华为ensp中USG6000V防火墙双机热备VRRP+HRP原理及配置

news2024/11/23 11:38:54

作者主页：点击！

ENSP专栏：点击！

创作时间：2024年5月6日20点26分

华为防火墙双机热备是一种高可用性解决方案，可以将两台防火墙设备组成一个双机热备组，实现主备切换。当主用防火墙出现故障时，备用防火墙可以自动切换为新的主用防火墙，确保网络流量不中断。

华为防火墙双机热备的工作原理

华为防火墙双机热备的工作原理是通过两台防火墙设备之间定期发送心跳报文来判断对方的状态。如果主用防火墙出现故障，备用防火墙会收到主用防火墙停止发送心跳报文的消息，然后会自动切换为新的主用防火墙。

两种工作模式

  • 主备模式：在主备模式下，只有一台防火墙处于工作状态，另一台防火墙处于备用状态。当主用防火墙出现故障时，备用防火墙会自动切换为新的主用防火墙。
  • 负载分担模式：在负载分担模式下，两台防火墙都处于工作状态，可以同时处理网络流量。当其中一台防火墙出现故障时，另一台防火墙会承担全部的网络流量。

VRRP协议

VRRP（虚拟路由器冗余协议）是一种用于实现路由器冗余的协议，它可以将多台路由器组成一个虚拟路由器组，并选取其中一台路由器作为主用路由器，其他路由器作为备用路由器。当主用路由器出现故障时，备用路由器会自动切换为新的主用路由器，确保网络流量不中断。

VRRP在双机热备中的应用主要体现在以下几个方面：

  • 虚拟化路由器地址：VRRP可以为双机热备组分配一个虚拟的路由器地址，该地址可以被所有连接到双机热备组的设备使用。这样可以简化网络配置，并提高网络的可扩展性。
  • 负载分担：VRRP支持负载分担模式，在负载分担模式下，所有路由器都可以同时转发流量，从而提高网络的吞吐量。
  • 故障转移：VRRP可以快速检测主路由器的故障，并自动将备用路由器切换为新的主路由器。这样可以确保网络流量不中断，并提高网络的可用性。

华为防火墙双机热备

VRRP现以下功能

  • 虚拟化路由器地址：华为防火墙双机热备组通常会分配一个虚拟的路由器地址，该地址可以被所有连接到双机热备组的设备使用。这样可以简化网络配置，并提高网络的可扩展性。
  • 故障转移：VRRP可以快速检测主防火墙的故障，并自动将备用防火墙切换为新的主防火墙。这样可以确保网络流量不中断，并提高网络的可用性。

VRRP的角色

主路由器（Master）

备份路由器（Backup）

VRRP的状态

初始状态（Initialize）：当接口Up之后，如果其VRRP优先级为255 (这种情况发生在该接口的实际IP地址是VRRP虚拟IP地址的情况)，那么接口的VRRP状态将由Initialize切换到Master，而如果接口的VRRP优先级不为255，则进入Backup状态。

活动状态（Master）：处于活动状态的路由器是VRRP虚拟路由器组中的主路由器，负责转发数据包。主路由器会定期发送VRRP通告报文来宣告自己的状态，并更新路由表。

备份状态（Backup）：处于备份状态的路由器是VRRP虚拟路由器组中的备用路由器。备份路由器会定期接收主路由器的VRRP通告报文，如果主路由器出现故障，备份路由器会经过一段时间的等待时间后切换为新的主路由器。

VRRP 状态机之间的转换规则

当前状态事件下一个状态
初始状态收到 VRRP 通告报文备份状态
备份状态收到更高优先级的 VRRP 通告报文初始状态
备份状态定时器超时初始状态
备份状态检测到故障初始状态
活动状态收到更高优先级的 VRRP 通告报文备份状态
活动状态定时器超时备份状态
活动状态检测到故障初始状态

