安全防御 --- 防火墙高可靠技术

news2024/12/25 22:13:32

防火墙高可靠技术（双机热备）

  • VRRP：负责的单个接口的故障检测和流量引导。每个VRRP备份组拥有一个虚拟的IP地址，作为网络的网关地址；在VRRP主备倒换时通过发送免费的ARP来刷新对接设备的MAC地址转发表来引导流量。
  • VGMP：将系统中所有的VRRP备份组集中管理，控制状态统一切换，保证出现故障时上下行流量能同步切换到备用防火墙。
  • HRP：负责双机之间的数据同步（华为专用）

1、VRRP

（1）VRRP状态切换

当Active设备出现接口、链路或整机故障时：

  • Active设备接口上的VRRP备份组状态进入initialize
  • Standby设备接口上的VRRP备份组状态切换到Active，发送免费ARP
  • 交换机上的MAC表刷新，出接口指向备用设备
  • PC发出的业务流量被引导到备用设备接口上进行转发

（2）VRRP不足：

  • 当防火墙上下行业务的端口上都配置了VRRP备份组时，这两个VRRP备份组是独立运行的，可能出现上下行两个VRRP备份组状态不一致的情况。
  • 例如：主用网关防火墙内网侧接口故障，VRRP倒换到备用网关防火墙，因此出去的溜溜从备用网关的防火墙上转发。但是对于外网侧的VRRP，主用网关防火墙上的VRRP依然是主，因此回程流量仍然会送到主用网关的防火墙上，但业务流量无法送回内网，导致业务中断。

附：产生原因

2、VGMP

（1）基本原理：

<1> 由于VRRP封装的VGMP报文是组播报文，不能跨越三层传输设备，因此在双击设备组网时，要求两台设备的心跳线要么是直连的，要么是通过二层交换机进行互联，不能通过三层设备互联。当防火墙上下行设备是路由器时，要求两台防火墙必须有直连的接口作备份通道。为此，USG6000V开发了另一种VGMP的报文封装格式。

<2> 此时VGMP的报文是单播报文。在原有的IP报头上增加了UDP头和VGMP扩展头，VGMP内部报文的格式没有变化。

（2）状态机：

VGMP管理组的主备状态决定了双机热备组网中的防火墙设备的主备状态，因此VGMP管理组的状态也可看做是防火墙设备的状态。

  • 主备模式：active -- initialize -- standby
  • 负载模式：active -- initialize -- standby -- load balance

（3）状态切换：

两台防火墙之间的VGMP状态主备切换的具体交互过程及动作分为以下三种情况：

  • 因接口或链路故障引起的切换

这一类故障发生时，主设备通过VGMP报文将状态信息和本端优先级立即发送到备用设备，备用设备比较报文中的优先级和本地优先级，如果满足切换条件将立即转换，瞬间完成业务流量的切换。

  • 因整机或心跳链路故障引起的切换

这种故障发生时，由于主设备无法发送状态通知消息到备用设备，因此只能依靠备机检测到心跳报文（VGMP hello报文）超时才能发现故障，因此切换时间为三个心跳报文周期。

  • 抢占流程

故障恢复后的切换流程，由于备用设备处于正常转发状态，等主机故障回复后再切换回去，因此基本上不会影响业务。

（4）状态切换三大原则：

  • 每个接口down时，VGMP管理组优先级降低2，计算公式为：VGMP管理组优先级 = VGMP管理组初始优先级 - N*2
  • 每台设备的VGMP管理组初始状态由用户指定（Active或Standby），Active优先级为65001，Standby的优先级为65000
  • VGMP管理组的状态决定了该设备的主备状态，也决定了VGMP管理组成员（VRRP备份或接口）的状态。

附：VGMP报文封装为什么不用TCP?

