Day2-7 - 高级双机热备配置指导(FW)
华为防火墙的双机热备方案
华为防火墙的双机热备方案在网络关键节点上，如果只部署一台设备，无论其可靠性多高，系统都必然要承受因单点故障而导致的网络中断的风险。
防火墙一般用作内网到外网的出口，是业务关键路径上的设备，为了防止因一台设备故障而导致的业务中断，要求防火墙必须提供更高的可靠性，此时需要使用防火墙双机热备组网。
双机热备组网的建立和运行需要解决以下五个关键问题：1.设备的主备状态是如何决定的2.如何监控并发现接口或者设备故障3.发现故障后，如何保证设备的主备状态切换4.正常情况和故障后，流量是如何引导的5.如何进行信息同步，保证主备切换后业务不中断以上问题都是由双机热备特性涉及的三大协议VRRP VGMP HRP 共同配合解决的。
首先，VRRP自然不需要多说，我相信大家都非常清楚，这是一个公有的网关冗余技术，可以在两台设备之间形成虚拟IP地址，建立主备的冗余关系，但是传统的VRRP在安全领域有一个不可忽略的问题，就是当防火墙上下行业务端口上都配置了VRRP备份组的时候，这两个VRRP备份组是独立运行的，可能出现上下行两个VRRP备份组状态不一致的情况。
我们来看下面这个图这是最基本的一个防火墙双机热备的连接拓扑，防火墙的业务接口工作在三层，上下行连接交换机，防火墙的上行接口和下行接口分别运行了两个独立的VRRP组，FW1为主设备，FW2为备设备，正常情况下，流量会在FW1上进行往返（也就是沿着蓝色箭头的方向走），现在假设FW1的下行接口故障，因此运行在下行接口的VRRP组会检测到这个问题，从而引发主备切换， FW2的下行接口会成为主接口，上行流量会从FW2转发出去，访问外部网络，但是因为上下行的VRRP组是独立运行的，所以对于上行接口而言，主设备依然还在FW1上，因此外部网络返回的流量依然会转发到FW1上，这样就造成了网络不通，这个问题，传统的VRRP是无法解决的，因此，华为在VRRP的基础之上，开发了VGMP协议。
VGMP的基本功能是集中管理和监控VRRP备份组，控制VRRP 备份组的统一切换，将一组VRRP备份组组成一个VGMP管理组，由VGMP管理组控制所有VRRP备份组同步倒换，保证所有VRRP备份组状态一致，VGMP管理组还可以代表整个设备使用VGMP报文跟对端设备进行协商实现主备状态切换。
服务器双机热备方案完整版
服务器双机热备方案 HUA system office room 【HUA16H-TTMS2A-HUAS8Q8-HUAH1688】双机热备方案双机热备针对的是服务器的临时故障所做的一种备份技术，通过双机热备，来避免长时间的服务中断，保证系统长期、可靠的服务。
1.集群技术在了解双机热备之前，我们先了解什么是集群技术。
集群（Cluster）技术是指一组相互独立的计算机，利用高速通信网络组成一个计算机系统，每个群集节点（即集群中的每台计算机）都是运行其自己进程的一个独立服务器。
这些进程可以彼此通信，对网络客户机来说就像是形成了一个单一系统，协同起来向用户提供应用程序、系统资源和数据，并以单一系统的模式加以管理。
一个客户端（Client）与集群相互作用时，集群像是一个独立的服务器。
计算机集群技术的出发点是为了提供更高的可用性、可管理性、可伸缩性的计算机系统。
一个集群包含多台拥有共享数据存储空间的服务器，各服务器通过内部局域网相互通信。
当一个节点发生故障时，它所运行的应用程序将由其他节点自动接管。
其中，只有两个节点的高可用集群又称为双机热备，即使用两台服务器互相备份。
当一台服务器出现故障时，可由另一台服务器承担服务任务，从而在不需要人工干预的情况下，自动保证系统能持续对外提供服务。
可见，双机热备是集群技术中最简单的一种。
2. 双机热备适用对象一般邮件服务器是要长年累月工作的，且为了工作上需要，其邮件备份工作就绝对少不了。
有些企业为了避免服务器故障产生数据丢失等现象，都会采用RAID技术和数据备份技术。
但是数据备份只能解决系统出现问题后的恢复；而RAID技术，又只能解决硬盘的问题。
我们知道，无论是硬件还是软件问题，都会造成邮件服务的中断，而RAID及数据备份技术恰恰就不能解决避免服务中断的问题。
要恢复服务器，再轻微的问题或者强悍的技术支持，服务器都要中断一段时间，对于一些需要随时实时在线的用户而言，丢失邮件就等于丢失金钱，损失可大可小，这类用户是很难忍受服务中断的。
双机热备方案 (3)
双机热备方案
