TOS3_3版本HA的实现.pptVIP

TOS 3.3版本HA的实现 测试部 马爱卿 2007年4月26日 Evaluation only. Created with Aspose.Slides for .NET 3.5 Client Profile . Copyright 2004-2011 Aspose Pty Ltd. 提纲 HA功能简介 HA的实现原理 HA的模式和典型应用 3.3和3.2版本HA功能的区别 HA的配置 FAQ Evaluation only. Created with Aspose.Slides for .NET 3.5 Client Profile . Copyright 2004-2011 Aspose Pty Ltd. HA功能简介 此处的HA特指双机单工和双机双工两种双机下的工作模式。其目的是为了避免防火墙作为网关设备出现故障时，成为网络的单一故障点。 HA主要有两种工作模式： A/A：Active-to-Active，即双机双工的备份方式。AA不需要留出一台设备专门做备份，而是可以两台或多台设备并行工作，并且相互间可以互为备份，保证设备故障时别的设备能接替其工作。 A/S：Active-to-Standby，即双机单工的备份方式。在A/S模式下，作为备份的双方，同一时刻只能有一台设备在工作，进行数据转发。 Evaluation only. Created with Aspose.Slides for .NET 3.5 Client Profile . Copyright 2004-2011 Aspose Pty Ltd. HA的实现原理 HA状态控制 软件同步 报文传输类型 VRRP状态机 HA中VRRP的实现程度 故障探测 主备切换过程 AA和AS模式的区别 Evaluation only. Created with Aspose.Slides for .NET 3.5 Client Profile . Copyright 2004-2011 Aspose Pty Ltd. HA状态控制 Evaluation only. Created with Aspose.Slides for .NET 3.5 Client Profile . Copyright 2004-2011 Aspose Pty Ltd. 软件同步 软件同步包含配置同步和RTO同步两个方面，是保证主备切换后设备正常工作的一个重要因素。 配置同步： 配置同步保证双机热备时配置策略的一致性，如Firewall policy、PF rule、NAT policy等的配置必须相同，不会同步HA的本地配置。 需要指出的是，在3.3的实现中，只有A/S模式仍然支持配置进行同步，AA下配置相同的部分需要手动保证。 Evaluation only. Created with Aspose.Slides for .NET 3.5 Client Profile . Copyright 2004-2011 Aspose Pty Ltd. 软件同步 RTO同步： RTO，即Run-time Object，这是NetScreen的说法，主要包含session表信息DPI信息。这里说的DPI，主要是指对FTP和SQLNet子连接的识别。 RTO信息在单独的UDP报文中发送。发送方式为：如果连接较少，则定期（1s）发送连接；如果连接较多，则采取一次发送30多条的方式。 发送连接的处理方式：发送连接表时，并不是把连接表整个打包进行发送，而只是发送连接表项的五元组、flags信息和DPI信息；接收方收到报文后，会根据这些信息重建连接。 Evaluation only. Created with Aspose.Slides for .NET 3.5 Client Profile . Copyright 2004-2011 Aspose Pty Ltd. 报文传输类型 心跳线上存在3种类型的报文： 1. VRRP通告： 可以看作是HA的控制报文，是多播地址8的UDP报文。两台设备通过VRRP通告来得到对端信息，通过这些信息来决定墙的工作状态。 2. 连接表同步报文： TOS使用源和目的都是9000端口的UDP报文进行连接表的同步。当连接较多时，会采取一次（一个UDP包）发送几十条的方式；如果连接较少，则会由定时器触发定期发送。有两种情况下会进行连接表的同步： 从墙启动时会请求主墙做一次连接表的完全同步 有新建连接时会实时同步连接 同步本质上是由新建连接触发的，不是定时器触发的；定时