双机热备（RBM）技术白皮书

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

目  录

1 概述··· 1

1.1 产生背景·· 1

1.2 技术优点·· 2

2 技术实现··· 2

2.1 概念介绍·· 2

2.2 双机热备的组建·· 3

2.2.1 RBM报文·· 3

2.2.2 RBM通道·· 3

2.2.3 设备角色·· 3

2.2.4 建立过程·· 5

2.3 双机热备工作模式·· 6

2.4 双机热备备份配置信息·· 7

2.4.1 触发批量备份配置信息·· 8

2.4.2 配置信息一致性检查·· 8

2.5 双机热备备份业务表项·· 8

2.6 双机热备状态切换·· 8

2.6.1 触发事件·· 9

2.6.2 监控机制·· 10

2.6.3 切换过程·· 10

2.7 双机热备部署方式·· 12

2.7.1 三层主备直路部署·· 12

2.7.2 三层双主直路部署·· 13

2.7.3 透明主备直路部署·· 15

2.7.4 透明双主直路部署·· 17

2.8 双机热备流量引导·· 18

2.8.1 双机热备+VRRP· 18

2.8.2 双机热备+静态路由·· 20

2.8.3 双机热备+动态路由·· 21

2.8.4 双机热备+VLAN· 22

2.8.5 非对称流量业务·· 23

2.9 双机热备流量回切·· 24

2.10 双机热备与其它功能配合·· 25

2.10.1 双机热备支持NAT· 25

2.10.2 双机热备支持SSL VPN· 27

2.10.3 双机热备支持DPI业务·· 28

2.10.4 双机热备支持Context 28

2.10.5 双机热备支持vSystem·· 28

2.11 双机热备应用限制·· 28

3 典型组网应用··· 28

3.1 双机热备联动VRRP三层主备典型组网·· 28

3.2 双机热备联动VRRP三层双主典型组网·· 29

3.3 双机热备联动动态路由三层主备典型组网·· 30

3.4 双机热备联动动态路由三层双主典型组网·· 31

3.5 双机热备透明主备典型组网·· 32

3.6 双机热备透明双主典型组网·· 33

 

1 概述

1.1  产生背景

大数据时代，随着各行各业数字化转型的蓬勃开展，网络承载的业务越来越多，越来越重要。如何保证网络的可靠性和业务的不间断传输成为网络建设中必须要解决的问题。

如图1-1中的左图所示，Device部署在网络的出口，内、外网之间的业务流量均会通过Device处理和转发。如果Device出现故障，便会导致内、外网之间的业务全部中断。由此可见，在这种网络关键位置上如果只使用一台设备，无论设备的可靠性多高，都会存在因设备单点故障而导致的网络中断风险。

因此，企业通常会在网络的关键位置部署两台设备，以提升网络的可靠性。如图1-1中的右图所示，当Device A出现故障时，流量会通过Device B转发，保证内、外网之间业务流量的不间断传输。

图1-1 网络可靠性示意图

 

对于传统的网络设备（如交换机、路由器），只需要做好接口或网络的冗余就可以保证流量的不间断传输。但是，对于需要对报文进行状态检测和策略处理的设备（如防火墙、入侵防御、上网行为审计等），它会对一条流量的首包进行合法性检测，并建立会话来记录流量的状态信息（包括报文的源IP、源端口、目的IP、目的端口、协议等）。而这条流量的后续报文只有匹配会话才会在此类设备上进行处理并完成转发，如果后续报文不能匹配到会话则被丢弃。所以当此类设备进行可靠性部署时，不仅需要做好链路级的冗余，还需要保证两台设备之间的业务表项信息和配置信息的一致性，做到设备级的冗余，只有如此才能真正保证流量的不间断传输。

双机热备功能可以有效解决以上问题。如图1-1中的右图所示，双机热备可以将两台Device组建成高可靠性系统，在保证链路级冗余的同时，还能将设备上的会话表项等业务状态信息和配置信息在两台设备之间同步，最终达到设备级的冗余。

1.2  技术优点

双机热备是一种跨设备的备份管理技术，提供了一种设备级、系统级的可靠性解决方案。双机热备不仅具有其它冗余技术（如链路聚合、VRRP等）所具有的增加链路带宽、提高网络可靠性、流量负载分担的优势外，还兼具以下优势：

·     设备级可靠性：双机热备将网络通信的可靠性从链路级、单板级提高到了设备级。对于需要对报文进行深度处理和检测的业务，真正做到了业务级的平滑迁移。

·     业务快速部署：双机热备中只需要在一台设备上配置相关业务，另一台设备会实时自动同步配置信息，这样既能简化设备的配置操作，又能加速业务的上线。

·     设备独立升级：双机热备中的两台设备可以进行独立升级，升级其中一台设备时，另一台可以正常工作，升级过程对正在运行的业务几乎零影响。

·     流量自动切换：双机热备通过多种监测技术，动态感知设备及其链路的健康状况，并与其它多种技术（如OSPF）联动实现流量自动切换。

·     支持多业务：双机热备支持SecPolicy、DPI、NAT、LB、IPsec、SSL VPN等功能在业务层面的高可靠性部署，保证流量切换后业务处理不中断。

·     组网兼容性强：双机热备可与OSPF、IS-IS、BGP、VRRP等RFC标准协议联动引导流量，因此双机热备在不同品牌设备的综合组网中，具有非常强的兼容性和扩展性。

2 技术实现

本文的双机热备技术通过RBM（Remote Backup Management，远端备份管理）协议实现，其不仅可以备份设备间的配置信息和业务表项，还能联动VRRP和动态路由等，统一管理流量的切换保证用户业务数据的不间断传输。

