask-length]{active|standby}

谢谢观赏