防火墙的ALG、NAT、双机热备知识点详解

具体的NAT和双机热备实验请到：NAT与双机热备实验

1、ALG

2、NAT ALG

3、NAT域间双向转换

4、NAT域内双向转换

5、双出口NAT

6、防火墙的双机热备

解决方案1：VGMP

6.1 双机热备份技术产生的背景：

6.2 VRRP在多区域防火墙组网中的应用

6.3 VRRP在防火墙中应用的缺陷：

6.4 VGMP的基本原理

6.5 VGMP组管理

解决方案2：HRP

6.6 备份内容：会话表备份，配置备份

6.7 备份方向：

6.8 备份通道：

6.9 防火墙双机热备份主备切换的故障场景

1、ALG

应用网关，用来处理上述应用层在nat转换场景转换问题。

ALG 作用之一：观测多通道协议的协商包

2、NAT ALG

某些协议会在应用层携带通信ip（即，没有有nat转换前的ip），这个ip用于下一阶段通信。但是nat的地址转换并不是转应用层而是转三层ip，这就是导致某些协议的通信阶段在nat场景下失败。

问题1：由于nat在转发过程中破坏了源ip的完整性

所以需要使用server-map创建一条隐形通道用来让nat地址进出

问题2：TCP的校验和检验ip的源目IP地址

NAT转换的动作：把IP改掉，然后去TCP的校验和中把修改后的校验和再校验一遍（未首部校验）

NAT转换不仅仅和IP首部，还有TCP的首部

防火墙的解决方案：

1、创建一个nat

2、创建server-map隐形通道

注意：防火墙设置nat只写真实地址

服务映射NAT：外->内目标写内网服务器ip

内->外源写本地主机ip

3、NAT域间双向转换

外网访问内网服务器，内网服务器访也需要问外网的场景；

4、NAT域内双向转换

使用场景：内网的人要想访问内网的服务器，但是dns解析需要到外网解析，然后pc的访问与服务器的响应路径不一致的问题；

5、双出口NAT

双NAt会出现nat地址转换错乱

解决方案：

启动防火墙多出口选项，网关、缺省、源进源出路由控制三种必须启用。不管是多出口是在一个安全区域还是多个安全区域都是如此做法

原理就是通过上述手段把路由与NAT转换通过系一条做了关联

注意：在防火墙图形化配置ip时一定要写默认网关，然后记着勾着多出口选项；

6、防火墙的双机热备

解决方案1：VGMP

6.1 双机热备份技术产生的背景：

当内部用户和和外部用户的交互式报文全部通过防火墙A。如果防火墙A出现故障，则内部网络中所有以防火墙A作为默认网关的通讯将会中断，通讯可靠性无法保证。

为了防止一台设备出现意外故障而导致网络中断业务中断，可以采用两台防火墙形成双机备份

6.2 VRRP在多区域防火墙组网中的应用

为了防止多个区域提供双机如被功能时，需要在每一台防火墙上配置多个VRRP备份组

6.3 VRRP在防火墙中应用的缺陷：

使用传统的VRRP方式无法实现主、备防火墙状态信息和多组VRRP状态的一致性

6.4 VGMP的基本原理

为了保证所有的VRRP备份组切换的一致性，在VRRP的基础上进行了扩展，推出了VGMP（VRRP组协议管理协议）来弥补次局限。将同一台防护墙上的多个VRRP备份组都加入到一个VGMP管理组，由管理组统一管理所有VRRP备份组的状态，来保证管理组内的所有VRRp备份状态都是一致的；

防火墙VGMP组状态分为三类：load-balance负载均衡 Active、standy；
防火墙VGMP组通过发送VGMP报文通告自身的运行状态，从而根据hello优先级决定主备设备，主设备VGMP组的状态为Active，备设备的状态为standby；
当防火墙上的VGMP组为Active/standby时，组内的所有VRRP备份组的状态都是Active/standby;
当发生故障时，VGMP统一切换到VRRP备份组1与VRRP备份组2的状态。当VGMP组状态为Active时，VRRP备份组的状态都是Master；当VGMP组状态都是backup

6.5 VGMP组管理

状态一致性管理：VGMP管理组控制所有的VRRP备份组统一切换，VRRP备份组加入到管理组后状态不能单独切换

抢占管理：

当原来出现故障的主设备故障恢复时，其VGMP管理组优先级也会恢复，此时可以重新将自己的VGMP管理组状态抢占为主;
当VRRP备份组加入到VGMP管理组后，备份组上原来的抢占功能将失效，抢占行为发生与否必须由VGMP管理组统一决定

通道管理：所谓通道管理，就是为了确定双机热备的两台防火墙之间有哪些接口是可用的，VGMP、HRP模块将自动选用可用接口来发送VGMP、HRP报文。

注：

VGMP自己选举主备；
VRRP的主备由VGMP选举产生；

解决方案2：HRP

HRP（huawei redundancy protocol）协议，用来实现防火墙双机之间状态信息和关键配置命令的动态备份

6.6 备份内容：会话表备份，配置备份

策略: 安全策、NAT策略、认证策略、攻击防范和ASPF等;
对象: 地址、地区、服务、应用、用户、认证服务器、时间段地址池、URL分类、关键字组、邮件地址组、签名和安全配置文件等;
网络: 新建逻辑接口、安全区域、DNS、静态路由(配置hrpauto-sync config static-route后才可以备份)、IPSec和SSLVPN等
系统:管理员、虚拟系统、日志配置等。
状态信息:会话表、Sever-map表、黑白名单、地址映射表、MAC表、用户表、IPSec安全联盟和隧道等。