背景

為了提升網路可靠性，避免單點故障的危險，需要在網路關鍵節點處部署兩臺防火墻設備，

防火墻業務介面作業在三層介面

場景

上下行連接交換機

主備備份雙機熱備狀態形成程序

1. 雙機熱備啟用之后，FW1的Active組的狀態會由Initialize切換成Active，FW2的Standby組的狀態由Initialize切換成Standby，（實驗環境下，啟用雙機熱備后VGMP狀態機兩者都切換至Standby）

2. 防火墻A的VRRP備份組都加入了Active組，且Active組狀態為Active，所以防火墻A的VRRP備份組1和備份組2的狀態都為Active，同理，防火墻B的兩個備份組狀態都為Standby，

3. 防火墻A的VRRP備份組1和2分別向上下行交換機發送免費ARP報文，將VRRP備份組的虛擬MAC地址通知至交換機，

4. 上下行交換機的MAC表項分別記錄虛擬MAC地址與埠G1/0/1和G1/0/3的對應關系，這樣當上下行的業務報文到達交換機后，交換機會將報文轉發至防火墻A上，所以防火墻A成為主用，防火墻B成為備用，

5. 同時防火墻A的Active組還會通過心跳線定時向防火墻B發送HRP心跳報文，

主備備份雙機熱備故障后狀態切換

1. 當主用設備G1/0/3介面故障后，防火墻A的VRRP備份組2的狀態變成Initialize，

2. 防火墻A的Active組感知這一變化后，將自身的優先級降低2，并將自身狀態切換成Active To Standby，

3. 防火墻A的Active組會向對端發送VGMP請求報文，請求將狀態切換成Standby，

4. 防火墻B的Standby組收到防火墻A的Active組的VGMP請求報文后，比較VGMP優先級，65000高于64999，因此防火墻B的Standby組會將自身狀態切換成Active，

5. 防火墻B的Standby組會向對端回傳VGMP應答報文，允許對端進行狀態切換，

6. 防火墻B的Standby組會強制組內VRRP備份組1和2將狀態切換成Active，

7. 防火墻B的VRRP備份組1和2分別向上下行交換機發送免費ARP報文，更新MAC轉發表，

8. 防火墻A的Active組收到對端的VGMP確認報文后，會將自身狀態切換成Standby，

9. 防火墻A的Active組會強制組內的VRRP備份組將狀態切換成Standby，故障介面除外，

10. 上下行交換機收到防火墻B的免費ARP報文后更新MAC表項，記錄虛擬MAC地址與防火墻B介面的對應關系，這樣當上下行的業務報文到達交換機后，交換機會將報文轉發至防火墻B上，所以防火墻B成為主用，防火墻A成為備用，

11. 主備狀態切換完成后新的主用設備防火墻B會定時向新的備用設備防火墻A發送HRP心跳報文，

負載分擔雙機熱備狀態形成程序

1. 防火墻A的VRRP備份組1和3加入了Active組，即備份組狀態也為Active，備份組2和4加入了Standby組，即備份組狀態也為Standby，同理，防火墻B的VRRP備份組1和3為Standby組，2和4為Active組，
2. 防火墻A 的VRRP備份組1和3分別向上下行交換機發送免費ARP報文，防火墻B的VRRP備份組2和4分別向上下行交換機發送免費ARP報文，
3. 下行交換機的MAC表項會記錄VRRP備份組1的虛擬MAC地址與防火墻A介面的對應關系，備份組2的虛擬MAC地址與防火墻B介面的對應關系，上行交換機與此同理，這樣，兩個防火墻都會轉發業務報文，形成雙主，完成負載分擔，
4. 負載分擔形成后，防火墻A的Active組會定期向防火墻B的Standby組發送HRP心跳報文，防火墻B的Active組會定期向防火墻A的Standby組發送HRP心跳報文，

負載分擔雙機熱備故障后狀態切換

兩臺防火墻形成負載分擔方式的雙機熱備后，如果其中一臺防火墻的介面故障，那么他們講切換成主備備份狀態，

1. 當防火墻A的G1/0/1的介面故障后，VRRP備份組1和2的狀態都會變成Initialize，
2. 防火墻A的Active組和Standby組的優先級都會降低2，變為64999和64998，經過VGMP協商后，防火墻A的Active組的狀態切換為Standby，防火墻B的Standby組的狀態切換為Active，
3. 防火墻A的Active組和防火墻B的Standby組會強制組內備份組進行狀態切換，
4. 防火墻B的VRRP備份組1和3分別向上下行交換機發送免費ARP報文，更新MAC轉發表，
5. 上下行交換機對MAC轉發表進行修改，至此，防火墻A成為備用設備，防火墻B成為主用設備，負載分擔狀態變成主備備份狀態，

上下行連接路由器

主備備份雙機熱備狀態形成程序

1. 主用防火墻A正常向外發布路由，備用設備防火墻B會在上下行設備發布路由時將Cost值增加65500，
2. 對于RouterA而言，通過防火墻A去往外部的OSPF COST值為1+1+1=3，通過防火墻B去往外部的OSPF COST值為1+65500+1+1=65004，路由器選擇Cost值小的路徑轉發報文，即通過主用防火墻轉發，

主備備份雙機熱備故障后狀態切換

1. 當防火墻A的業務介面故障后，VGMP組狀態切換，防火墻B為主用設備，防火墻A為備用設備，防火墻B正常發布路由，防火墻A發布路由時增加65500，
2. 路由器選擇Cost值小的路徑轉發，

負載分擔雙機熱備狀態形成程序

防火墻介面加入VGMP管理組，確保防火墻至上下行路由器的Cost值一致，

上行連接路由器，下行連接交換機

主備備份雙機熱備狀態形成及故障切換程序

1. 下行接的是交換機，防火墻配置VRRP，主防火墻的業務口加入到VRRP，并且加入到VGMP的ACTIVE組，備防火墻的業務口加入到VRRP，并且加入到VGMP的STANDBY組，
2. 上游設備是路由器，主防火墻要將連接路由器的介面放到VGMP的ACTIVE組中進行監控，而備防火墻要將連接路由器的介面放到VGMP的STANDBY組中，進行監控，備防火墻會將鏈路COST值設定成65500，為了將流量引導到主防火墻，
3. 當鏈路故障，優先級-2，或者是通過心跳判斷，都會引起的主備切換，重新被置成VGMP STANDBY狀態的防火墻，將自動修改鏈路COST值為65500，完成流量引導，引導流量到新的主防火墻，并且新的主防火墻還會將VGMP的成員，監控的下游VRRP組狀態設定成ACTIVE，發免費ARP，也完成下游流量的引導，保證上下游流量的所經過的防火墻保持一致，否則由于會話檢測的機制，會引起流量中斷，

負載分擔雙機熱備狀態形成程序

1. 接交換機的介面分別放到兩個VRRP組和VGMP組中，一個防火墻一個VGMP組是Active狀態，另一個VGMP組狀態是Standby狀態，另一個防火墻同它相反，
2. 上游將接入路由的介面也是分別放入到VGMP的Active組和Standby組，并且確保兩個防火墻連接路由器的介面Cost值初始設定都一致，（配了雙VGMP組后，hrp ospf cost adjust-enable自動失效）確保流量分別走兩個防火墻，