防御保护--防火墙的可靠性

前提：

VGMP

接口故障切换场景

状态切换备份的过程

HRP

第一种备份方式 --- 自动备份

第二种备份方式 --- 手工备份

第三种备份方式 --- 快速备份

各备份场景过程分析

1，主备形成场景

2，主备模式下，接口故障切换场景

3.主备场景，主设备故障切换

4，主备场景，主设备接口故障恢复切换

没有开启抢占--没有抢占则原主设备保持备份状态。

开启抢占：

5，负载分担

6，负载分担接口故障场景

前提：

防火墙和路由器在进行可靠性备份时，路由器备份可能仅同步路由表中信息即可，而防火墙是基于状态检测机制，所以还需要同步记录状态的会话表等，所以，防火墙需要使用双机热备技术

双机：目前防火墙的双击热备技术仅支持两台设备

热备：两台设备同时运行，当然在一台设备出现故障的情况下，另一台设备可用立即替代原设备

VRRP技术

虚拟路由器冗余协议--"实的不行来虚的"

Initialize --- 在VRRP中，如果一个接口出现故障之后，则这个接口将进入到该过渡状态

VRRP备份组之间是相互独立的，当一台设备上出现多个VRRP组时，他们之间的状态无法同步。

VGMP

华为私有协议 --- 这个协议就是将一台设备上的多个VRRP组看成一个组，之后统一进行管理，统一切换的协议。以此来保证VRRP组状态的一致性。

接口故障切换场景

在防火墙的双机热备中，我们不论时VRRP组还是VGMP组，主备的叫法发生了变化，主统一被称为Active，备被称为Standby

状态切换备份的过程

1，假设主设备的下联口发生故障，则这个接口的vrrp状态将由原来的Active状态切换为 initialize状态。（这种情况下，按照VRRP自己的机制，主设备将无法发送周期保活报文，则备设备在超过超时时间后将切换为主的状态。但是，因为这里启用VGMP在，则VRRP 切换状态将由VGMP接管，VRRP的机制名存实亡。）

2，VGMP组发现VRRP组出现变化，将降低自身的优先级。（说明，在VGMP组中，也存在优先级的概念。一开始，每台设备中都会存在两个VGMP组，一个叫做Active组，另一个叫做Standby组。Active组初始的默认优先级为65001，Standby组初始的默认优先级为65000（不同版本的防火墙，这个优先级的定义不同）。一开始，我们FW1将两个VRRP组都拉入VGMP_ACTIVE组中，因为ACTIVE组的状态时active，所以，里面两个vrrp组的状态也是active（VGMP组的状态决定了VRRP组的状态），FW2同理。当一个VRRP组的状态变为initialize，则VGMP则的优先级-2。）之后，原主设备会发送一个VGMP请求报文给对端，里面包含了自己当前变化后的优先级。

3，当原备设备接收到请求报文后，看到里面的优先级时64999，而低于自身的65000，分区 20240121防御保护寒假班的第 10 页则会将自己的VGMP_STANDBY组的状态由原来的standby切换为active。同时，发送一个同意请求报文给原主设备。

4，原主设备接收到对方的应答报文之后，将会把自身VGMP_ACTIVE组的状态由原来的 ACTIVE切换为STANDBY。

5，在原备设备发送应答报文的同时，因为其VGMP组的状态切换，所以，其内部的 VRRP组状态也将由原来的standby转换为avtive。原主设备在接受到对方的应答报文之后，因为将其VGMP组状态切换，所以，同时将其内部的VRRP组状态由原来的active状态切换为standby状态（注意，故障接口依旧保持init的状态。）

6，原备设备会通过接口向上下联链路发送免费ARP报文，切换交换机的MAC地址表。流量将被切换到原被设备上。