2.1  概念介绍

双机热备技术在控制层面和业务层面对设备进行统一管理，从而提供设备级冗余保护和流量负载分担。双机热备技术包含的基本概念如下。

·     主、从管理设备：双机热备中的设备在控制层面分为主、从两种管理角色（也可以称作主、从管理状态），用于控制设备之间的配置信息同步。

·     主、备业务设备：双机热备中的设备在数据层面包含主、备两种业务角色（也可以称作主、备业务状态）。主设备处理业务，并向备设备实时备份业务表项信息。

·     RBM报文：RBM报文使用RBM协议承载两台设备之间需要交互的信息。其使用TCP作为传输层协议，TCP连接建立后，主管理设备和从管理设备通过RBM通道交互RBM报文。

·     RBM通道：用于两台设备之间交互双机热备的运行状态信息、配置信息和业务表信息。

·     双机热备工作模式：支持主备和双主两种工作模式。主备模式下，仅由主设备处理业务，备设备处于待命状态；双主模式下，两台设备同时处理业务，充分利用设备资源，提高系统负载分担能力。

2.2  双机热备的组建

2.2.1  RBM报文

1. 报文类型

RBM报文是基于RBM协议的，其从大类上基本可以分为如下几类：

·     控制报文：首先根据设备的配置信息建立双机热备系统，系统建立后依据设备的运行状态来控制设备的主备状态切换。

·     心跳报文（Keepalive报文）：两台设备通过定期互相发送心跳报文来检测对端设备是否存活。

·     配置一致性检查报文：用于检测两台设备的关键配置是否一致。

·     配置信息备份报文：用于两台设备之间进行配置信息的备份。

·     表项备份报文：用于两台设备之间进行业务表项的备份。

·     透传报文：用于设备间非对称路径业务报文的透传或复制。

2.2.2  RBM通道

RBM通道用于两台设备之间进行双机热备运行状态、关键配置和业务表项等信息的传输，从逻辑上包括以下几种类型的通道：

·     控制通道：可传输的报文类型包括双机热备的运行状态报文、一致性检查报文和同步配置信息的报文等。创建RBM控制通道时，设备会将配置的本端IP地址与对端IP地址进行比较，IP地址较大的设备将作为Server，IP地址较小的设备将作为Client。Client向Server发起TCP连接请求来建立RBM控制通道。双机热备中所有设备配置的控制通道端口必须相同。

·     数据通道：可传输的报文类型包括热备报文和透传报文。数据通道直接使用底层驱动进行数据传输，因此仅支持二层转发。

2.2.3  设备角色

双机热备中的设备具有双重角色，在管理层面将设备分为主、从两种角色，以简化系统配置和保证设备间的配置信息一致；在业务层面将设备分为主、备两种角色，以保证设备间的业务表项、上下行流量的一致和故障时的统一切换。下面将详细介绍这四种角色。

1. 主、从管理角色

如图2-1所示，为了保证备设备可以平滑地接替主设备的工作，双机热备必须能够将主设备的配置信息备份到备设备。尤其在双主组网环境中，两台设备都是主设备，如果允许两台主设备之间能够相互备份配置信息，那么就会造成两台设备上配置信息相互覆盖或冲突的问题。所以，为了方便管理员对两台设备的配置信息进行统一管理，避免配置信息的混乱，我们引入了主、从管理角色的概念（也可以称作主、从管理状态）。主、从管理角色只能手工配置，不能动态选举。

图2-1 主、从管理角色示意图

 

配置完设备的管理角色后，系统将会在命令行提示符前增加前缀信息，以便标识设备的主、从管理角色。这样能够更加友好醒目地提示管理员设备当前的管理角色是什么。具体标示方法如下：

·     主管理设备：将在命令行提示符前面增加RBM_P前缀信息，如：RBM_P<Sysname>。

·     从管理设备：将在命令行提示符前面增加RBM_S前缀信息，如：RBM_S<Sysname>。

在RBM控制通道建立成功前，无论配置的设备管理角色是什么，其都认为自己是主管理角色，这时命令行提示符前缀总是RBM_P。在RBM控制通道建立成功后，系统将按照实际配置的管理角色显示命令行提示符前缀信息。

在双机热备组网中必须将其中一台设备配置为主管理设备，另一台设备配置为从管理设备，RBM控制通道建立后只能在主管理设备上配置相关业务，从管理设备上不能配置。配置信息只能从“主管理设备”同步到“从管理设备”，并覆盖从管理设备上对应的配置信息。

2. 主、备业务角色

如图2-2所示，为保证报文的有序性处理和流量的统一管理，在数据层面双机热备将设备划分为主、备两种业务角色（也可以称作主、备业务状态，或简称“业务主”和“业务备”）。主设备处理业务，并向备设备实时备份业务表项信息；备设备除接收主设备的业务表项备份信息外，在主设备发生故障后，备设备会转换成主设备，继续处理业务流量，保证业务不中断。

主、备业务角色由双机热备选举产生，可动态切换。初始状态下，主备工作模式中设备的主备业务角色与主从管理角色保持一致，即主管理设备就是业务主，从管理设备就是业务备；双主工作模式中两台设备均为业务主。

图2-2 主、备业务角色示意图

 

2.2.4  建立过程

如图2-3所示，两台设备之间建立双机热备（即RBM）的详细过程如下：

(1)     当两台设备配置完双机热备功能和启动进程后，它们开始协商建立RBM通道。

(2)     RBM通道建立成功后，开始发送双机热备协商报文组建双机热备。

(3)     当本端设备收到对端设备的双机热备协商报文后，会判断协商报文中的双机热备配置是否和本端的双机热备配置相同。若相同，则这两台设备组建双机热备成功，否则不能组建双机热备。

(4)     双机热备组建成功后，两端设备会进行主、从管理角色的竞选。目前双机热备的主、从管理角色仅支持管理员手工指定，配置为主管理角色的一端将成为主管理设备，配置为从管理角色的一端将成为从管理设备。

