NetWork – 第 10 页 – 运维日常

Nerwork 华为双机热备配置要点

防火墙双机热备功能最大的特点在于提供一条专门的备份通道（也称为心跳线），用于两台防火墙之间协商主备状态，以及备份会话、Server-map表等重要的状态信息和配置信息。成为备用设备的防火墙不会处理业务，只是通过备份通道接收来自主用设备FW1的状态信息以及配置信息。

主备情况下，先配置vrrp,hrp 双机热备状态成功建立后，FW_A的安全策略配置会自动备份到FW_B上。

双机热备状态成功建立后，FW_A的NAT策略配置会自动备份到FW_B上。

模拟器环境中安全策略和nat策略没有同步到 fw_b上，不知道啥情况。配置的hrp auto-sync 没有生效。

Network VRRP 工作原理（免费arp报文）

【防火墙技术连载38】强叔侃墙双机热备篇 VRRP与VGMP的故事（上） (huawei.com)

vrrp备份组状态切换过程

当VRRP备份组状态切换完成后，新的Master路由器会立即发送携带VRRP备份组虚拟MAC地址和虚拟IP地址信息的免费ARP报文，刷新与它连接的设备（下行交换机）中的MAC表项。下行的交换机的MAC表项会记录虚拟MAC地址与新的端口Eth0/0/2的对应关系。

Network 在VRRP场景中，为什么要基于MAC表项刷新ARP表项

在以太网中，MAC地址表项用于指导设备进行二层数据转发，ARP表项通过IP地址和MAC地址的映射指导设备进行不同网段间的通信。

在VRRP下挂服务器的场景中，MAC地址表项的出接口通过报文触发刷新，ARP表项的出接口是在老化时间到后通过老化探测进行刷新的。这样就可能会出现MAC表项和ARP表项出接口不一致的情况，即MAC地址表项的出接口已刷新，而ARP表项的出接口没有及时刷新的情况。此时可以使能MAC刷新ARP的功能，在MAC地址表项出接口刷新时，直接刷新ARP表项的出接口。如下图所示的场景，SwitchA和SwitchB作为Server的网关，通过VRRP来增强可靠性，VRRP协议报文通过两个Switch之间的直连链路收发。Server发送报文时，一般情况下只会选择一个网口发包，当检测到网络故障或者流量异常时，可能切换到另外一个网口发包。

SwitchA为VRRP主设备，一开始服务器使用Port1发送报文，此时SwitchA学习到的服务器ARP表项和MAC表项都在Port1接口上，SwitchB学习的服务器MAC在Port2接口；
当服务器检测到Port1故障时，服务器切换至Port2继续发送业务报文，这时SwitchA学习到的服务器MAC地址会刷新到Port2，但如果服务器切换转发接口后不主动发送ARP请求报文的话，ARP表项还是在Port1接口上。这样SwitchA发往服务器的报文就会从接口Port1接口发出去，而不能被正确转发，直到该ARP表项老化。

这种情况下就可以在SwitchA和SwitchB上配置MAC刷新ARP功能，当MAC表项的出接口变化时，会即时更新ARP表项的出接口，从而保证MAC表项和ARP表项出接口的一致性。

基于MAC表项刷新ARP表项功能缺省未使能，可通过mac-address update arp命令使能该功能。此命令适用于动态ARP 表项生效。

Network 免费ARP

Q：
什么是免费ARP和过路ARP？

A：
1、免费ARP

免费ARP：Gratuitous ARP（Address Resolution Protocol），是指报文净荷中的源IP地址和目的IP地址相等的ARP报文。

ARP报文格式：

免费ARP的作用：
1）向周边设备通告本设备的ARP。周边设备就可以学习ARP表项，当接受到报文时，无需重新请求ARP，提高了通信效率。
2）IP地址冲突检测。如果收到了免费ARP的应答报文，说明本地IP地址已经在网络中的其他地方被占用了。