  • 简单高效：UDP协议不需要建立连接，不需要维护复杂的状态信息，因此在传输效率上比TCP协议高。
  • 实时性强：UDP协议不需要等待对端的响应信息，因此在实时性要求高的场景下，UDP协议更为适用。
  • 去除不必要的重传和拥塞控制：VGMP是在数据中心内部使用的协议，不涉及跨网络的传输，因此不需要TCP协议的重传机制和拥塞控制机制。

综上所述，VGMP使用UDP协议可以提高传输效率和实时性，并且去除不必要的重传和拥塞控制，适用于数据中心内部的虚拟网关管理。

3、HRP（Huawei Redundancy Protocol）

（1）产生：

  • 状态检测防火墙对于每一个会话连接都有一个会话表项与之对应，主用设备处理业务中创建了很多动态会话表项；而备用设备没有流量经过，因此没有创建会话表。如果备用设备切换为主用设备前，会话表项没有备份到备用设备，则会导致先前经过的主用设备的业务流量因为无法匹配会话表而中断。为了实现主用设备和备用设备平滑切换，必须在中用和备用设备间备份关键配置命令和会话表状态信息，为此防火墙引入HRP协议，实现防火墙双机之间动态状态数据和关键配置命令的实时备份
  • 双机热备组网中，指定心跳线作为专门的备份通道，用于备份配置命令和状态信息

（2）数据备份范围：

（3）备份通道状态：

当设备两边均对应配置心跳口后，防火墙会判断心跳接口的物理协议状态。

心跳链路一共存在5个状态：

  • running：正常运行
  • ready：正常运行。此接口为备用备份通道，当前未使用。
  • peerdown：本端正常，但是收不到对端的心跳报文。
  • invalid：未指定心跳口的ip地址，心跳口工作在二层。
  • down：心跳接口的物理状态和协议状态均为down

4、双机热备组网

（1）防火墙双机热备组网必须首先解决两个问题：

  • 防火墙必须能够检测到链路和设备故障

  • 防火墙检测到故障后能实现流量平滑切换

（2）工作流程：

（3）双击热备组网的建立和运行需解决以下5个关键问题：

  • 如何设定设备的主备状态？
  • 如何监控并发现接口或设备故障？
  • 发现故障后，如何保证设备之间可平滑切换？
  • 发生情况和故障后，如何引导流量？
  • 如何进行信息同步，保证主备切换后业务不中断？

5、双机热备组网拓扑搭建及配置 --- 主备备份

（1）拓扑图搭建：

 （2）配置IP地址：

  • PC1：

  • SW1：
[SW1]vlan 2
[SW1-vlan2]vlan 3
[SW1-vlan3]q
[SW1]int vlan 2
[SW1-Vlanif2]ip add 10.1.1.1 24
[SW1]int Vlan 3
[SW1-Vlanif3]ip add 10.1.2.1 24
[SW1]int g0/0/1
[SW1-GigabitEthernet0/0/1]port link-type access  --- 接口类型为access
[SW1-GigabitEthernet0/0/1]port default vlan 3 --- 接口划入vlan
[SW1]int g0/0/2
[SW1-GigabitEthernet0/0/2]port link-type access 
[SW1-GigabitEthernet0/0/2]port default vlan 3
[SW1]ip route-static 0.0.0.0 0 10.1.2.254 --- 配置缺省路由
  • PC2：

  • SW2：
[SW2]vlan 2
[SW2-vlan2]vlan 3
[SW2]int vlan 2
[SW2-Vlanif2]ip add 100.1.2.1 24
[SW2]int vlan 3
[SW2-Vlanif3]ip add 100.1.1.1 24
[SW2]int g0/0/3
[SW2-GigabitEthernet0/0/3]port link-type access --- 接口类型为access
[SW2-GigabitEthernet0/0/3]port default vlan 2 --- 接口划入vlan
[SW2]int g0/0/1
[SW2-GigabitEthernet0/0/1]port link-type access 
[SW2-GigabitEthernet0/0/1]port default vlan 3
[SW2]in g0/0/2
[SW2-GigabitEthernet0/0/2]port link-type a
[SW2-GigabitEthernet0/0/2]port default vlan 3
[SW2-GigabitEthernet0/0/2]q
[SW2]ip route-static 0.0.0.0 0 100.1.1.254 --- 配置缺省路由

