安全防御第四次（笔记整理）

1，假设主设备的下联口发生故障，则这个接口的vrrp状态将由原来的Active状态切换为

initialize状态。（这种情况下，按照VRRP自己的机制，主设备将无法发送周期保活报文，

则备设备在超过超时时间后将切换为主的状态。但是，因为这里启用VGMP在，则VRRP

切换状态将由VGMP接管，VRRP的机制名存实亡。）

2，VGMP组发现VRRP组出现变化，将降低自身的优先级。（说明，在VGMP组中，也

存在优先级的概念。一开始，每台设备中都会存在两个VGMP组，一个叫做Active组，

另一个叫做Standby组。Active组初始的默认优先级为65001，Standby组初始的默认

优先级为65000（不同版本的防火墙，这个优先级的定义不同）。一开始，我们FW1将

两个VRRP组都拉入VGMP_ACTIVE组中，因为ACTIVE组的状态时active，所以，里面

两个vrrp组的状态也是active（VGMP组的状态决定了VRRP组的状态），FW2同理。当

一个VRRP组的状态变为initialize，则VGMP则的优先级-2。）之后，原主设备会发送一

个VGMP请求报文给对端，里面包含了自己当前变化后的优先级。

则会将自己的VGMP_STANDBY组的状态由原来的standby切换为active。同时，发送

一个同意请求报文给原主设备。

4，原主设备接收到对方的应答报文之后，将会把自身VGMP_ACTIVE组的状态由原来的

ACTIVE切换为STANDBY。

5，在原备设备发送应答报文的同时，因为其VGMP组的状态切换，所以，其内部的

VRRP组状态也将由原来的standby转换为avtive。原主设备在接受到对方的应答报文之

后，因为将其VGMP组状态切换，所以，同时将其内部的VRRP组状态由原来的active状

态切换为standby状态（注意，故障接口依旧保持init的状态。）

6，原备设备会通过接口向上下联链路发送免费ARP报文，切换交换机的MAC地址表。

流量将被切换到原被设备上。

HRP --- Huawei Redundancy Protocol --- 华为冗余协议

这是一款华为的私有协议 --- 备份配置信息和状态信息。

HRP备份有一个前提，就是两台设备之间必须专门连一根用于备份的线路，这跟线路我

们称为心跳线（广义上，任何两台设备之间的链路都可以叫做心跳线）

心跳线的接口必须是一个三层接口，需要配置对应的IP地址。这条备份数据的链路不受

路由策略限制（直连场景。非直连场景依然需要配置安全策略。）

HRP协议本身算是VGMP协议的一部分

HRP的心跳线也会传递心跳报文，用于检测对端是否处于工作状态。这个周期时间默认

1s，逻辑和vrrp一样，只有主设备会周期发送，备设备仅监听即可，如果在三个周期

内，都没有收到HRP的心跳报文，则将认定原主设备故障，则将进行失效判断，认定自

身为主。

VGMP的报文也是通过这条心跳线发送的。

配置信息 --- 策略，对象，网络里面的一些配置都属于配置信息。（接口IP地址，路由

之类的不同步，因为这些是需要在双机组建之前配置的）

状态信息 --- 会话表，server-map，黑名单，白名单。。。

第一种备份方式 --- 自动备份

默认开启自动备份，可以实时备份配置信息。但是，自动备份不能立即同步状态信息。

一般是在主设备上状态生成后一段时间（10s左右）同步到备设备上。

Hrp standby config enable --- 这个命令可以让备设备上的配置同步到主设备上。

第二种备份方式 --- 手工备份

由管理员手工触发，可以立即同步配置信息以及状态信息。

第三种备份方式 --- 快速备份

该模式仅使用在 负载分担 的工作方式下。

因为负载分担的场景下，两台设备都需要处于工作状态，为了避免因为状态信息同步不

及时，导致业务流量中断，所以，该场景下，默认开启快速备份。

快速备份可以实时同步状态信息。但是，该方式不同步配置信息。

各场景过程分析

1，主备形成场景

2，主备模式下，接口故障切换场景

3，主备场景，主设备故障切换 ---

主故障之后，将无法周期发送HRP心跳报文，则备设备监

听超时，进行设备状态的切换。

4，主备场景，主设备接口故障恢复切换

没有开启抢占 --- 没有抢占则原主设备保持备份状态。

开启抢占