VGMP组管理协议

VGMP（VRRP组管理协议）代表VRRP组管理协议。这是华为开发的专有协议，专门用于其防火墙，用于管理冗余连接和实现高可用性。

  • 在华为防火墙上管理多个VRRP（虚拟路由器冗余协议）组。
  • 确保设备上所有 VRRP 组的故障转移行为一致。
  • 为在 VRRP 组中的主状态和备份状态之间切换提供集中控制。

 工作原理：

  • VGMP在华为防火墙上运行的多个VRRP组之间建立通信通道。
  • 它协调这些组之间的故障转移过程，确保在主防火墙遇到问题时平稳过渡。
  • VGMP 依赖于分配给每个 VRRP 组的优先级。发生故障时，优先级最高的组将接管主服务器。

使用场景

  • VGMP 在需要最大程度地减少网络停机时间的高可用性环境中特别有用。
  • 它通常用于数据中心、企业网络和其他关键基础设施部署。


HRP(华为冗余协议)

是华为开发的专有协议，旨在为其防火墙和路由器提供高可用性和冗余。它支持主用和备用设备之间的无缝故障切换，确保在主设备发生故障时不间断的网络连接和数据转发。

HRP的主要特点

  • 快速故障转移：HRP 采用快速故障转移机制，通常在 50 毫秒内，最大限度地减少设备转换期间的网络停机时间。

  • 负载均衡：HRP 支持跨活动 HRP 设备进行负载均衡，分配网络流量并增强整体网络性能。

  • 安全性：HRP 包含身份验证和加密等安全措施，以防止未经授权的访问和数据操纵。

优点

  • 高可用性：HRP即使在设备故障的情况下也能确保网络持续运行，最大限度地减少停机时间并保持业务连续性。

  • 负载均衡：HRP 在活动设备之间分配网络流量，提高网络性能并减少拥塞。

  • 可扩展性：HRP 支持扩展 HRP 组以容纳更多设备，从而在不影响冗余的情况下实现网络增长。

什么是HRP

HRRP 代表 华为快速环协议。它是华为开发的专有协议，用于在以太网中提供冗余。HRRP主要用于华为设备，如路由器、交换机等，用于建立备用路由器组，实现容错。在此组中，一台路由器充当活动路由器，处理路由职责，而其他路由器则保持待机模式，准备在活动路由器发生故障时接管。

VRRP（虚拟路由器冗余协议）和 HSRP（热备用路由器协议）是以太网中更广泛采用的冗余标准。HRRP是华为专有协议，而VRRP和HSRP则受到更广泛的供应商和设备的支持。

HRRP的主要特点：

  1. 快速故障转移：HRRP 提供快速故障转移，通常在活动路由器发生故障后的 100 毫秒内，从而最大限度地减少网络停机时间。

  2. 负载均衡：HRRP可以在群组中的活动路由器之间分配流量，实现负载均衡，提高网络性能。

  3. 简单性：与其他冗余协议（如 VRRP 或 HSRP）相比，HRRP 配置相对简单。

实验拓扑

AR1的基本配置

<Huawei>
<Huawei>sys
Enter system view, return user view with Ctrl+Z.
[Huawei]un in en
Info: Information center is disabled.
[Huawei]int g0/0/0
[Huawei-GigabitEthernet0/0/0]ip add 10.1.1.1 24
[Huawei-GigabitEthernet0/0/0]int lo0
[Huawei-LoopBack0]ip add 100.0.0.100 24
[Huawei-LoopBack0]q

//默认路由接收1.0网段的数据
[Huawei]ip route-s 192.168.1.0 24 10.1.1.100
[Huawei]

FW1配置

基本的IP地址配置

[USG6000V1]un in en
Info: Saving log files...
Info: Information center is disabled.
[USG6000V1]int g1/0/0
[USG6000V1-GigabitEthernet1/0/0]ip add 10.1.1.2 24
[USG6000V1-GigabitEthernet1/0/0]int g1/0/2
[USG6000V1-GigabitEthernet1/0/2]ip add 172.16.1.1 24
[USG6000V1-GigabitEthernet1/0/2]int g1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip add 192.168.1.1 24
[USG6000V1-GigabitEthernet1/0/1]q

