為了解決單臺設(shè)備部署時的單點故障，Hillstone推出了系列高可靠性組網(wǎng)解決方案，主要包括AP模式和AA模式。 設(shè)備AP模式工作時，一臺設(shè)備工作在主，一臺設(shè)備工作在備，其可以適應(yīng)任何網(wǎng)絡(luò)拓?fù)洹? 設(shè)備AA模式部署時，兩臺設(shè)備均處于Active狀態(tài)。一般來說，AA方案對客戶周邊網(wǎng)絡(luò)的依賴性比較高。

　　1. 單機(jī)部署存在單點故障風(fēng)險

　　單臺設(shè)備部署時，無論其可靠性多高，系統(tǒng)都必然要承受因單點故障而導(dǎo)致網(wǎng)絡(luò)業(yè)務(wù)中斷的風(fēng)險。而且防火墻部署在互聯(lián)網(wǎng)出口一般主要使用網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)功能，因此無法使用Bypass來解決單點故障問題。

　　圖1 單機(jī)部署存在單點故障風(fēng)險

　　2. 高可靠組網(wǎng)工作模式

　　2.1 AP模式

　　兩臺設(shè)備工作在透明模式或者路由模式)配置成一個"HA組"，一臺作為主設(shè)備，另一臺作為備份設(shè)備。主設(shè)備處于活動狀態(tài)，轉(zhuǎn)發(fā)報文，同時將其所有網(wǎng)絡(luò)和配置信息以及當(dāng)前會話信息傳遞給備份設(shè)備。當(dāng)主設(shè)備出現(xiàn)設(shè)備或鏈路故障時，備份設(shè)備接替主設(shè)備工作，轉(zhuǎn)發(fā)報文。這種主備模式具有較強(qiáng)冗余性，而且其網(wǎng)絡(luò)結(jié)構(gòu)簡單，便于維護(hù)管理。

　　圖2 Hillstone下一代防火墻AP模式部署

　　2.2 AA模式

　　兩臺設(shè)備工作在透明模式或者路由模式)配置成兩個"HA組"，一臺在HA組0中作為主設(shè)備，在HA組1中作為備份設(shè)備;另一臺在HA組0中作為備份設(shè)備，在HA組1中作為主設(shè)備。兩臺設(shè)備同時運行各自的工作，且相互監(jiān)測對方的情況。當(dāng)其中一臺設(shè)備發(fā)生設(shè)備或鏈路故障時，另外一臺設(shè)備運行其自身的工作并且接管故障設(shè)備的工作，以保證工作不間斷。這種雙主模式具有高性能以及負(fù)載均衡的優(yōu)點。

　　圖3 Hillstone下一代防火墻AA模式部署

　　3. 典型應(yīng)用場景

　　3.1 企業(yè)互聯(lián)網(wǎng)出口

　　防火墻通常作為網(wǎng)關(guān)部署在企業(yè)的互聯(lián)網(wǎng)出口，網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)是必須的功能。一般來說企業(yè)網(wǎng)絡(luò)內(nèi)網(wǎng)用戶和服務(wù)數(shù)量不多，為便于維護(hù)，內(nèi)網(wǎng)用戶和服務(wù)都希望配置相同的網(wǎng)關(guān)地址，因此建議選擇兩臺防火墻AP模式部署。

　　圖4 Hillstone企業(yè)互聯(lián)網(wǎng)出口HA解決方案(AP)

　　3.2 運營商IDC網(wǎng)絡(luò)出口

　　防火墻通常不作為網(wǎng)關(guān)部署在運營商IDC的網(wǎng)絡(luò)出口，也不需要做網(wǎng)絡(luò)地址轉(zhuǎn)換。由于運營商IDC具有業(yè)務(wù)多、數(shù)據(jù)流量大的特點，一般網(wǎng)關(guān)交換機(jī)都選擇負(fù)載分擔(dān)模式，同時也選擇兩臺防火墻AA模式部署。內(nèi)網(wǎng)服務(wù)是否需要劃分多部分，分別配置不同的網(wǎng)關(guān)地址，由交換機(jī)網(wǎng)關(guān)的負(fù)載分擔(dān)機(jī)制來決定。跟企業(yè)數(shù)據(jù)中心不同的是，運營商IDC組網(wǎng)中還需考慮內(nèi)部業(yè)務(wù)間互訪控制的問題，因此Hillstone給出如下兩臺防火墻旁掛在IDC核心交換機(jī)上的解決方案。

　　圖5 Hillstone運營商IDC網(wǎng)絡(luò)出口HA解決方案(AA)

本文鏈接：http://m.51huadong.com/cloundnews/11000199.html