為了解決單臺(tái)設(shè)備部署時(shí)的單點(diǎn)故障，Hillstone推出了系列高可靠性組網(wǎng)解決方案，主要包括AP模式和AA模式。 設(shè)備AP模式工作時(shí)，一臺(tái)設(shè)備工作在主，一臺(tái)設(shè)備工作在備，其可以適應(yīng)任何網(wǎng)絡(luò)拓?fù)洹? 設(shè)備AA模式部署時(shí)，兩臺(tái)設(shè)備均處于Active狀態(tài)。一般來(lái)說(shuō)，AA方案對(duì)客戶周邊網(wǎng)絡(luò)的依賴性比較高。

　　1. 單機(jī)部署存在單點(diǎn)故障風(fēng)險(xiǎn)

　　單臺(tái)設(shè)備部署時(shí)，無(wú)論其可靠性多高，系統(tǒng)都必然要承受因單點(diǎn)故障而導(dǎo)致網(wǎng)絡(luò)業(yè)務(wù)中斷的風(fēng)險(xiǎn)。而且防火墻部署在互聯(lián)網(wǎng)出口一般主要使用網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)功能，因此無(wú)法使用Bypass來(lái)解決單點(diǎn)故障問(wèn)題。

　　圖1 單機(jī)部署存在單點(diǎn)故障風(fēng)險(xiǎn)

　　2. 高可靠組網(wǎng)工作模式

　　2.1 AP模式

　　兩臺(tái)設(shè)備工作在透明模式或者路由模式)配置成一個(gè)"HA組"，一臺(tái)作為主設(shè)備，另一臺(tái)作為備份設(shè)備。主設(shè)備處于活動(dòng)狀態(tài)，轉(zhuǎn)發(fā)報(bào)文，同時(shí)將其所有網(wǎng)絡(luò)和配置信息以及當(dāng)前會(huì)話信息傳遞給備份設(shè)備。當(dāng)主設(shè)備出現(xiàn)設(shè)備或鏈路故障時(shí)，備份設(shè)備接替主設(shè)備工作，轉(zhuǎn)發(fā)報(bào)文。這種主備模式具有較強(qiáng)冗余性，而且其網(wǎng)絡(luò)結(jié)構(gòu)簡(jiǎn)單，便于維護(hù)管理。

　　圖2 Hillstone下一代防火墻AP模式部署

　　2.2 AA模式

　　兩臺(tái)設(shè)備工作在透明模式或者路由模式)配置成兩個(gè)"HA組"，一臺(tái)在HA組0中作為主設(shè)備，在HA組1中作為備份設(shè)備;另一臺(tái)在HA組0中作為備份設(shè)備，在HA組1中作為主設(shè)備。兩臺(tái)設(shè)備同時(shí)運(yùn)行各自的工作，且相互監(jiān)測(cè)對(duì)方的情況。當(dāng)其中一臺(tái)設(shè)備發(fā)生設(shè)備或鏈路故障時(shí)，另外一臺(tái)設(shè)備運(yùn)行其自身的工作并且接管故障設(shè)備的工作，以保證工作不間斷。這種雙主模式具有高性能以及負(fù)載均衡的優(yōu)點(diǎn)。

　　圖3 Hillstone下一代防火墻AA模式部署

　　3. 典型應(yīng)用場(chǎng)景

　　3.1 企業(yè)互聯(lián)網(wǎng)出口

　　防火墻通常作為網(wǎng)關(guān)部署在企業(yè)的互聯(lián)網(wǎng)出口，網(wǎng)絡(luò)地址轉(zhuǎn)換(NAT)是必須的功能。一般來(lái)說(shuō)企業(yè)網(wǎng)絡(luò)內(nèi)網(wǎng)用戶和服務(wù)數(shù)量不多，為便于維護(hù)，內(nèi)網(wǎng)用戶和服務(wù)都希望配置相同的網(wǎng)關(guān)地址，因此建議選擇兩臺(tái)防火墻AP模式部署。

　　圖4 Hillstone企業(yè)互聯(lián)網(wǎng)出口HA解決方案(AP)

　　3.2 運(yùn)營(yíng)商IDC網(wǎng)絡(luò)出口

　　防火墻通常不作為網(wǎng)關(guān)部署在運(yùn)營(yíng)商IDC的網(wǎng)絡(luò)出口，也不需要做網(wǎng)絡(luò)地址轉(zhuǎn)換。由于運(yùn)營(yíng)商IDC具有業(yè)務(wù)多、數(shù)據(jù)流量大的特點(diǎn)，一般網(wǎng)關(guān)交換機(jī)都選擇負(fù)載分擔(dān)模式，同時(shí)也選擇兩臺(tái)防火墻AA模式部署。內(nèi)網(wǎng)服務(wù)是否需要?jiǎng)澐侄嗖糠�，分別配置不同的網(wǎng)關(guān)地址，由交換機(jī)網(wǎng)關(guān)的負(fù)載分擔(dān)機(jī)制來(lái)決定。跟企業(yè)數(shù)據(jù)中心不同的是，運(yùn)營(yíng)商IDC組網(wǎng)中還需考慮內(nèi)部業(yè)務(wù)間互訪控制的問(wèn)題，因此Hillstone給出如下兩臺(tái)防火墻旁掛在IDC核心交換機(jī)上的解決方案。

　　圖5 Hillstone運(yùn)營(yíng)商IDC網(wǎng)絡(luò)出口HA解決方案(AA)

本文鏈接：http://m.51huadong.com/cloundnews/11000199.html