（3）配置防火墙的IP地址以及静态路由：

<1> FW1：

  • 配置接口IP地址


  • 配置静态路由


<2> FW2：

  • 配置IP地址


  • 配置静态路由


（4）新建安全策略

（5）配置心跳线 --- 将FW1的安全策略同步给FW2

FW1和FW2之间拉一条心跳线

  • FW1：

  • FW2：

  • 将心跳线划入trust区


（6）配置双机热备

  • FW1：





  • FW2：



（7）同步配置：


测试：查看FW2上是否有了FW1上的安全策略

同步成功

（8）查看路由：


（9）测试：

  • ping

  • 断开SW1和FW1的连线
[SW1]int g0/0/1
[SW1-GigabitEthernet0/0/1]shutdown


查看链路切换情况：


切换成功

  • 恢复SW1的g0/0/1接口
[SW1-GigabitEthernet0/0/1]undo shutdown


6、双机热备组网拓扑搭建及配置 --- 负载分担

（1）拓扑搭建：

（2）配置新接PC端IP地址：

  • PC3：

  • PC4：

（3）交换机SW1和SW2上进行配置：

  • SW1：
[SW1]vlan 4
[SW1-vlan4]q
[SW1]int vlan 4
[SW1-Vlanif4]ip add 10.1.4.1 24
[SW1-Vlanif4]q
[SW1]int g0/0/4
[SW1-GigabitEthernet0/0/4]port link-type access
[SW1-GigabitEthernet0/0/4]port default vlan 4
[SW1]ip route-static 100.1.4.0 24 10.1.2.251 --- 静态路由
  • SW2：
[SW2]vlan 4
[SW2-vlan4]q
[SW2]int Vlanif 4
[SW2-Vlanif4]ip add 100.1.4.1 24
[SW2]int g0/0/4
[SW2-GigabitEthernet0/0/4]port link-type access 
[SW2-GigabitEthernet0/0/4]port default vlan 4
[SW2]ip route-static 10.1.4.0 24 100.1.1.251 --- 静态路由

（4）在FW1上配置静态路由（上步已经配置双机热备，FW2上直接同步，无需配置）



同步后在FW2上查看：

同步成功

（5）配置两组虚拟网关：

  • 将双机热备的运行模式改为负载分担

  • FW1：


  • FW2：


  • 检测负载分担配置情况：


（6）开启ping服务，FW1端开启，另一端自动同步：

（7）增加安全策略（FW1端配置）：

（8）测试：

<1> 链路正常

  • PC1：


  • PC4：


<2> 断开SW1的g0/0/1：

[SW1]int g0/0/1
[SW1-GigabitEthernet0/0/1]shutdown


本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/418072.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

SSVEP解码算法 - 多变量同步指数（MSI）

SSVEP解码算法 - 多变量同步指数（MSI）

1 算法来源 该算法来自电子科技大学张杨松博士，针对该算法的计算在张博士的博士论文中有详细介绍，有兴趣的读者可以下载阅读，本文重点在对该方法的代码实现。Zhang, Yangsong, et al. “Multivariate synchronization index for frequency recognition of SSVEP-based brain…
阅读更多...
Mysql 8 VS Mariadb 10.6 他们有多不一样 （声译）

Mysql 8 VS Mariadb 10.6 他们有多不一样 （声译）

开头还是介绍一下群&#xff0c;如果感兴趣polardb ,mongodb ,mysql ,postgresql ,redis 等有问题&#xff0c;有需求都可以加群群内有各大数据库行业大咖&#xff0c;CTO&#xff0c;可以解决你的问题。加群请联系 liuaustin3 &#xff0c;在新加的朋友会分到2群&#xff08;共…
阅读更多...
获取List集合中的最大值和最小值

获取List集合中的最大值和最小值

实现获取List集合中的最大值和最小值共有以下两种方式&#xff0c;根据自己的场景选择合适的方法。 目录 Collections 1、String、Integer、Double类型 2、对象类型 排序 1、Integer类型 2、 基本排序方式&#xff1a; Collections 1、String、Integer、Double类型 当…
阅读更多...
如何使用Edge Copilot