双机热备方案是一种备份解决方案，由两台服务器组成，其中一台服务器作为主服务器负责处理实际的业务请求，而另一台服务器作为备份服务器，在主服务器发生故障时接管业务请求，确保业务的持续可用性和数据的完整性。
以下是双机热备方案的一般步骤：
1. 选择合适的硬件设备：选择两台性能相近的服务器，并确保它们的硬件配置足够强大以处理所有的业务请求。
2. 安装操作系统和应用软件：在主服务器和备份服务器上都安装相同的操作系统和应用软件，以确保数据和配置的一致性。
3. 配置数据同步：使用数据库复制技术、文件同步工具或
分布式文件系统等方法，将主服务器上的数据实时同步到
备份服务器上，以确保数据的一致性。
4. 设置故障切换机制：配置监控系统，实时监测主服务器
的状态，一旦主服务器出现故障，监控系统会自动触发故
障切换机制，将业务请求切换到备份服务器上。
5. 测试和验证：定期进行主备服务器之间的切换测试，确
保备份服务器能够正常接管业务请求，并验证数据的完整
性和一致性。
6. 定期更新服务器配置和数据：定期更新和同步主服务器
和备份服务器的配置和数据，以确保两台服务器的状态保
持一致。
总之，双机热备方案可以提供高可用性和容灾能力，确保
业务的连续性和数据的一致性。
但是，需要维护成本较高，
并且对网络带宽和存储空间要求较高。
因此，在实施双机热备方案之前，需要综合考虑成本和实际需求。
双机热备配置指南
双机热备目的：用md3000作为双机的存储单元，实现2 台R410在windows2003 下的双机热备。
2 块盘146G 硬盘做RAID1。
（服务器和存储有多种选择，这里我们用的是dell md3000存储和dell R410服务器）步骤：拓扑：双机热备需要的环境。
环境：1．主机：2 台dell R410（在这里需要两块网口，用于内部通信（心跳）和外部通信，两副键盘，鼠标和显示器，方便配置与操作）2．系统：windows 2003 SP2（注意：必须用Windows Server 2003 Enterprise Edition或 Windows Server 2003 Datacenter Edition （.Windows Server 2003, Standard Edition没有群集功能），3．两块SAS 5/E HBA卡，是服务器与存储连接的端口4．存储：dell md3000 ，（sas线，配置光盘）1.配置集群的前做好的配置正确连接存储、服务器，两台服务器将HBA的BIOS置为：Enable Bios Only 选项加入域（如果做双机热备的服务器一台是域控，另一台也并须是域控）2.配置存储.一．1.如果您还没有安装SAS5/E的驱动程序，这里先要进行SAS 5/E 驱动程序的安装（点安装SAS5/E适配器驱动程序->弹出安装向导->下一步->接受DELL 软件许可协议->选择适配器设备的驱动程序->选择安装，安装向导将自动完成SAS 5/E的驱动程序安 最后点完成.）2.安装MD3000存储软件（点击安装MD3000存储软件->语言选择，软件支持中文和英文->下一步->接受DELL软件许可协议->选择安装路径（如没有特殊要求，这里使用默认路径安装程）->选择典型安装，点下一步->点安装->完成,这里需要重起系统，）二．开始配置存储1.打开配置软件，先配置主机访问：做这一步的同时，最好是单机联结MD3000，特别是多SAS卡的时候，为防止主机访问SASID造成的混乱，最好在此开一台主机，如下图，在配置中选择配置主机访问选项，手动配置主机访问。
双机热备安装配置说明
一、注意：所有新的安装目录结构必须严格按照以下结构，升级版本也是按照以下结构。
二、安装前必备1、硬件：i.服务器两台，每台有两块网卡。
（每台都安装了SCSI卡）ii.磁盘阵列柜一个，终结器2个，电源线2根。
（已经作好raid）iii.交换机一台，网线四根。
iv.SCSI线两根。
2、连接i.服务器两块网卡分别用网线与交换机相连。
ii.SCSI线连接阵列柜和服务器，安装时，12为一通道，34为二通道，每通道连接一台服务器。
三、软件安装前注意。
1、操作系统安装。
i.安装Win2003 Server要用引导盘，选择IIS全选、、超级终端ii.日期时间必须选择24小时制。
iii.安装完成需要打补丁Sp1。
iv.分区至少要分3个区，分区使用NTFS●C盘，操作系统和系统必备软件。