(5)     双机热备中的管理角色选定后，将进行主、备业务角色的竞选。业务角色由双机热备根据双机热备的工作模式和设备的运行状态等因素动态选举产生。

(6)     双机热备中的业务角色选定后，主管理设备开始向从管理设备批量同步自己当前已有的配置信息，业务主设备开始向业务备设备批量同步自己的业务表项信息。

(7)     同时，两端设备将会通过RBM通道周期性地发送Keepalive报文检测邻居状态。

(8)     双机热备正常运行后，主设备会向对端实时同步自己的数据信息，例如配置信息、业务表项等。这样任意一台设备故障都不会影响流量的转发，保证正常业务不中断。

图2-3 双机热备建立过程示意图

 

2.3  双机热备工作模式

双机热备支持主备和双主两种工作模式，具体介绍如下。

1. 主备模式

如图2-4所示，主备模式下，正常情况仅由主设备处理业务，备设备处于待命状态；当主设备接口、链路或整机故障时，备设备立即切换为主设备，接替原主设备处理业务。

图2-4 主备模式的双机热备示意图

 

2. 双主模式

如图2-5所示，双主模式下，两台设备同时处理业务，充分利用设备资源，提高系统负载分担能力，此模式通过互为主备方法实现。并且当其中一台设备发生故障时，另外一台设备会立即承担其业务，保证业务不中断。

图2-5 双主模式的双机热备示意图

 

2.4  双机热备备份配置信息

双机热备可以将主管理设备上的配置信息备份到从管理设备，保证两台设备上的配置信息一致。这样在主、备设备切换时便可避免因对端设备缺失对应的配置信息而发生业务中断的问题。

双机热备支持自动和手动两种方式进行配置信息备份，具体如下：

·     自动备份：开启此功能后，主管理设备的配置信息变化会实时同步到从管理设备。

·     手动备份：执行手动备份后，主管理设备将会向从管理设备进行一次批量备份。

双机热备备份配置信息支持实时备份和批量备份两种方式，具体如下：

·     实时备份：主管理设备上新增、删除或修改的配置信息将实时同步到从管理设备。

·     批量备份：主管理设备上的配置信息全部一次批量备份到从管理设备。

2.4.1  触发批量备份配置信息

仅在如下几种情况才会触发设备之间进行配置信息的批量备份：

·     双机热备正常工作后，在主管理设备上使用手动备份功能会触发配置信息的批量备份。

·     双机热备中的设备正常运行后，RBM控制通道是第一次成功建立且配置信息自动备份功能也是第一次开启（包括默认开启）时，主管理设备会将自己当前的所有配置信息批量备份到从管理设备进行配置覆盖。设备正常运行后，只要进行过一次批量备份，即使再反复开启配置信息自动备份功能或者RBM控制通道反复建立也不会再触发配置信息的批量备份。

·     双机热备中的某台设备重启或者双机热备进程（即RBM进程）重启，并且这期间对端设备的配置信息自动备份功能一直处于开启状态的情况下。当设备重启完成且RBM控制通道再次建立后，对端设备（包括对端设备是从管理设备的情况）会将自己当前的所有配置信息批量备份过来进行配置覆盖。

2.4.2  配置信息一致性检查

双机热备通过交互一致性检查报文来检测两台设备的配置信息是否一致，用于防止由于两台设备配置信息不一致，而导致主备切换后业务不通的情况。当检测到配置信息不一致时，设备会发送日志信息，以提示管理员进行配置信息的手动同步。

双机热备配置信息一致性检查的过程如下：

(1)     主管理设备发送一致性检查请求报文给从管理设备，同时收集自身相关模块配置信息的摘要。

(2)     从管理设备收到一致性检查请求后，会收集自身相关模块配置信息的摘要，然后封装到一致性检查报文返回给主管理设备。

(3)     主管理设备收到从管理设备返回的一致性检查报文后，将自身配置信息的摘要与从管理设备配置信息的摘要进行对比，如果对比结果不一致，则主管理设备输出日志信息。

双机热备支持自动和手动两种方式的配置信息一致性检查，具体如下：

·     自动方式：此方式下，设备将周期性的发送配置信息一致性检查报文，检查两台设备的配置信息是否一致。

·     手动方式：执行手动检查后，设备将进行一次配置一致性检查。

2.5  双机热备备份业务表项

双机热备能够将主设备上生成的业务表项信息实时备份到备设备，避免了主备设备切换时因备设备上缺失业务表项而造成的业务中断问题。

需要对报文进行状态检测的设备，对于每个动态生成的连接，都有一个会话表项与之对应。主设备在处理业务的过程中创建了很多会话表项；而备设备没有报文经过，因此也就没有创建会话表项。通过双机热备的热备份功能，主设备会实时将会话表项备份到备设备，当主备切换后，已有连接的后续业务报文可以通过匹配备份来的会话表项来保持业务不中断。

2.6  双机热备状态切换

双机热备的主、从管理状态由配置指定，不会动态切换；双机热备的主、备运行状态由双机热备选举决定，可动态切换。接下来将从触发事件、监控机制和状态切换过程几个方面来详细介绍双机热备的状态切换机制。

2.6.1  触发事件

如图2-6所示，设备通过设定不同的触发事件，对不同的故障事件进行监控，当故障发生时，能及时触发主备切换，保证业务不中断。

图2-6 双机热备主备切换示意图

 