如何使用Edge Copilot

在ChatGPT红得发紫年代&#xff0c;也应该了解下微软microsoft edge浏览器中的Copilot。 通过这个Copilot - 副驾驶&#xff0c;Edge浏览器发生了革命性变化。 借助AI副驾驶强大的功能&#xff0c;在Edge浏览器中可以轻松完成AI聊天、AI写作、AI网页分析&#xff0c;和AI绘图…
阅读更多...
【C++要笑着学】搜索二叉树 (SBTree) | K 模型 | KV 模型

【C++要笑着学】搜索二叉树 (SBTree) | K 模型 | KV 模型

C 表情包趣味教程 &#x1f449; 《C要笑着学》 &#x1f4ad; 写在前面&#xff1a;半年没更 C 专栏了&#xff0c;上一次更新还是去年九月份&#xff0c;被朋友催更很久了hhh 本章倒回数据结构专栏去讲解搜索二叉树&#xff0c;主要原因是讲解 map 和 set 的特性需要二叉搜索…
阅读更多...
RPC框架一，RMI远程调用实例

RPC框架一，RMI远程调用实例

RPC框架一&#xff0c;RMI远程调用实例 网上找了好久关于RMI调用的实例&#xff0c;大多都是本地调用的&#xff0c;远程调用的示例很少&#xff0c;所以自己整理一版。 首先 从server端开始&#xff1a; 服务端############### 具体步骤&#xff1a; 1&#xff0c;写个RM…
阅读更多...
【从零学Python基础】Python中的条件判断与循环

【从零学Python基础】Python中的条件判断与循环

文章目录条件语句语法格式缩进和代码块空语句pass循环语句while循环for循环continue与break条件语句 条件语句能够表达如果...则...否则...这样的语义&#xff0c;这即是计算机基础中的逻辑判定&#xff0c;条件语句也叫分支语句 如果 我好好学习&#xff1a;   我一定会找到…
阅读更多...
wav2lip：Accurately Lip-syncing Videos In The Wild

wav2lip：Accurately Lip-syncing Videos In The Wild

飞桨AI Studio - 人工智能学习与实训社区集开放数据、开源算法、免费算力三位一体&#xff0c;为开发者提供高效学习和开发环境、高价值高奖金竞赛项目&#xff0c;支撑高校老师轻松实现AI教学&#xff0c;并助力开发者学习交流&#xff0c;加速落地AI业务场景https://aistudio…
阅读更多...
CUDA编程基础与Triton模型部署实践

CUDA编程基础与Triton模型部署实践

作者&#xff1a;王辉 阿里智能互联工程技术团队 近年来人工智能发展迅速&#xff0c;模型参数量随着模型功能的增长而快速增加&#xff0c;对模型推理的计算性能提出了更高的要求&#xff0c;GPU作为一种可以执行高度并行任务的处理器&#xff0c;非常适用于神经网络的推理计算…
阅读更多...
电脑有自带的录屏功能吗？电脑录屏如何录人脸

电脑有自带的录屏功能吗？电脑录屏如何录人脸

案例&#xff1a;所有电脑都有自带的录屏功能吗&#xff1f; “在网上了解到电脑有录屏功能&#xff0c;但是我在我的电脑上又找不到。想问问小伙伴们是所有的电脑都有自带的录屏功能吗&#xff1f;怎样才能找到电脑自带的录屏功能&#xff1f;” 在日常使用电脑时&#xff0…
阅读更多...
在 Visual Studio 中设置指针星号的位置

在 Visual Studio 中设置指针星号的位置

作为一个完美主义者&#xff0c;如果写出来的代码&#xff0c;让自己感觉到不那么舒服&#xff0c;你需要好好研究研究&#xff0c;如何解决这个问题。 在写代码的过程中&#xff0c;我碰到了这样的一个小问题。 一直以来&#xff0c;我对指针的星号的位置比较敏感&#xff0…
阅读更多...
为什么软件架构重要？