●D盘，用于放TDMCServer文件夹●E盘，用于备份系统工具2、阵列柜磁盘分配i.分为两个区●Z盘，测试卷●G盘，共享磁盘3、在未安装双机软件前，要保证只有一台服务器处于开机状态，另一台必须关机。
四、安装数据库1、安装数据库时，关闭另外一台服务器。
安装SQLServer2000，安装过程中，将数据文件放在磁盘阵列柜的磁盘（G盘）上。
2、安装完一台后，将其关闭，再打开另外一台。
开机后，先将阵列柜上的数据库数据文件剪切至本地磁盘，再安装SQLServer2000，安装过程中，将数据文件放在磁盘阵列柜的磁盘（G盘）上。
五、程序需要用到的软件安装及步骤（A机上安装步骤，B机关机）。
1、将E盘“全矿井自动化平台2.0 安装程序”下的TDAuto文件夹及其中的内容，拷贝至服务器共享磁盘（D盘）根目录下2、将E盘“全矿井自动化平台2.0 安装程序”下的TDMCServer文件夹及其中的内容，复制至服务器D盘根目录下。
3、配IIS，将TDAuto设为默认网站的主目录，将AutoGraphic、QJY Auto、TDWebServer、webservice设为虚拟目录4、将webservice、TDWebServer目录的“安全”权限，添加将“Users”组设置写入权限。
双机热备配置及方案
公司数据集中存储备份方案一、用户现状2、操作系统和数据都在同一台服务器中，服务器使用时间有长有短。
3、用户数据只做了一些简单的备份，数据备份/恢复管理操作复杂，数据恢复时间长。
二、需要分析1、根据用户现在状况，数据与操作系统在同一台服务器的硬盘分区中，存在非常大的风险，操作系统出现问题时，很可能导致数据丢失。
数据库数据移置到高性能存储中，与操作系统分离，以提高数据保存的安全性可靠性。
2、服务器提供的硬盘数量有限，提供的最大IOPS数受硬盘数量限制，高峰时期，可能会出现响应延时。
磁盘存储能够提供更多硬盘，从而增加需要的IOPS，以提高业务系统整体性能。
3、未来用户会增加很多高性能应用系统，也需要高性能的存储系统来支撑，为了避免重复投资，设计存储时，需要考虑存储目前的应用，以及将来的性能要求和扩容需要。
4、由于单机运行，会存在单点故障，当某台服务器出现问题后，那么不能正常运行，建议选择双机热备系统，当某台服务器出现问题后，另外一台服务器共享存储里的数据，可对外提供服务器，保证业务的连续性。
5、由于电子设备都不能保证不出问题，同时，生产数据只有一份，一旦丢失，可能带来致命的错误，需要考虑数据保护机制，提供高效自动、易操作的中文图化管理系统。
三、方案设计1、数据集中存储根据以上需求分析，需要考虑2台数据库服务器，通过芯跳线组成双机热备，增加一台高性能数据存储。
本方案设计中，选择FC SAN存储架构方式，通过存储与服务器的HBA卡连接；对网络架构不作大的改动，只对服务器存放在服务器中数据进行迁移到存储中。
对应用系统需要提供高业务连续性时，只要在现有基础上增加双机热备(HA)即可。
针对綦江自来水公司公司的数据类型，主要是以SQL或者ORACLE等数据库的结构化数据和一些文件类的非结构化数据为主。
SQL/ORACLE等数据库的结构化数据，属于典型的数据库应用特征，普遍容量不大，随机IO读写非常频繁，属于性能要求大于容量需求的应用，因此对于这类数据的存储，优先考虑存储的性能要满足应用需求。
路由器之双机热备的全面配置示例
双机热备的全面配置示例-中华服务器网-技术学院
hostname 2511-2 enable secret 5 $1$7o5F$MSyFWzVf6JBgnjLJghHSB. ! ! interface Ethernet0 ip address 192.4.1.lOO 255.255.255.0 no ip redirects standby 1 timers 5 15 standby 1 priority 100 staidby 1 preempt standby 1 authentication cisco sandby 1 ip 192.4.1.1 !interface Serial0ip address 192.8.1.2 255.255.255.0encapsulation x25ip ospf missage-digest-key 2 md5 cisco no ip mroute-cache x25 address 5678 x25 htc 16 x25 nvc 4 x25 map ip 192.8.l.1 1234 broadcast ! interface Serial1 no ip address no ip mroute-cachc bandwidth 2000 clockrate 2000000