触发主备切换的事件如下：

·     控制通道断开

两台设备正常运行情况下，当控制通道断开后会进行主备切换。这时两台设备都变为主设备，进行业务处理，但是两台设备不再是双机热备状态，对后续的非对称流量会有影响。

·     主设备整机故障

整机故障后，控制通道断开，会触发主备切换。

·     主设备上双机热备监控的接口故障。

双机热备监控的任一接口故障后，会触发主备切换。

·     主设备上任意业务板故障

主设备上任意安全业务板故障会触发业务主备竞选。竞选过程中当两台设备上在位的安全业务板数量一样时，主备工作模式中，业务主就是管理主设备，业务备就是管理从设备；双主工作模式中，两台设备都是业务主。当两台设备上在位的安全业务板数量不一样时，任何工作模式中，都是安全业务板在位数量多的一方竞选为业务主，少的一方竞选为业务备。

·     主设备上所有主控板故障

在只有主用主控板出现故障的情况下，不会触发主备切换；只有主用和备用主控板同时故障后，才会触发主备切换。

·     主设备上所有交换网板故障

·     主设备上双机热备关联的任意Track项状态为Negative

主设备上双机热备关联的任意Track项状态为Negative会触发主备切换，当两台设备上都存在状态为Negative的Track项时，主备工作模式中，业务主就是管理主设备，业务备就是管理从设备；双主工作模式中，两台设备都将变为业务主。

虽然双机热备通过以上监控手段可以进行主备切换，并及时引导流量到正常设备处理业务，保证用户业务不中断。但是，为了整个双机热备的长期可靠运行，建议管理员在发现故障后及时解决。

2.6.2  监控机制

如2.6.1  触发事件小节所介绍的一样，双机热备支持多种故障监控手段，使双机热备可以及时感知设备自身的运行状态和上下行链路的状态。

双机热备的部分监控事件不需要管理员配置，双机热备自动监控，比如：监控控制通道、整机故障、主控板故障、业务板故障、交换网板故障等；但部分监控事件是需要管理员配置，比如：监控接口、监控Track项目等，这些监控事件在不同的组网中该如何使用，请参见表2-1中推荐的使用方法。

表2-1 不同组网中双机热备监控事件的使用建议表

组网场景	故障监控事件
业务接口工作在三层，上下行连接路由器三层接口，静态路由组网	需要使用监控接口功能监控上下行三层以太网接口的状态
业务接口工作在三层，上下行连接路由器三层接口，动态路由组网	需要使用关联Track项功能监控上下行链路的状态
业务接口工作在三层，上下行连接二层交换机组网	需要使用关联Track项功能监控上下行链路的状态 请不要在VRRP备份组中配置Track功能
业务接口工作在二层，上下行连接路由器三层接口组网	需要使用监控接口功能监控上下行三层以太网接口的状态
业务接口工作在二层，上下行连接二层交换机组网	需要使用监控VLAN功能监控上下行接口的状态

 

双机热备监控接口、VLAN和关联Track项的具体工作原理如下所示：

·     双机热备监控接口：这些被监控的接口将同时具备或同时不具备报文传输能力。只有双机热备所监控接口的状态均为UP时，这些接口才能转发报文，否则双机热备监控的所有接口均不能转发报文。

·     双机热备监控VLAN：被监控VLAN中的成员端口将同时具备或同时不具备报文传输能力。只有VLAN中的所有成员端口状态均为UP时，此VLAN的状态才为Active，所有成员端口可以转发报文，否则此VLAN的状态为Inactive，所有成员端口均不能转发报文。

·     双机热备关联Track项：当双机热备关联的其中一个Track项的状态为Negative时，双机热备将进行设备的主备切换，将上下行流量同时切换到新的主设备，保证业务不中断。

2.6.3  切换过程

如图2-7所示，当RBM控制通道还未建立时，在控制层面两台设备都是主管理状态，在数据层面两台设备也都是主业务状态，但是此时并不是正常的双机热备状态，双机热备组建还未完成。

图2-7 RBM控制通道未建立的情况

 

如图2-8所示，RBM控制通道建立成功且两台设备均运行正常后，在控制层面两台设备的管理状态由配置信息决定，且任何情况下都不会发生变动。在数据层面，主备工作模式中，两台设备的运行状态与管理状态保持一致；双主工作模式中，两台设备都是业务主。

图2-8 RBM控制通道建立成功且两台设备均运行正常的情况，主备工作模式举例

 

如图2-9所示，当上下行业务链路故障时，只会导致数据层面的主、备业务状态发生切换，使流量切换到正常设备上进行处理，这种情况不会导致控制层面的主、从管理状态发生切换。

图2-9 当上下行业务链路故障

 

如图2-10所示，只有主管理设备整机故障（相当于RBM控制通道未建立的情况）才会导致控制层面的主、从管理状态和数据层面的主、备业务状态一起发生切换。从管理设备会临时抢占为主管理状态；当主管理设备故障恢复后（相当于RBM控制通道建立的情况），又抢占为主管理设备。

图2-10 设备整机故障或重启

 

2.7  双机热备部署方式

双机热备支持如下几种部署方式：

·     三层主备直路部署

·     三层双主直路部署

·     透明主备直路部署

·     透明双主直路部署

2.7.1  三层主备直路部署

如图2-11所示，双机热备三层主备直路部署方式的适用场景为：需要将Device A与Device B串联部署在上下行设备之间，Device的上、下行业务接口均为三层接口，所有业务流量都必须经过Device。正常情况下只有一台设备处理业务流量，当主设备或链路故障时，可以将业务流量平滑迁移到备设备进行处理。

仅以双机热备与VRRP联动的方案为例，介绍此种双机热备部署方式的部署思路，具体如下：

·     两台Device上下行分别连接二层交换机，Device的上下行接口工作在三层模式。

·     两台Device之间建立一条RBM通道。

·     两台Device上下行分别配置一个VRRP备份组，并与双机热备关联。Device A上下行业务接口的VRRP备份组1和2加入Active group；Device B上下行业务接口的VRRP备份组1和2加入Standby group。