//配置默认路由所有流量流出
[USG6000V1]ip route-static 0.0.0.0 0 10.1.1.1

在华为USG6000V1防火墙上配置防火墙区域。

[USG6000V1]firewall zone trust 
[USG6000V1-zone-trust]add int g1/0/1

[USG6000V1]firewall zone untrust 
[USG6000V1-zone-untrust]add int g1/0/0
[USG6000V1-zone-untrust]q

[USG6000V1]firewall zone  dmz 
[USG6000V1-zone-dmz]add int g1/0/2
[USG6000V1-zone-dmz]q

[USG6000V1-zone-trust]add int g1/0/1 - 此命令将接口 g1/0/1 添加到“信任”区域。信任区域中的接口通常连接到您的内部网络，该网络被视为受信任的。

[USG6000V1-zone-untrust]add int g1/0/0 - 此命令将接口 g1/0/0 添加到“不信任”区域。不信任区域通常用于外部连接，例如被视为不受信任的 Internet。

您提供的命令在华为USG6000V1防火墙上配置安全策略规则，以允许从“信任”区域到“不信任”区域的流量。


[USG6000V1]security-policy
[USG6000V1-policy-security]rule name trust_untrust
[USG6000V1-policy-security-rule-trust_untrust]source-zone trust 
[USG6000V1-policy-security-rule-trust_untrust]destination-zone untrust 
[USG6000V1-policy-security-rule-trust_untrust]action permit 
[USG6000V1-policy-security-rule-trust_untrust]q

[USG6000V1-policy-security]rule name heat
[USG6000V1-policy-security-rule-heat]source-zone local 
[USG6000V1-policy-security-rule-heat]destination-zone dmz 
[USG6000V1-policy-security-rule-heat]action permit 
[USG6000V1-policy-security-rule-heat]q

让我们分解每个步骤：

进入安全策略配置：

  • [USG6000V1]security-policy - 该命令在USG6000V1防火墙上进入安全策略配置模式。此模式允许您定义控制流量如何流经防火墙的规则。
  • [USG6000V1-policy-security-rule-trust_untrust] - 此行表示您现在正在配置名为“trust_untrust”的特定规则。防火墙规则通常具有描述性名称来标识其用途。、
  • [USG6000V1-policy-security-rule-trust_untrust]source-zone trust - 此命令指定规则的源区域。源自“信任”区域的流量将按此规则进行评估。“信任”区域通常表示您的内部网络，该网络被视为受信任网络。
  • [USG6000V1-policy-security-rule-trust_untrust]destination-zone untrust - 此命令定义规则的目标区域。发往“不信任”区域的流量将按此规则进行评估。“不信任”区域通常表示外部网络，如互联网，它被认为是不受信任的。
  • [USG6000V1-policy-security-rule-trust_untrust]action permit - 此命令设置规则的操作。在这种情况下， permit 允许与指定条件（源区域和目标区域）匹配的流量流经防火墙。
  • 第二组的命名以及信任是同类~~

[USG6000V1]int g1/0/0
[USG6000V1-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 10.1.1.100 active 
[USG6000V1-GigabitEthernet1/0/0]q
[USG6000V1]int g1/0/1
[USG6000V1-GigabitEthernet1/0/1]vrrp vrid 2 virtual-ip 192.168.1.100 active 
[USG6000V1-GigabitEthernet1/0/1]q

//HRP配置指向对端建立
[USG6000V1]hrp int g1/0/2 remote 172.16.1.2
  • vrrp ：在接口上启用VRRP功能。
  • vrid 1 ：将 VRRP 组 ID 设置为 1。此 ID 标识参与 VRRP 以实现冗余的一组路由器。
  • virtual-ip 10.1.1.100 ：定义 VRRP 组使用的虚拟 IP 地址。客户端设备会将此 IP 视为其默认网关。
  • active ：将接口的 VRRP 状态设置为活动状态。这意味着该接口将尝试成为VRRP组中的主路由器，并宣传其处理路由任务的可用性。
  • 第二组同类~~~