为什么软件架构重要？

作者&#xff1a;[美]伦巴斯等第2章为什么软件架构重要如果架构是答案&#xff0c;那么问题是什么&#xff1f;本章主要从技术角度讨论为什么架构重要。我们将研究13个重要原因。你可以利用它们来推动新架构的创建&#xff0c;或者对已有系统架构进行分析和优化。1)架构可以抑制…
阅读更多...
守正创新 聚力前行 助力量化行业高质量发展 | 峰会资料文末获取

守正创新 聚力前行 助力量化行业高质量发展 | 峰会资料文末获取

4月1日下午&#xff0c;ACLUB 2023专题峰会在上海陆家嘴圆满举行&#xff0c;近80家业内领先机构逾百人参加会议&#xff0c;其中上海地区优秀量化私募管理人占比七成。 本届峰会主题为“守正创新 聚力前行——助力量化行业高质量发展”。监管机构、券商、行业专家、三方机构、…
阅读更多...
耳朵总是听到嗡嗡的声音 这是为什么 该怎么办

耳朵总是听到嗡嗡的声音 这是为什么 该怎么办

为什么会莫名听到嗡嗡的声音&#xff0c;这是什么因素导致的&#xff0c;吃什么药能缓解&#xff1f; 耳鸣&#xff0c;是一种缺乏外部声源情况下&#xff0c;耳内或颅内出现的嗡嗡、嘶鸣、车笛、喇叭等不成形的异常声幻觉。这种情况可能是一种声音&#xff0c;也可能是多种声音…
阅读更多...
day25—编程题

day25—编程题

文章目录1.第一题1.1题目1.2涉及的相关知识1.3思路1.4解题2.第二题2.1题目2.2思路2.3解题1.第一题 1.1题目 描述&#xff1a; 星际战争开展了100年之后&#xff0c;NowCoder终于破译了外星人的密码&#xff01;他们的密码是一串整数&#xff0c;通过一张表里的信息映射成最终…
阅读更多...
在Node终端实现NewBing对话功能

在Node终端实现NewBing对话功能

目录 前言 准备工作 工作原理 功能设计 实现过程 基础概念 代理 请求 socket 控制台输入模块 配置文件 bingServer请求 bingSocket消息 子线程入口部分 主线程部分 工具函数 效果展示 写在最后 前言 ChatGPT在当下已然成为炙手可热的话题了&#xff0c;随着…
阅读更多...
MAX14866 16通道高电压模拟开关（不需要高电压供电）

MAX14866 16通道高电压模拟开关（不需要高电压供电）

总体介绍 MAX14866 是一个16通道高电压模拟开关&#xff0c;主要用在超声应用的高压多路传输中。 每一个通道的状态可以由一个高速的SPI接口控制&#xff0c;最高时钟为30MHz 详细介绍 MAX14866 是一个单刀单掷开关&#xff0c;以下是等效电路图 MAX14866由一个带有16位串…
阅读更多...
什么是Lambda表达式？

什么是Lambda表达式？

什么是Lambda表达式 可以把Lambda表达式理解为简洁地表示可传递的匿名函数的一种方式&#xff1a;它没有名称&#xff0c;但它有参数列表、函数主体、返回类型&#xff0c;可能还有一个可以抛出的异常列表。 匿名&#xff1a;它不像普通的方法那样有一个明确的名称&#xff1…
阅读更多...
Ae：材质选项

Ae：材质选项

在 Ae 中&#xff0c;一个图层开启 3D 之后&#xff0c;会多出几何选项 Geometry Options和材质选项 Material Options两个属性组。材质用于 3D 对象的表面&#xff0c;而材质选项就是这些表面的属性&#xff0c;支配着对象与光线交互的方式。展开材质选项的快捷键&#xff1a;…
阅读更多...
数据结构入门-9-线段树字典树并查集

数据结构入门-9-线段树字典树并查集

文章目录一、线段数Segment Tree1.1 线段树的优势1.1.2 数组实现线段树1.2 线段树结构1.2.1 创建线段树1.2.2 线段树中的区间查询1.2.3 线段树的更新二、字典树 Trie1.2 字典树结构1.2.1 创建Trie1.2.2 Trie查询三、并查集3.1 并查集的实现3.1.1 QuickFind3.1.1 QuickUnion初始…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023