·     两台Device上需要将去往Internet路由的下一跳指定为Router连接Device的接口IP地址（此示例中为2.1.1.15）。

·     Router上需要将去往Host网段路由的下一跳指定为VRRP备份组1的虚拟IP地址（此示例中为2.1.1.3）。

·     Host上需要设置默认网关IP地址为VRRP备份组2的虚拟IP地址（此示例中为10.1.1.3）。

·     Switch A需要将连接Device和Router的接口加入相同的VLAN。

·     Switch B需要将连接Device和Host的接口加入相同的VLAN。

图2-11 双机热备三层主备直路部署示意图

 

2.7.2  三层双主直路部署

如图2-12所示，双机热备三层双主直路部署方式的适用场景为：需要将Device A与Device B串联部署在上下行设备之间，Device的上、下行业务接口均为三层接口，所有业务流量都必须经过Device。正常情况下两台设备都需要处理业务流量，当其中一台设备或链路故障时，可以将业务流量平滑迁移到另一设备进行处理。

仅以双机热备与VRRP联动的方案为例，介绍此种双机热备部署方式的部署思路，具体如下：

·     两台Device上下行分别接入二层交换机，Device的上下行接口工作在三层模式。

·     两台Device之间建立一条RBM通道。

·     两台Device上下行分别配置两个VRRP备份组，并与双机热备关联，具体如下：

¡     Device A上下行业务接口的VRRP备份组1和3加入Active group；Device A上下行业务接口的VRRP备份组2和4加入Standby group。

¡     Device B上下行业务接口的VRRP备份组1和3加入Standby group；Device B上下行业务接口的VRRP备份组2和4加入Active group。

·     两台Device上需要将去往Internet路由的下一跳指定为Router连接Device的接口IP地址（此示例中为2.1.1.15）。

·     Router上需要将去往Host A路由的下一跳指定为VRRP备份组1的虚拟IP地址（此示例中为2.1.1.3）。

·     Router上需要将去往Host B路由的下一跳指定为VRRP备份组2的虚拟IP地址（此示例中为2.1.1.4）。

·     Host A上需要设置默认网关IP地址为VRRP备份组3的虚拟IP地址（此示例中为10.1.1.3）。

·     Host B上需要设置默认网关IP地址为VRRP备份组4的虚拟IP地址（此示例中为10.1.1.4）。

·     Switch A需要将连接Device和Router的接口加入相同的VLAN。

·     Switch B需要将连接Device和Host的接口加入相同的VLAN。

图2-12 双机热备三层双主直路部署示意图

 

2.7.3  透明主备直路部署

设备作为二层设备，上下行连接二层交换机的组网方式仅支持主备组网，不支持双主组网，否则二层网络中会出现网络环路。

如图2-13所示，双机热备二层主备直路部署方式的适用场景为：需要将Device A与Device B作为二层设备串联部署在上下行二层网络之间，Device的上、下行业务接口均为二层接口，所有业务流量都必须经过Device。正常情况下只有一台设备处理业务流量，当主设备或链路故障时，可以将业务流量平滑迁移到备设备进行处理。

此种双机热备部署方式的部署思路如下：

·     两台Device上下行分别连接二层交换机，Device的上下行接口工作在二层模式。

·     两台Device上下行接口加入相同VLAN。

·     两台Device之间建立一条RBM通道。

·     配置双机热备监控功能，保证Device上下行接口状态统一切换。以下双机热备监控功能仅能二选其一。

¡     配置双机热备监控VLAN状态：此种方式下只需要将Device配置为双机热备主备工作模式即可，Device的上下行二层交换机无需开启生成树协议，双机热备可以保证无环路。

¡     配置双机热备监控上下行接口状态：此种方式下Device的上下行二层交换机上必须开启生成树协议保证无环路。

·     Switch A需要将连接Device和Router的接口加入相同的VLAN。

·     Switch B需要将连接Device和Host的接口加入相同的VLAN。

图2-13 双机热备透明主备直路部署示意图

 

2.7.4  透明双主直路部署

如图2-14所示，双机热备二层双主直路部署方式的适用场景为：需要将Device A与Device B作为二层设备串联部署在上下行三层网络之间，Device的上、下行业务接口均为二层接口，所有业务流量都必须经过Device。正常情况下两台设备都需要处理业务流量，当其中一台设备或链路故障时，可以将业务流量平滑迁移到另一设备进行处理。

此种双机热备部署方式的部署思路如下：

·     两台Device上下行分别连接三层网络设备，Device的上下行接口工作在二层模式。

·     两台Device上下行接口加入相同VLAN。

·     两台Device之间建立一条RBM通道。

·     配置双机热备监控接口状态功能，保证Device上下行接口状态统一切换。

·     上、下行连接的Router上通过配置开销值相同的OSPF协议实现流量的负载分担，并配置等价路由基于报文逐流进行负载分担，以保证报文传输路径的稳定性。

图2-14 双机热备透明双主直路部署示意图

 

2.8  双机热备流量引导

双机热备与路由协议、VRRP、VLAN等技术联动后，可以保证设备的上下行流量同时切换，业务不中断。

2.8.1  双机热备+VRRP

1. 功能简介

在双机热备与VRRP联动的组网环境中，双机热备将会控制设备在多个VRRP备份组中Master和Backup状态的统一切换。此功能可以使设备的上下行流量同时切换到新的主设备，保证业务不中断。

此处以主备模式为例，介绍双机热备与VRRP的联动组网情况，具体如下。

·     如图2-15左图所示，当VRRP链路故障时会导致上、下行VRRP备份组中的Master设备不是同一台设备，造成流量中断。

·     如图2-15右图所示，将双机热备和VRRP关联后可以解决以上问题。RBM控制通道建立后，VRRP备份组内的设备状态将由双机热备决定，VRRP自身的主备选择机制不再生效。当双机热备的控制通道断开后，VRRP自身的主备选择机制将会重新生效。