/tech/629a.html（第 5／24 页）2005-11-1 9:47:22
双机热备的全面配置示例-中华服务器网-技术学院
encapesulation ppp ip ospf message-digest-key 1 md5 kim ip ospf network non-broadcast bandwidth 64 ppp authentication chap ! router ospf 1 passive-interface Ethernet0 network 192.3.1.0 0.0.0.255 area 0 network 192.4.l.0 0.0.0.255 area 0network 192.7. l.0 0.0.0.255 area 0neighbor 192.7.1.2 priority 1neighbor 192.3.1.2 priority 1area 0 authentication message-digest!no ip classless! line con 0line 1 8line aux 0line vty 0 4 password cisco login ! end 2511-2的配置 2511-2#sho run Building configuration... Current configuration: ! version 11.3 no servicc password-encryption !
双机热备需求及方案
双机热备需求及方案⏹名词解释：双机热备：双机热备特指基于高可用系统中的两台服务器的热备（或高可用），因两机高可用在国内使用较多，故得名双机热备，双机高可用按工作中的切换方式分为：主-备方式（Active-Standby方式）和双主机方式（Active-Active方式），主-备方式即指的是一台服务器处于某种业务的激活状态（即Active状态），另一台服务器处于该业务的备用状态（即Standby状态)。
而双主机方式即指两种不同业务分别在两台服务器上互为主备状态（即Active-Standby和Standby-Active状态）。
具体可google。
⏹需求：1、业务切换：一台机器发生故障时另一台机器自动接手业务并负责运行，业务交换时间不得长于五分钟。
2、数据同步：两台机器所拥有的以支持业务正常运行的数据保持一致，其中异步误差不得超过五分钟。
3、对外提供统一访问接口：外部访问主备机时，标识符一致。
⏹框架方案：1、双机热备软件内嵌：双机热备软件作为需要双机热备功能的软件系统的一个功能组件。
2、双机热备软件外部独立双机热备软件作为一个单独的工具软件，以托管方式管理需要双机热备功能的软件，独立于被托管软件，且支持托管多个。
◆比较：1、双机热备软件内置于需要双机热备功能的软件之中则双机热备软件为定制功能，需求固定变化点少，开发相对容易简单，缺点是每一款需要双机热备功能的软件都需要编写独自的双机热备模块。
双机热备模块的开发受需要双机热备功能软件所采用语言及框架设计的局限。
维护成本高，在新的软件中需要双机热备功能时，开发人员需要重新编写代码进行定制并要负责大量白盒测试，后期开发成本高。
2、双机热备软件作为工具软件独立，非定制。
设计阶段需求相对不固定，变化点多，初期开发难度大，成本高。
优点：开发灵活，通用，不局限于具体软件。
仅需开发一套双机热备软件，可满足公司所有产品的双机热备功能需求，并可作为单独商品销售于其他软件公司。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
FW 2 VLAN 设置：
说明：创建其他 VLAN，避免与网络中默认的 VLAN1 产生业务冲突。
(2) 访问：基本 > 网络管理 > 接口管理 > 组网配置，配置接口参数 FW 1 组网配置：
FW 2 组网配置：
第 2 页
应用防火墙典型配置案例
公开
说明：为避免地址冲突，心跳接口建议使用 30 位地址掩码。
FW2
Server IP:172.16.2.100/24 GW:172.16.2.1
防火墙默认只放行成功建立会话的数据报文， 当双向会话均在同一台设备上时则 正常转发；当设备上仅有单向会话时则被丢弃，如 FW2 收到 SYN-ACK 报文时查找 不到与其匹配的 SYN，则 SYN-ACK 数据报文被丢弃。
