NAT的双机热备方案.pdfVIP

NAT 的双机热备方案 一般的NAT 组网中，内网用户通过单台设备进行NAT 转换访问外网，NAT 设 备承担了所有内外网之间的流量，无法规避单点故障。一旦发生单点故障，将导 致内网用户无法与外网通信。 随着用户对网络可靠性的要求越来越高，发生单点故障导致网络间断是不可接受 的。因此在重要节点处一般都部署两台或者多台设备，构成冗余备份组网，但如 果设备之间不能实时的进行数据备份的话，链路切换时还是会导致用户的业务中 断。双机热备方案可以很好避免该风险，该方案通过部署两台设备形成备份，通 过VRRP 或动态路由等机制进行链路切换，实现一台设备故障后流量自动切换 到另一台正常工作的设备。 NAT 的双机热备方案是两者的统一，同时实现内外网交互时的NAT 功能及规避 单点故障的双机热备功能，保证网络的不间断传输。 1防火墙的双机热备 防火墙设备需要维护每条会话的状态等相关信息，当主设备故障、流量切换到备 份设备时，要求备份设备上有正确的会话信息才能继续处理会话报文，否则会话 报文会被丢弃从而导致会话中断。因此，主设备上会话建立或表项变化时需要将 相关信息同步到备份设备，以保证主设备和备份设备会话表项的完全一致。防火 墙需要同步的信息包括会话表、会话扩展信息、关联表等。数据同步的方式有批 量备份和实时备份： 批量备份：防火墙设备工作了一段时间后，可能已经存在大量的会话表项，此时 加入另一台防火墙设备，在两台设备上使能双机热备功能后，先运行的防火墙会 将已有的会话表项一次性同步到新加入的设备，这个过程称为批量备份。 实时备份：防火墙在运行过程中，可能会产生新的会话表项。为了保证表项的完 全一致，防火墙在产生新表项或表项变化后会及时备份到另一台设备，这个过程 称为实时备份。 针对不同的组网环境，双机热备还实现了对非对称路径会话的备份。当备份类型 为不支持非对称路径备份时，一条会话中的数据流进入内网和从内网出去所经过 的设备必须相同，即进入内网时经过双机热备中的一台设备，从内网出去时经过 的设备是进入时经过的设备；当备份类型为支持非对称路径备份时，一条会话中 的数据流进入内网和从内网出去所经过的设备可以不同，即进入内网时经过双机 热备中的一台设备，从内网出去时经过的设备可以是进入时经过的设备，也可以 是另一台设备。 根据组网情况，双机热备方案有两种工作模式：主备模式和负载分担模式（本文 只描述了主备模式的NAT 双机热备，负载分担模式中NAT 的配置与主备模式相 似）。 双机热备的两台设备间利用VRRP 或动态路由实现流量的切换，流量模型如图1、 图2 所示。 图1 主备模式下，Firewall 1 故障前流量模型 图2 主备模式下，Firewall 1 故障后流量模型 2NAT 与双机热备的组合 2.1 地址池的低优先级属性 当双机热备的两台设备在网络中还需要完成NAT 功能时，两台设备上配置的 NAT 地址池的地址空间必须完全一样，才能保证在一台设备发生故障时，另一 台设备能够接替故障设备上的业务运行。但是，如果两台设备在做地址转换时， 分别从各自的地址池中选用了相同的地址，且分配了相同的端口号，则会导致两 台设备上的反向会话完全一样，无法进行会话数据的备份。 为解决该问题，NAT 地址池引入了低优先级属性。在双机热备的两台设备上配 置地址空间相同但优先级不同的地址池。例如：在两台设备上均配置地址池 100.0.0.1～100.0.0.10，其中一台设备上的100.0.0.1～100.0.0.10 地址池为低 优先级。在进行地址转换时，低优先级NAT 地址池中地址的端口取值范围为 35001~65535，高优先级地址池中地址的端口取值范围为1024~35000。这样主 备两台防火墙虽然使用相同的NAT 地址池中的地址，但是由于地址池的优先级 不同，所以NAT 转换后公网IP 和公网端口就不会出现完全相同的情况了，在备 份会话数据时就不会发生冲突。 图3 负载分担模式下，NAT 地址池的低优先级属性 2.2 低优先级地址池的不响应ARP 请求属性 在特定组网条件下，双机热备支持NAT 的两台设备还可能会发生ARP 响应冲突 的情况，如图4 所示。Firewall 1 和Firewall 2 上均配置了NAT 地址池100.0.0.1～ 100.0.0.10。当Router 发起ARP 请求，询问这两个地址池中的某个地址（如 100.0.0.2），Firewall 1 和Firewall 2 都会收到这个ARP 请求，并识别出这是自 己地址池中的地址。这样，两台设备都会回复一个ARP 响应，导致ARP 响应 冲突。