FW2配置

基本的IP地址和路由配置

[USG6000V1]un in en
Info: Saving log files...
Info: Information center is disabled.
[USG6000V1]int g1/0/0
[USG6000V1-GigabitEthernet1/0/0]ip add 10.1.1.3 24
[USG6000V1-GigabitEthernet1/0/0]int g1/0/2
[USG6000V1-GigabitEthernet1/0/2]ip add 172.16.1.2 24
[USG6000V1-GigabitEthernet1/0/2]q
[USG6000V1]int g1/0/1
[USG6000V1-GigabitEthernet1/0/1]ip add 192.168.1.2 24
[USG6000V1-GigabitEthernet1/0/1]q

[USG6000V1]ip route-static 0.0.0.0 0 10.1.1.1

创建不同的区域

[USG6000V1]firewall zone trust 
[USG6000V1-zone-trust]add interface g1/0/1

[USG6000V1]firewall zone  untrust 
[USG6000V1-zone-untrust]add interface g1/0/0

[USG6000V1]firewall zone  dmz 
[USG6000V1-zone-dmz]add int g1/0/2

这次就不详细介绍了 原理同上~~~

防火墙上配置安全策略规则

[USG6000V1]security-policy
[USG6000V1-policy-security]rule name trust_untr	
[USG6000V1-policy-security-rule-trust_untr]source-zone trust  
[USG6000V1-policy-security-rule-trust_untr]destination-zone untrust 
[USG6000V1-policy-security-rule-trust_untr]action permit 
[USG6000V1-policy-security-rule-trust_untr]q


[USG6000V1-policy-security]rule name heat
[USG6000V1-policy-security-rule-heat]source-zone local 
[USG6000V1-policy-security-rule-heat]destination-zone dmz 
[USG6000V1-policy-security-rule-heat]action permit 
[USG6000V1-policy-security-rule-heat]q
[USG6000V1]int g1/0/0
[USG6000V1-GigabitEthernet1/0/0]vrrp vrid 1 virtual-ip 10.1.1.100 standby 
[USG6000V1-GigabitEthernet1/0/0]int g1/0/1	
[USG6000V1-GigabitEthernet1/0/1]vrrp vrid 2 virtual-ip 192.168.1.100 standby 
[USG6000V1-GigabitEthernet1/0/1]q

//指向对端双机热备中，心跳线
[USG6000V1]hrp int g1/0/2 remote  172.16.1.1

测试

FW1的信息

活跃

进入

关闭接口

这是再次查看

变为了备用的状态信息 (检测链路故障 启用另外一条链路传输数据)

FW2的信息

从standby变为active

PC机器在访问的时候也出现丢失一个包的现象并没有造成多大的数据丢失

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1646319.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

企业网站 | 被攻击时该怎么办？

企业网站 | 被攻击时该怎么办？

前言 每天&#xff0c;数以千计的网站被黑客入侵。发生这种情况时&#xff0c;被入侵网站可用于从网络钓鱼页面到SEO垃圾邮件或者其它内容。如果您拥有一个小型网站&#xff0c;很容易相信黑客不会对它感兴趣。不幸的是&#xff0c;通常情况并非如此。 黑客入侵网站的动机与所…
阅读更多...
书籍推荐|经典书籍ic书籍REUSE METHODOLOGY MANUALFOR等和verilog网站推荐(附下载)

书籍推荐|经典书籍ic书籍REUSE METHODOLOGY MANUALFOR等和verilog网站推荐(附下载)

大家好&#xff0c;今天是51过后的第一个工作日&#xff0c;想必大家都还没有完全从节假日的吃喝玩乐模式转变为勤勤恳恳的打工人模式&#xff0c;当然也包括我&#xff0c;因此这次更新主要是分享几篇书籍和verilog相关的学习网站~ 首先是一本数字电路相关的基础书籍&#xf…
阅读更多...
深入理解Docker容器镜像

