防火墙双机热备用到的三大协议VRRP、VGMP、HRP原理

防火墙双机热备用到的三大协议VRRP、VGMP、HRP原理

全面的为大家介绍防火墙双机热备用到的三大协议VRRP、VGMP、HRP原理的IT知识，相关内容具体如下：

防火墙的双机热备功能提供一条专门的备份通道， 用于两台防火墙之间协商主备状态，以及会话等状态信息的备份。

1.问题的提出：为什么要用双机热备？

• 保证业务可靠性
• 保证业务不中断

2.双机热备的备份方式

双机热备有两种方式，即主备备份和负载分担备份。

主备备份是指正常情况下仅由主用设备处理业务，备用设备空闲；当主用设备接口、链路或整机故障时，备用设备切换为主用设备，接替主用设备处理业务。

负载分担也可以称为互为主备，即两台设备同时处理业务。当其中一台设备发生故障时，另外一台设备会立即承担其业务，保证原来需 要通过这台设备转发的业务不中断。

3.双机热备的三大协议

防火墙双机热备涉及到三个协议，如下表：

下面将分别介绍这三种协议的原理。

4.VRRP协议

4.1 概述

VRRP协议，即虚拟路由冗余协议（Virtual Router Redundancy Protocol），它通过把几台路由设备联合组成一台虚拟的路由设备，将虚拟路由设备的IP地址作为用户的默认网关实现与外部网络通信。当网关设备发生故障时，VRRP机制能够选举新的网关设备承担数据流量，从而保障网络的可靠通信。

这里边涉及到一些名词或概念，如下表：

4.2VRRP协议报文

VRRP协议报文用来将Master设备的优先级和状态通告给同一备份组的所有Backup设备。

VRRP协议报文封装在IP报文中，拥有专门的VRRP组播地址。

在IP报文头中，源地址为发送报文接口的主IP地址（不是虚拟IP地址），目的地址是224.0.0.18，TTL是255，协议号是112。

主IP地址（Primary IP Address）：从接口的真实IP地址中选出来的一个主用IP地址，通常选择配置的第一个IP地址。

目前：

VRRP协议包括两个版本：VRRPv2和VRRPv3。

VRRPv2仅适用于IPv4网络，VRRPv3适用于IPv4和IPv6两种网络。

VRRPv2和VRRPv3的报文结构分别如下：

VRRP报文字段含义如下：

4.3VRRP的三种状态

VRRP备份组有三种状态：Initialize、Master和Backup。只有处于活动状态的设备才可以转发那些发送到虚拟IP地址的报文。

Master_Down_Interval定时器：Backup设备在该定时器超时后仍未收到通告报文，则会转换为Master状态。

计算公式如下：

Master_Down_Interval=(3 * Advertisement_Interval) + Skew_time（偏移时间）

Skew_Time=(256–Priority)/256

状态转换关系如下图：

4.4VRRP工作过程

VRRP的工作过程如下：

1）VRRP备份组中的设备根据优先级选举出Master。Master设备通过发送免费ARP报文，将虚拟MAC地址通知给与它连接的设备或者主机，从而承担报文转发任务。

2）Master设备周期性向备份组内所有Backup设备发送VRRP通告报文，以公布其配置信息（优先级等）和工作状况。

3）如果Master设备出现故障，VRRP备份组中的Backup设备将根据优先级重新选举新的Master。

4）VRRP备份组状态切换时，Master设备由一台设备切换为另外一台设备，新的Master设备会立即发送携带虚拟路由器的虚拟MAC地址和虚拟IP地址信息的免费ARP报文，刷新与它连接的主机或设备中的MAC表项，从而把用户流量引到新的Master设备上来，整个过程对用户完全透明。

5）原Master设备故障恢复时，若该设备为IP地址拥有者（优先级为255），将直接切换至Master状态。若该设备优先级小于255，将首先切换至Backup状态，且其优先级恢复为故障前配置的优先级。

6）Backup设备的优先级高于Master设备时，由Backup设备的工作方式（抢占方式和非抢占方式）决定是否重新选举Master。

• 抢占模式：在抢占模式下，如果Backup设备的优先级比当前Master设备的优先级高，则主动将自己切换成Master。
• 非抢占模式：在非抢占模式下，只要Master设备没有出现故障，Backup设备即使随后被配置了更高的优先级也不会成为Master设备。

4.5VRRP配置方法

# 主备备份

创建VRRP备份组并给备份组配置虚拟IP地址：

vrrp vrid virtual-router-id virtual-ip virtual-address

配置备份组抢占延迟时间：

vrrp vrid virtual-router-id preempt-mode timer delay delay-value

4.6VRRP缺省配置

5.VGMP协议

为了解决多个VRRP备份组状态不一致的问题，华为防火墙引入VGMP（VRRP GroupManagement Protocol）来实现对VRRP备份组的统一管理，保证多个VRRP备份组状态的一致性。

5.1 概述

VGMP，即VRRP Group Management Protocol协议，是华为公司的私有协议。VGMP协议中定义了VGMP组，防火墙基于VGMP组实现设备主备状态管理。

5.2VGMP工作原理

VGMP使用优先级来管理所有VRRP备份组，默认初始化优先级为45000（中低端设备）。

高端设备(USG9500 USG12000)

初始优先级与接口板（LPU）上的子卡（FPIC）个数和业务板（SPU）上的CPU个数有关，计算公式如下：

初始化优先级=45000+1000接口板上的子卡个数+2业务板上的CPU个数

其中：

• Initial_Priority：初始优先级
• FPIC_Num：接口板上的子卡个数
• SPU_CPU_Num：业务板上的CPU个数

5.3VGMP报文