计算机网络 · 从零开始

外观

拔掉主防火墙电源线，上万名员工的网络连接为何能够“零感知、零掉线”？ ​

在第 37 课中，我们学习了针对路由器的 虚拟路由冗余协议（VRRP）（虚拟路由冗余协议）。 很多初入网络的工程师会理所当然地认为：

“既然路由器配置 VRRP 就能实现双机冗余，那我们在两台防火墙的上行口和下行口也各配一个 VRRP，不就能实现防火墙的高可用了吗？”

如果你在真实生产环境中这样做，企业网络将会遭遇灾难性的“大面积断网与频繁丢包”！

这是因为状态检测防火墙有着与路由器截然不同的“灵魂”——它拥有严格的 会话表（Session Table）（会话表）。

学完本课后，你将能够：

  1. 深刻理解 为什么普通 VRRP 无法直接照搬到状态防火墙（非对称路径丢包与多接口状态割裂）。
  2. 掌握 华为专利协议 VRRP管理组协议（VGMP）（VRRP 管理组） 统一统管所有 VRRP 备份组、实现整机协同联动的运行机制。
  3. 精通 华为专用同步协议 华为冗余协议（HRP）（华为冗余协议） 的心跳同步内容与其绝对不同步的致命考点（不备份 MAC 表与路由表！）。
  4. 对比 防火墙双机热备的两种工作模式：主备备份（Active/Standby）与负载分担（Active/Active）。

1. 致命危机：为什么防火墙不能只靠普通 VRRP？ ​

危机一：非对称路由导致合法回包被直接秒杀 ​

路由器是无状态设备：去程报文从 R1 走，回程报文如果因为外部路由选路从 R2 走，R2 照样能查路由表把包转走。 但在防火墙环境中：

  • 内网电脑发出的首包从 FW1 穿过，FW1 在内存中建立动态会话表；
  • 外网回包由于公网多运营商选路差异，从 FW2 返回；
  • 由于 FW2 根本没有这个连接的会话表，FW2 认为这是一个公网黑客凭空发来的非法入侵报文，直接硬件丢弃（Drop）！正常连接彻底中断！

危机二：多接口独立选举导致“身体撕裂” ​

一台防火墙通常连接 Trust 内网、DMZ 服务器、Untrust 外网等多个区域，上下行至少配置了 5~6 个 VRRP 备份组：

  • 如果仅仅依靠传统 VRRP，每个备份组独立检测自己的接口；
  • 一旦 FW1 连接外网的上行链路发生断纤，上行 VRRP 切换到了 FW2，而下行 VRRP 依然在 FW1；
  • 结果出现“半身偏瘫”：下行流量进了 FW1，FW1 却发不出去；外部流量进了 FW2，FW2 却送不回来！

2. 破局之道：VGMP 统一调度组协议 ​

为了解决上述问题，华为防火墙研发了 VRRP管理组协议（VGMP）（VRRP Group Management Protocol）：

华为防火墙双机热备机制

  1. 集中管控，打破孤岛：
    • 防火墙不再允许单个物理接口的 VRRP 各自为政；
    • 所有的 VRRP 备份组全部被加入到一个统一的 VGMP 管理组 中！
  2. 整机一损俱损、一荣俱荣：
    • VGMP 维护整机的健康优先级（缺省 Active 状态为 45000）；
    • 一旦防火墙任何一个业务接口发生故障断开，VGMP 会自动将整机优先级扣减（例如扣减 2，变为 44998）；
    • 备用防火墙 FW2 的 VGMP 优先级立即反超，驱动 FW2 上下行所有绑定的 VRRP 备份组整齐划一地同时切换为主用（Active）！彻底避免了路径割裂。

3. 数据同步血脉：HRP 协议及其关键考点 ​

即使 VGMP 实现了上下行协同切换，如果主机拔掉网线切换到备机，备机内存里如果没有原有连接的会话表，上万名员工依然会遭遇瞬间断网、重新发起连接。

连接两台防火墙的 心跳线（Heartbeat Link） 上运行着华为专有协议——华为冗余协议（HRP）（Huawei Redundancy Protocol）：

text
               +--------------------------------------+
               |    专用心跳链路 (HRP 数据传输通道)      |
               |                                      |
       +-------v-------+                      +-------v-------+
       |   FW1 (主)    | ===================> |   FW2 (备)    |
       |  Active 状态  |   实时镜像同步会话表   |  Standby 状态 |
       +---------------+                      +---------------+

(1) HRP 负责同步的内容 ​

  • 动态状态信息：动态生成的会话表（Session Table）、Server-map 表项、黑名单、IPsec SA 状态；
  • 配置信息：管理员在主防火墙上配置的安全策略、NAT 规则等命令，会自动同步至备机（支持自动同步与手工触发）。

CAUTION

华为 ICT 大赛与专家级认证极高频避坑核心题：HRP 协议绝对不同步以下两样东西：

  1. MAC 地址表：MAC 地址是由各自设备接口芯片根据以太网帧自动学习的硬件表项，HRP 绝不同步 MAC 表！
  2. 路由表（Routing Table）：动态路由表（OSPF、BGP、IS-IS）是由两台防火墙各自独立运行的动态路由进程与相邻路由器交互计算得出的，HRP 绝不同步动态路由表！

4. 华为 VRP 双机热备典型配置示例 ​

在两台防火墙的专用心跳接口上启用 HRP 和 VGMP 联动：

text
# FW1 (主用设备配置)
[FW1] hrp enable                                       # 开启 HRP 协议
[FW1] hrp interface GigabitEthernet 1/0/6 remote 10.1.1.2 # 指定心跳口及对端 IP
[FW1] hrp track interface GigabitEthernet 1/0/1        # VGMP 监控业务下行接口
[FW1] hrp track interface GigabitEthernet 1/0/2        # VGMP 监控业务上行接口

# 开启 HRP 后，命令行提示符前会自动变为 HRP_M (主) 或 HRP_S (备)：
HRP_M[FW1] display hrp state
 Role: active, peer: standby
 Running priority: 45000, peer: 45000
 Backup channel status: "ESTABLISHED"

通过 HRP 的保驾护航，主设备在处理流量产生新会话的一瞬间，立即通过心跳线在备机内存中生成同款影子会话。即使主用设备遭遇断电，备用设备在几十毫秒内接管全部流量，用户视频通话、文件下载丝毫不受影响！

5. 课堂小结与真题实战 ​

  1. 状态防火墙双机热备不能简单照搬普通 VRRP，否则会导致非对称路由丢包与多接口状态不一致。
  2. VGMP 统一管理上下行所有 VRRP 备份组，确保主备整机协同切换。
  3. HRP 协议负责在心跳线上实时同步会话表、Server-map 与安全配置；绝不同步 MAC 表和路由表！

华为 ICT 大赛真题精练 ​

华为 ICT 大赛 2025–2026 省复赛样题 · 真题 · 单选

在华为防火墙双机热备（上下行均为交换机）组网环境中，以下关于主备设备信息同步与运行机制的描述，错误的是哪一项？

华为 ICT 大赛真题精练（二） ​

华为 ICT 大赛 2025–2026 省复赛样题 · 真题衍生 · 单选

关于华为防火墙双机热备中 VGMP（VRRP管理组）的作用，以下描述正确的是哪一项？