2023学年完整公开课版HRP协议

1HRP协议学完本课程后，您将能够了解HRP协议目标2目录31.HRP协议概述HRP基本概念4HRP（HuaweiRedundancyProtocol）协议，用来实现防火墙双机之间动态状态数据和关键配置命令的备份。VRRP组1VRRP组2VRRP组3①②③④⑤UntrustTrustDMZ会话表⑥FWAFWBHRP的产生5状态检测防火墙对于每一个会话连接都有一个会话表项与之对应，主用设备处理业务过程中创建了很多动态会话表项；而备用设备没有流量经过，因此没有创建会话表。如果备用设备切换为主用设备前，会话表项没有备份到备用设备，则会导致先前经过主用设备的业务流量因为无法匹配会话表而中断。为了实现主用备用设备平滑切换，必须在主用和备用设备之间备份关键配置命令和会话表状态信息，为此防火墙引入了HRP（HuaweiRedundancyProtocol）协议，实现防火墙双机之间动态状态数据和关键配置命令的实时备份。在双机热备组网中，指定心跳线作为专门的备份通道，用于备份配置命令和状态信息。HRP心跳接口6两台FW之间备份的数据是通过心跳口发送和接收的，是通过心跳链路（备份通道）传输的。心跳口必须是状态独立且具有IP地址的接口，可以是一个物理接口（GE接口），也可以是为了增加带宽，由多个物理接口捆绑而成的一个逻辑接口Eth-Trunk。心跳接口的状态7HRP心跳接口共有五种状态：InvalidDownPeerdownReadyrunningHRP报文8HRP报文实际上是一种VGMP报文，承载在VGMP报文的DATA区域。当然也存在两种封装方式。管理面HRP报文两种封装：VRRP封装UDP封装管理面HRP报文中会携带以下信息：指定自动备份还是批量备份、指定是发送还是应答、备份的数据类型。转发面HRP同步报文（实时备份报文）也有两种封装：VRRP封装UDP封装双机热备的备份方式9设备重启后主备FW的配置自动同步会话快速备份自动备份手工批量备份HRP数据备份范围10通过HRP备份的数据包括主用设备的关键配置命令和状态信息。能够备份配置命令：只能在主用设备上配置，备用设备不能配置。特性大类特性策略安全策略、NAT策略、带宽管理、认证策略、攻击防范、黑名单、ASPF对象地址、服务、应用、用户、认证服务器、时间段、URL分类、关键字组、邮件地址组、签名、安全配置文件（反病毒、入侵防御、URL过滤、文件过滤、内容过滤、应用行为控制、邮件过滤）网络新建逻辑接口、安全区域、DNS、IPSec、SSLVPN、TSM联动系统管理员、日志配置不能备份的配置名命令：主用设备和备用设备都可以配置。大类命令维护命令一般情况下，display、reset、debugging命令都不支持备份。系统data-flowloghost

host-id

ip-address

ip-address[port

port-number][vpn-instance

vpn-instance-name]data-flowloghost

source

ip-address

ip-address[source-port

port-number]

HRP数据备份范围11可以备份的主用设备状态：NGFW生成的会话表SeverMap表IP监控表分片缓存表黑白名单PAT方式端口映射表NO-PAT方式地址映射表HRP配置12HRP配置：1.在系统视图下指定心跳接口。hrpinterface

interface-type

interface-number[remote

ip-address]配置心跳接口时如果不配置remote参数，心跳报文被封装成VRRP报文，此时不配置安全策略设备也能正常处理。配置心跳接口时如果配置remote参数，心跳报文被封装成UDP报文，此时需要正确配置心跳接口所在安全区域和Local之间的域间安全策略，设备才能正常接收和发送心跳报