图2-15 双机热备+VRRP示意图

 

2. VRRP active/standby组

VRRP active组和VRRP standby组：用于将双机热备与VRRP进行关联，实现双机热备对多个VRRP备份组状态进行统一管理的目的。

VRRP active/standby组分别有两种状态：Master状态和Backup状态。VRRP成员设备在VRRP备份组中的状态与所属VRRP active/standby组的状态保持一致。例如，VRRP active备份组的状态是Master，则该组中所有设备在VRRP备份组中的状态均为Master。

VRRP active/standby组的初始状态与双机热备的工作模式有关，具体如下：

·     主备模式下：主管理设备上VRRP active组和VRRP standby组的初始状态均为Master；从管理设备上VRRP active组和VRRP standby组的初始状态均为Backup。

·     双主模式下：VRRP active/standby组的状态与主、从管理角色无关，VRRP active组的初始状态为Master；VRRP standby组的初始状态为Backup。

3. 双机热备环境中Master设备的选举机制

如图2-15的右图所示，将双机热备与VRRP关联成功后，VRRP备份组中Master/Backup状态的变化机制如下：

(1)     正常情况下，Device A（假设其是主管理设备）上VRRP active组的状态是Master，所以Device A在VRRP备份组1和VRRP备份组2中的状态是Master设备。Device B（假设其是从管理设备）上VRRP standby组的状态是Backup，所以Device B在VRRP备份组1和VRRP备份组2中的状态是Backup设备。

(2)     当Device A的下行接口Interface A2故障后，双机热备会收到接口故障事件。然后双机热备发送VRRP active/standby组状态信息变更报文给Device B，通知Device B将其VRRP standby组的状态变更为Master。

(3)     Device B收到VRRP active/standby组状态信息变更报文后，会将自身VRRP standby组的状态变更为Master，同时将Device B在VRRP备份组1和VRRP备份组2中的状态变为Master设备。变更完成后给Device A发送应答报文。

(4)     Device A收到Device B的VRRP standby组状态变更成功应答报文后，将自己VRRP active组的状态变更为Backup，同时将Device A在VRRP备份组1和VRRP备份组2中的状态变更为Backup。

当Device A的下行接口Interface A2故障恢复后，流量会进行回切。VRRP备份组中Master/Backup状态的变化与接口故障时的变化过程类似，不再重复介绍。

4. VRRP中的ARP学习

当VRRP备份组中的设备接收到虚拟IP地址的ARP请求报文后，只能由Master设备使用VRRP备份组的虚拟MAC地址响应此ARP请求，与此同时ARP报文传输路径上的二层设备也就学习到了此虚拟MAC地址的MAC地址表项。

2.8.2  双机热备+静态路由

在双机热备与静态路由联动的组网环境中，需要配置双机热备监控接口将接口状态与静态路由联动。这样即可保证主备切换时能使设备的上下行流量同时切换到新的主设备，保证业务不中断。

此组网环境中双机热备必须配置监控接口，否则上下行链路或接口故障时，双机热备不能主备切换。

此处以主备模式为例，介绍双机热备与静态路由的联动情况，具体如下。

·     如图2-16左图所示，正常情况下，Device A（主设备）根据设备上配置的浮动静态路由（即为同一目的地配置多条路由，且主设备上的路由优先级需要高于备设备）的配置信息进行流量转发。这样可以使内外网之间的流量都走Device A转发。

·     如图2-16右图所示，当双机热备的监控接口功能检测到Device A的下行接口Interface A2故障后，Device A和Device B将进行主备切换。设备同时也会将上行接口Interface A2关闭，这样可以将Device A上原来优先级高的静态路由信息失效，优先级低的静态路由信息生效。最后使内外网之间的流量都切换到Device B转发。

图2-16 双机热备+静态路由示意图

 

在双机热备联动静态路由的双主组网中，需要设备上配置等价的静态路由，实现流量的负载分担。

2.8.3  双机热备+动态路由

在双机热备与动态路由联动的组网环境中，双机热备将会调高备设备上动态路由协议对外通告的链路开销值，保证网络中动态路由选举时备设备的链路不是最优链路。这样也可保证主备切换时能使设备的上下行流量同时切换到新的主设备，保证业务不中断。

此组网环境中双机热备必须关联Track项，否则上下行链路或接口故障时，双机热备不能主备切换。

此处以双机热备与OSPF联动的主备模式为例，介绍双机热备与动态路由的联动情况，具体如下。

·     如图2-17左图所示，正常情况下，Device A（主设备）根据OSPF的配置正常通告链路开销值（如1），而Device B（备设备）通告的链路开销值是被双机热备调整后的值（如65500）。这样可以使内外网之间的流量都走Device A转发。

·     如图2-17右图所示，当双机热备关联的Track项检测到Device A的下行接口Interface A2故障后，Device A和Device B将进行主备切换。之后，Device B（主设备）根据OSPF的配置正常通告链路开销值（如1），而Device A（备设备）通告的链路开销值是被双机热备调高后的值（如65500）。这样可以使内外网之间的流量都切换到Device B转发。

图2-17 双机热备+动态路由示意图

 

双机热备调整备设备上动态路由协议开销值有如下几种方式：

·     绝对值方式：设备将使用配置的绝对值对外通告。

·     增量值方式：设备将在原有开销值基础上累加增量值后对外通告。

此功能仅调整备设备上动态路由协议对外通告的开销值，对主设备没有影响。

2.8.4  双机热备+VLAN

在双机热备透明组网环境中，可通过双机热备的监控VLAN或监控接口功能将上下行接口的状态进行联动。当其中一个接口故障后，另一个接口也会失去报文转发能力，从而使设备的上下行流量同时切换到新的主设备，保证业务不中断。

