分类： NetWork

一、主备备份双机热备状态形成过程

为了实现主备备份方式的双机热备，我们需要在FW1上启用Active组，并将FW1上的VRRP备份组都加入Active组；在FW2上启用Standby组，并将FW2上的VRRP备份组都加入Standby组。实现此操作的命令为vrrp vrid virtual-router-id virtual-ip virtual-address [ ip-mask | ip-mask-length ] { active | standby }。这条命令看似简单，但功能很强大，一条命令配置下去两件事轻松搞定：

l 由于是在接口视图下执行这条命令，所示实际上是将接口加入了VRRP备份组，同时指定了虚拟IP地址和掩码。

    当接口的IP地址与VRRP备份组的虚拟IP地址不在同一网段时，必须配置虚拟IP地址的掩码。

l “active | standby”参数是将VRRP备份组加入Active或Standby组。

结合下面的图来给出我们建立主备方式双机热备的具体配置，如下表所示：

各种VGMP报文和HRP报文都是通过心跳口发送的，心跳口可以说是双机热备的“命脉”，要点多多，务必关注：

二、负载分担双机热备状态形成和切换过程

为了实现负载分担方式的双机热备，我们需要在FW1和FW2上都启用Active组和Standby组，使FW1的Active组与FW2的Standby组进行通信，构成一组“主备”，FW2的Active组与FW1的Standby组进行通信，也构成一组“主备”。这样两台FW形成互为主备的状态，也就是负载分担状态。

结合下图给出负载分担方式的双机热备配置，如下表所示：

三、VGMP的功能

而由上面的例子可以看出，VGMP在双机热备中主要实现以下三个功能：

1、  故障监控：VGMP组能够监控VRRP备份组状态变化，从而感知到VRRP组内接口的故障和恢复。（私下里嘀咕：VGMP组能不能直接监控接口故障呢，一定要通过VRRP备份组监控接口么？）

2、  状态切换：VGMP组感知到VRRP备份组状态变化后，会调整自身的优先级，并与对端的VGMP组重新协商主备状态。（私下里嘀咕：这一点比较清楚了，本篇都是在讲状态如何切换和协商的。）

3、  流量引导：两个VGMP组主备状态建立或者切换后，会强制组内VRRP备份组状态统一切换，然后由状态为Active的VRRP备份组发送免费ARP来引导流量通过自身转发。（私下里嘀咕：如果VGMP组能够直接监控接口的话，流量引导方式也是这样么？）

实际上VGMP功能很强大，通过监控VRRP备份组状态实现防火墙主备状态切换和流量引导仅仅是VGMP的一个招式。这个招式仅仅适用于防火墙上行或下行设备是交换机的场景，因为VRRP本身就是为这个场景量身定制的。当防火墙上行或下行设备是路由器的时候，VGMP就无力应对了么？当然不会的！

防火墙双机热备功能最大的特点在于提供一条专门的备份通道（也称为心跳线），用于两台防火墙之间协商主备状态，以及备份会话、Server-map表等重要的状态信息和配置信息。成为备用设备的防火墙不会处理业务，只是通过备份通道接收来自主用设备FW1的状态信息以及配置信息。

主备情况下，先配置vrrp,hrp 双机热备状态成功建立后，FW_A的安全策略配置会自动备份到FW_B上。

双机热备状态成功建立后，FW_A的NAT策略配置会自动备份到FW_B上。

模拟器环境中安全策略和nat策略没有同步到 fw_b上，不知道啥情况。配置的hrp auto-sync 没有生效。

【防火墙技术连载38】强叔侃墙 双机热备篇 VRRP与VGMP的故事（上） (huawei.com)

vrrp备份组状态切换过程

当VRRP备份组状态切换完成后，新的Master路由器会立即发送携带VRRP备份组虚拟MAC地址和虚拟IP地址信息的免费ARP报文，刷新与它连接的设备（下行交换机）中的MAC表项。下行的交换机的MAC表项会记录虚拟MAC地址与新的端口Eth0/0/2的对应关系。

在以太网中，MAC地址表项用于指导设备进行二层数据转发，ARP表项通过IP地址和MAC地址的映射指导设备进行不同网段间的通信。

在VRRP下挂服务器的场景中，MAC地址表项的出接口通过报文触发刷新，ARP表项的出接口是在老化时间到后通过老化探测进行刷新的。这样就可能会出现MAC表项和ARP表项出接口不一致的情况，即MAC地址表项的出接口已刷新，而ARP表项的出接口没有及时刷新的情况。此时可以使能MAC刷新ARP的功能，在MAC地址表项出接口刷新时，直接刷新ARP表项的出接口。如下图所示的场景，SwitchA和SwitchB作为Server的网关，通过VRRP来增强可靠性，VRRP协议报文通过两个Switch之间的直连链路收发。Server发送报文时，一般情况下只会选择一个网口发包，当检测到网络故障或者流量异常时，可能切换到另外一个网口发包。

• SwitchA为VRRP主设备，一开始服务器使用Port1发送报文，此时SwitchA学习到的服务器ARP表项和MAC表项都在Port1接口上，SwitchB学习的服务器MAC在Port2接口；
• 当服务器检测到Port1故障时，服务器切换至Port2继续发送业务报文，这时SwitchA学习到的服务器MAC地址会刷新到Port2，但如果服务器切换转发接口后不主动发送ARP请求报文的话，ARP表项还是在Port1接口上。这样SwitchA发往服务器的报文就会从接口Port1接口发出去，而不能被正确转发，直到该ARP表项老化。

这种情况下就可以在SwitchA和SwitchB上配置MAC刷新ARP功能，当MAC表项的出接口变化时，会即时更新ARP表项的出接口，从而保证MAC表项和ARP表项出接口的一致性。

基于MAC表项刷新ARP表项功能缺省未使能，可通过mac-address update arp命令使能该功能。此命令适用于动态ARP 表项生效。

Q：
什么是免费ARP和过路ARP？

A：
1、免费ARP

免费ARP：Gratuitous ARP（Address Resolution Protocol），是指报文净荷中的源IP地址和目的IP地址相等的ARP报文。

ARP报文格式：


免费ARP的作用：
1）向周边设备通告本设备的ARP。周边设备就可以学习ARP表项，当接受到报文时，无需重新请求ARP，提高了通信效率。
2）IP地址冲突检测。如果收到了免费ARP的应答报文，说明本地IP地址已经在网络中的其他地方被占用了。

使用场景：

在vrrp中VRRP备份组向周边设备发送免费arp通告虚拟的MAC地址和下行交换机接口的对应关系。

当master 故障时，backup及时接替master角色发布免费ARP ，通告下行交换机虚拟MAC地址与交换机接口的对应关系。

IP地址冲突检测：当设备接口的协议状态变为Up时，设备主动对外发送免费ARP报文。正常情况下不会收到ARP应答，如果收到，则表明本网络中存在与自身IP地址重复的地址。如果检测到IP地址冲突，设备会周期性的广播发送免费ARP应答报文，直到冲突解除。

用于通告一个新的MAC地址：发送方更换了网卡，MAC地址变化了，为了能够在动态ARP表项老化前通告网络中其他设备，发送方可以发送一个免费ARP。