深入理解Docker容器镜像

深入理解Docker容器镜像 1 容器是什么&#xff1a;特殊的进程 容器其实是一种沙盒技术。顾名思义&#xff0c;沙盒就是能够像一个集装箱一样&#xff0c;把你的应用“装”起来的技术。这样&#xff0c;应用与应用之间&#xff0c;就因为有了边界而不至于相互干扰&#xff1b;而…
阅读更多...
流量分析。

流量分析。

流量分析 在Wireshak抓包可以看到正常的执行流程如下&#xff1a; ● Client向Server发起Load data local infile请求 ● Server返回需要读取的文件路径 ● Client读取文件内容并发送给Server ● PS&#xff1a;在本机上启动服务端与客户端&#xff0c;启动wireshark 抓包&…
阅读更多...
navicat 连接 阿里云 RDS mysql 数据库

navicat 连接 阿里云 RDS mysql 数据库

首先上官方教程连接 下面是我的实操记录 1、先输入正确的账号、密码 2、再加上数据库名称
阅读更多...
省公派出国|社科类普通高校教师限期内赴英国访学交流

省公派出国|社科类普通高校教师限期内赴英国访学交流

在国外访问学者申请中&#xff0c;人文社科类相对难度更大&#xff0c;尤其是英语语言学&#xff0c;作为非母语研究并不被国外高校看重。经过努力&#xff0c;最终我们帮助Z老师申请到英国坎特伯雷基督教会大学的访学职位&#xff0c;并在限期内出国。 Z老师背景&#xff1a; …
阅读更多...
Chrome浏览器安装React工具

Chrome浏览器安装React工具

一、如果网络能访问Google商店&#xff0c;直接安装官方插件即可 二、网络不能访问Google商店&#xff0c;使用安装包进行安装 1、下载react工具包 链接&#xff1a;https://pan.baidu.com/s/1qAeqxSafOiNV4CG3FVVtTQ 提取码&#xff1a;vgwj 2、chrome浏览器安装react工具…
阅读更多...
io (fscanf fprintf)

io (fscanf fprintf)

20 #include <sys/un.h>21 typedef struct stu22 {23 char name[16];24 int age;25 double score;26 }stu;27 int main(int argc, const char *argv[])28 {29 /* 有如下结构体30 31 申请该结构体数组&#xff0c;容量为5&#xff0c;初始化5个学生的信息32 …
阅读更多...
C++：何为，。。。。。。

C++：何为，。。。。。。

✨✨ 欢迎大家来访Srlua的博文&#xff08;づ&#xffe3;3&#xffe3;&#xff09;づ╭❤&#xff5e;✨✨ &#x1f31f;&#x1f31f; 欢迎各位亲爱的读者&#xff0c;感谢你们抽出宝贵的时间来阅读我的文章。 我是Srlua小谢&#xff0c;在这里我会分享我的知识和经验。&am…
阅读更多...
new mars3d.control.MapSplit({实现点击卷帘两侧添加不同图层弹出不同的popup

new mars3d.control.MapSplit({实现点击卷帘两侧添加不同图层弹出不同的popup

new mars3d.control.MapSplit({实现点击卷帘两侧添加不同图层弹出不同的popup效果&#xff1a; 左侧&#xff1a; 右侧&#xff1a; 说明&#xff1a;mars3d的3.7.12以上版本才支持该效果。 示例链接&#xff1a; 功能示例(Vue版) | Mars3D三维可视化平台 | 火星科技 相关代…
阅读更多...
【6D位姿估计】ZebraPose 层次化分组策略 由粗到细的表面编码

【6D位姿估计】ZebraPose 层次化分组策略 由粗到细的表面编码

前言 本文介绍6D位姿估计的方法ZebraPose&#xff0c;也可以称为六自由度物体姿态估计&#xff0c;输入单张图片&#xff0c;输出物体的三维位置和三维方向。 它来自CVPR2022的论文&#xff0c;通过层次化分组策略&#xff0c;高效地编码物体表面的信息。 ZebraPose提出了一…
阅读更多...
基于Springboot的家具网站