问题描述
---------------------------------------------【常见问题 1】 ---------------------------------------------在开启高级双机热备后，主、备设备会同步会话，但不同步数据流。以 TCP 数据 包为例，仅有当三次握手完成后才能建立会话，因此备设备仅同步 TCP 建立状态， 如 Established、 TIME_WAIT、 SYN_Sent 等， 不会同步三次握手的数据报文， 如 SYN、 SYN-ACK、ACK。
第 4 页
应用防火墙典型配置案例
公开
---------------------------------------------【常见问题 2】 ----------------------------------------------
FW1
PC IP:172.16.1.100/24 GW:172.16.1.1
(3) 访问：业务 > 高可靠性 > 双机热备（双机热备） ，配置高级双机热备 FW 1 高级双机热备配置：
FW 2 高级双机热备配置：
-------------------------------------------【配置同步部分】------------------------------------------(4) 访问：基本 > 网络管理 > 网络对象 > 安全域，配置安全域
第 5 页
应用防火墙典型配置案例
公开
Hale Waihona Puke FW1PC IP:172.16.1.100/24 GW:172.16.1.1
FW2
Server IP:172.16.2.100/24 GW:172.16.2.1
解决方案：开启“非对称双机热备” ，并关闭“TCP 全状态检测” 。 PC 向 Server 发起 TCP 连接时，FW1 放行 SYN 并建立会话同步至 FW2，FW2 放 行 SYN-ACK，FW1 放行 ACK，因此“非对称双机热备”可解决单边会话导致业务 不通问题。
应用防火墙典型配置案例
公开
1.1.1 高级双机热备配置指导
1.1.1.1 功能简介 某企业需要通过防火墙实现内网区、外网区的安全隔离以及访问控制，并使用防 火墙的 NAT 功能实现内部私网访问外部 Internet 的需求， 出口安全网关采用双机冗余 部署，使用高级双机热备方式保障企业网络高效、稳定、安全的运行。 1.1.1.2 网络拓扑 某公司内网，办公区 PC 和服务器区 Server 网关分别在各自三层交换机上，两台 FW 二层模式部署，开启高级双机热备，同步相关配置和会话。
FW1
Vlan-if2 172.16.1.1/24
Gige0_6 192.168.255.253/30 Gige0_6 192.168.255.254/30
Vlan-if2 172.16.2.1/24
PC IP:172.16.1.100/24 GW:172.16.1.1
Vlan-if3 172.16.3.1/24
第 3 页
应用防火墙典型配置案例
公开
1.1.1.5 功能验证 登陆其中一台 FW，配置安全域、包过滤等功能时，配置同步到另一台 FW；办 公区 PC 访问服务器区 server，两台 FW 都存在相关会话。 1.1.1.6 常见问题 序号
1 2 高级双机热备会话同步问题 双机热备在非对称组网中的应用问题
第 6 页
Vlan-if3 172.16.3.2/24
Server IP:172.16.2.100/24 GW:172.16.2.1
FW2
1.1.1.3 配置概览 序号
1 2 3 4
配置功能
VLAN 设置 组网配置 高级双机热备 安全域 转发
配置目的
配置逻辑接口（VLAN-IF）的参数信息，用于设备管理机业务 配置物理接口的参数信息，用于设备管理及业务转发 通过配置高级双机热备，可实现两台设备的配置参数及会话状 态时时同步 将设备接口（物理/逻辑）加入到指定安全域，根据域优先级进 行安全隔离，实现数据访问控制
1.1.1.4 详细配置 【说明】本案例配置方法为先配置两台设备差异化功能模块，再连接心跳线通过“配 置同步”功能完成相同功能模块。 (1) 访问：基本 > 网络管理 > 接口管理 > VLAN 设置（VLAN 配置） ，创建 VLAN
第 1 页
应用防火墙典型配置案例
公开
并配置 VLAN-IF 地址 FW 1 VLAN 设置：