双机热备的监控VLAN或监控接口功能功能可以保证所监控对象之间的状态相互联动、保持一致，使其同时具备或同时不具备报文转发能力。

此处以双机热备的监控VLAN功能为例，介绍双机热备透明组网的情况，具体如下。

·     如图2-18左图所示，正常情况下，Device A（主设备）上双机热备将监控的VLAN10设置为Active状态，Device B（备设备）上双机热备将监控的VLAN10设置为Inactive状态，不能转发流量。这样可以使内外网之间的流量走Device A转发。

·     如图2-18右图所示，当Device A的下行接口Port A2故障后，Device A和Device B将进行主备切换。之后，Device B（主设备）上双机热备将监控的VLAN10设置为Active状态，而Device A（备设备）上双机热备将监控的VLAN10设置为Inactive状态，不能转发流量。这样可以使内外网之间的流量走Device B转发。

图2-18 双机热备+VLAN透明组网示意图

 

2.8.5  非对称流量业务

如图2-19所示，在双机热备联动路由的双主部署方式中，可能会出现非对称流量，即同一条流量的请求报文和响应报文会被转发到双机热备的不同设备（Device A和Device B）。

图2-19 非对称流量示意图

 

在以上非对称流量网络环境中，为了保证用户业务的正常处理，针对不同业务模块双机热备使用不同的处理机制，具体如下：

·     对于不需要对报文进行四层以上内容处理的模块（如安全策略、NAT等），双机热备通过实时备份会话表项到对端设备，就可以保证响应报文在对端设备上被正确处理。

·     对于需要对报文进行四层以上内容处理处理的模块（如IPS、NBAR等DPI类业务），双机热备在实时备份会话的同时，也将请求报文的相关信息同步到对端设备，这样就可以保证响应报文在对端设备上被正确处理。

2.9  双机热备流量回切

当双机热备组网中的主设备切换为备设备时，流量自动切换到对端设备进行处理。缺省情况下，当原主设备恢复正常后，流量不回切。这时如果需要流量再次回到原主设备进行处理，可以开启双机热备流量回切功能。开启此功能后，设备将会在配置信息和业务表项同步完成后，启动延迟回切时间定时器，等延迟时间到达后，再进行流量回切。

实际应用中需要根据网络规模的大小配置合理的延迟回切的时间，保证路由收敛完成后再进行流量切换，保证业务的平滑切回。

在双机热备的双主模式下，必须开启双机热备流量回切功能，否则当设备故障又恢复后，流量无法实现回切，这时不能实现两台设备双主工作。

在双机热备的主备模式下，如果有一台设备为长期主用的设备，可以开启双机热备流量回切功能，当该设备故障又恢复后，其将继续作为主设备处理业务。

2.10  双机热备与其它功能配合

2.10.1  双机热备支持NAT

在双机热备+VRRP的组网环境中，当需要在的设备上使用NAT功能时，必须将NAT相关配置与VRRP备份组进行绑定，否则NAT无法正常工作。例如使用动态NAT、内部服务器NAT、端口块NAT和静态NAT时，必须将这些NAT方式与VRRP备份组绑定。

本节内容仅以双机热备+VRRP的主备模式中的动态NAT为例，其它方式的NAT以及双机热备双主模式中的NAT与此类似。

1. 背景介绍

缺省情况下，若NAT设备接收到的ARP报文请求的目标IP地址与NAT接口的IP地址在同一网段，则NAT设备使用NAT接口的物理MAC地址应答此ARP请求报文。

如图2-20所示，在双机热备组网环境中配置动态NAT功能后，NAT与VRRP备份组没有绑定的情况下，内网访问外网的报文的处理流程如下：

(1)     当内网访问外网的报文到达Device A后，报文的源IP地址会被转换成NAT地址组中的IP地址，然后报文被Device A转发给Router。

(2)     若NAT地址组中的IP地址与Device A的上行接口VRRP备份组1的虚拟IP地址在同一网段，则外网返回的报文到达Router后，因为目的IP地址是直连路由可达，所以Router会广播ARP报文请求NAT地址组中IP地址对应的MAC地址（而不是请求VRRP备份组1虚拟IP地址对应的MAC地址）。

(3)     当Device A和Device B接收到此ARP请求报文后，因为两台Device上有相同的NAT地址组配置，所以两台Device都会将自身上行接口的物理MAC地址应答给Router。

(4)     在这种情况下，Router就会时而以Device A上行接口的MAC地址来封装报文，将报文送到Device A；时而以Device B上行接口的MAC地址来封装报文，将报文送到Device B，从而影响业务的正常运行。

在双机热备网络环境中，为了解决上述NAT部署的问题，必须将NAT与VRRP备份组绑定。

图2-20 NAT未绑定VRRP备份组示意图

 

2. 处理流程

将NAT与VRRP备份组绑定后，若NAT设备接收到的ARP报文请求的目标IP地址与NAT接口的IP地址在同一网段，则只能由VRRP备份组中Master设备使用VRRP备份组的虚拟MAC地址响应此ARP请求。

如图2-21所示，在双机热备组网环境中配置动态NAT功能后，NAT与VRRP备份组绑定的情况下，内网访问外网的报文的处理流程如下：

(1)     当内网访问外网的报文到达Device A后，报文的源IP地址会被转换成NAT地址组中的IP地址，然后报文被Device A转发给Router。

(2)     若NAT地址组中的IP地址与Device A的上行接口VRRP备份组1的虚拟IP地址在同一网段，则外网返回的报文到达Router后，因为目的IP地址是直连路由可达，所以Router会广播ARP报文请求NAT地址组中IP地址对应的MAC地址（而不是请求VRRP备份组1虚拟IP地址对应的MAC地址）。