基于Springboot的家具网站

基于SpringbootVue的家具网站设计与实现 开发语言&#xff1a;Java数据库&#xff1a;MySQL技术&#xff1a;SpringbootMybatis工具&#xff1a;IDEA、Maven、Navicat 系统展示 用户登录 首页 商家 家具信息 家居资讯 后台管理 后台首页 用户管理 商家管理 家具类型管理 家具…
阅读更多...
《Python编程从入门到实践》day20

《Python编程从入门到实践》day20

#尝试在python3.11文件夹和pycharm中site-packages文件夹中安装&#xff0c;最终在scripts文件夹中新建py文件成功导入pygame运行程序 #今日知识点学习 import sysimport pygameclass AlienInvasion:"""管理游戏资源和行为的类"""def __init__(…
阅读更多...
Python从0到100（二十）：文件读写和文件操作

Python从0到100（二十）：文件读写和文件操作

一、文件的打开和关闭 有了文件系统可以非常方便的通过文件来读写数据&#xff1b;在Python中要实现文件操作是非常简单的。我们可以使用Python内置的open函数来打开文件&#xff0c;在使用open函数时&#xff0c;我们可以通过函数的参数指定文件名、操作模式和字符编码等信息…
阅读更多...
websevere服务器从零搭建到上线（四）｜muduo网络库的基本原理和使用

websevere服务器从零搭建到上线（四）｜muduo网络库的基本原理和使用

文章目录 muduo源码编译安装muduo框架讲解muduo库编写服务器代码示例代码解析用户连接的创建和断开回调函数用户读写事件回调 使用vscode编译程序配置c_cpp_properties.json配置tasks.json配置launch.json编译 总结 muduo源码编译安装 muduo依赖Boost库&#xff0c;所以我们应…
阅读更多...
智能BI产品设计

智能BI产品设计

BI概念 目录 BI概念 一&#xff1a;与BI相关的几个重要概念 二&#xff1a;数据仓库 VS 数据库 BI架构 一&#xff1a;数据分析通用流程 二&#xff1a;BI平台基本架构 可视化图形 一&#xff1a;如何选择可视化图形 二&#xff1a;数据展示形式 三&#xff1a;数据…
阅读更多...
【driver3】proc文件系统，内存分配，数据类型/移植/对齐，内核中断，通过IO内存访问外设，PCI

【driver3】proc文件系统，内存分配，数据类型/移植/对齐，内核中断，通过IO内存访问外设，PCI

文章目录 1.创建proc文件系统接口&#xff1a;之前调试内核时都是通过prink打印内核信息&#xff0c;通过dmesg查看输出的信息。新调试方法&#xff1a;利用proc文件系统在pro文件夹下创建接口&#xff0c;读写这个接口就可实现对内核的调试2.内核内存分配函数&#xff1a;top&…
阅读更多...
spring ioc 容器加载过程 refresh() 方法详解

spring ioc 容器加载过程 refresh() 方法详解

IOC 加载过程 从 new ClassPathXmlApplicationContext开始 ApplicationContext context new ClassPathXmlApplicationContext("classpath:application.xml");ClassPathXmlApplicationContext类构造方法 public ClassPathXmlApplicationContext(String[] configLo…
阅读更多...
自动驾驶融合定位：IMU内参模型及标定

自动驾驶融合定位：IMU内参模型及标定

自动驾驶融合定位&#xff1a;IMU内参模型及标定 一、 概述 标定的本质是参数辨识。首先明确哪些参数可辨识&#xff0c;其次弄清怎样辨识。 参数包括陀螺仪和加速度计各自的零偏、标度因数、安装误差。 辨识就比较丰富了&#xff0c;如果让各位先不局限于标定任务&#xf…
阅读更多...
数据分析——业务指标分析

数据分析——业务指标分析

业务指标分析 前言一、业务指标分析的定义二、业务问题构建问题构建的要求 三、业务问题的识别在识别问题的阶段对于企业内部收益者的补充 四、竞争者分析竞争者分析的内容竞争者分析目的案例 五、市场机会识别好的市场机会必须满足的条件市场机会案例 六、风险控制数据分析师常…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023