(3)     当Device A和Device B接收到此ARP请求报文后，只有VRRP备份组中Master设备（Device A）使用VRRP备份组1的虚拟MAC地址响应此ARP请求给Router。

(4)     在这种情况下，Router只会收到Master设备（Device A）响应的ARP报文，Router就会以VRRP备份组1的虚拟MAC地址来封装报文，将报文送到Device A，从而可以保证业务的正常运行。

图2-21 NAT绑定VRRP备份组示意图

 

2.10.2  双机热备支持SSL VPN

在双机热备组网环境中，SSL VPN的用户数据、表项信息和配置信息通过RBM通道进行备份。

SSL VPN功能仅支持在双机热备+VRRP方式的主备模式下进行高可靠性部署，不支持在HA的其它模式下进行可靠性部署。

2.10.3  双机热备支持DPI业务

在双机热备双主部署场景下的非对称路径中，需要使用DPI业务时，必须开启DPI支持双机热备功能。否则，可能会出现DPI业务无法准确识别和处理报文的问题。

2.10.4  双机热备支持Context

双机热备技术能够满足多Context环境的高可靠性部署需求。仅需要在缺省Context中配置双机热备功能即可完成所有非缺省Context的高可靠性部署，无需在非缺省Context中重复配置双机热备功能。

所有非缺省Context统一使用缺省Context创建的RBM通道进行配置信息备份、业务表项信息备份和透传业务报文，保证各自非缺省Context中主备设备上配置信息和业务表项信息的一致。

所有非缺省Context统一使用缺省Context的检测机制进行主备设备保活性检测和配置信息一致性检测。当任意Context中设备的主备运行角色发生切换时，其它所有Context中设备的主备运行角色也都会进行切换。

2.10.5  双机热备支持vSystem

双机热备技术能够满足多vSystemt环境的高可靠性部署需求。仅需要在缺省vSystem中配置双机热备功能即可完成所有非缺省vSystem的高可靠性部署，无需在非缺省vSystem中重复配置双机热备功能。

所有非缺省vSystem统一使用缺省vSystem创建的RBM通道进行配置信息备份、业务表项信息备份和透传业务报文，保证各自非缺省vSystem中主备设备上配置信息和业务表项信息的一致。

所有非缺省vSystem统一使用缺省vSystem的检测机制进行主备设备保活性检测和配置信息一致性检测。当任意vSystem中设备的主备运行角色发生切换时，其它所有vSystem中设备的主备运行角色也都会进行切换。

2.11  双机热备应用限制

双机热备仅支持两台硬件和软件环境完全一样的设备进行双机热备组网。

因为一台设备故障时另一台设备需要承担两台设备的流量，所以建议在正常情况下每台设备只负载各自实际能力50%的流量。

3 典型组网应用

3.1  双机热备联动VRRP三层主备典型组网

如图3-1所示，某公司以Device作为网络边界安全防护设备，连接公司内部网络和Internet。为提高业务稳定性，使用两台Device进行双机热备组网，Device A作为主设备，Device B作为备设备。当Device A或其链路发生故障时，由Device B接替Device A继续工作，保证业务不中断。

图3-1 双机热备联动VRRP三层主备组网图

‌

3.2  双机热备联动VRRP三层双主典型组网

如图3-2所示，某公司以Device作为网络边界安全防护设备，连接公司内部网络和Internet。为提高业务稳定性，使用两台Device进行双机热备组网，同时需要两台Device同时处理业务，提高业务处理能力。但是当Device A或其链路发生故障时，Device B可以接替Device A继续工作，保证业务不会中断。

图3-2 双机热备联动VRRP三层双主组网图

 

3.3  双机热备联动动态路由三层主备典型组网

如图3-3所示，某公司以Device作为网络边界安全防护设备，连接公司内部网络和Internet。Device的上、下行业务接口均为三层接口，上下行连接路由器，Device与路由器之间运行OSPF协议。为提高业务稳定性，使用两台Device进行双机热备组网，Device A作为主设备，Device B作为备设备。同时需要配置双机热备关联Track项，当Device A或其链路发生故障时，由Device B接替Device A继续工作，保证业务不中断。

图3-3 双机热备联动动态路由三层主备组网图

 

3.4  双机热备联动动态路由三层双主典型组网

如图3-4所示，某公司以Device作为网络边界安全防护设备，连接公司内部网络和Internet。Device的上、下行业务接口均为三层接口，上下行连接路由器，Device与路由器之间运行OSPF协议。为提高业务稳定性，使用两台Device进行双机热备组网，同时需要两台Device同时处理业务，提高业务处理能力。同时需要配置双机热备关联Track项，当Device A或其链路发生故障时，Device B可以接替Device A继续工作，保证业务不会中断。

图3-4 双机热备联动动态路由三层双主组网图

 

3.5  双机热备透明主备典型组网

如图3-5所示，某公司以Device作为网络边界安全防护设备，连接公司内部网络和Internet，Device的上、下行业务接口均为二层接口。为提高业务稳定性，使用两台Device进行双机热备组网，Device A作为主设备，Device B作为备设备。同时需要配置双机热备监控VLAN状态，当Device A或其链路发生故障时，由Device B接替Device A继续工作，保证业务不中断。

图3-5 双机热备透明主备组网图

 

3.6  双机热备透明双主典型组网

如图3-6所示，某公司以Device作为网络边界安全防护设备，连接公司内部网络和Internet，Device的上、下行业务接口均为二层接口。为提高业务稳定性，使用两台Device进行双机热备组网，同时需要两台Device同时处理业务，提高业务处理能力。同时需要配置双机热备监控VLAN状态，当Device A或其链路发生故障时，Device B可以接替Device A继续工作，保证业务不会中断。

图3-6 双机热备透明双主组网图

‌