《SANGFOR_NGAF_V6.6_2016年度渠道高级认证培训04_高可用性》由会员分享，可在线阅读，更多相关《SANGFOR_NGAF_V6.6_2016年度渠道高级认证培训04_高可用性（33页珍藏版）》请在金锄头文库上搜索。
1、SANGFOR NGAF高可用性培训内容培训内容培训目标培训目标防火墙高可用性1、掌握路由、网桥模式下高可用性部署的方法和注意事项目录1、高可用性配置2、常见故障VRRP（Virtualrouterredundancyprotocol,虚拟路由器冗余协议）虚拟路由器冗余协议）你了解的VRRP一般是这样的1、两个路由器IP地址不一样，需要虚拟IP-AF不需要虚拟IP，因为接口IP一样。2、根据虚拟组ID找同伴，同一虚拟组的设备之间选主备。-AF也是这样3、可能影响主备的条件：1、优先级，优先级高的为主，2、接口IP，IP地址大的为主-AF也是一样，但因为接口IP一致，最终是看心跳口IP的大小。4
2、、可以设置抢占模式，优先级高的设备故障恢复后，如果配置成抢占模式，可以成为主。-AF也一样5、心跳协商通过组播224.0.0.18-AF也一样6、AF需要配置心跳口，心跳口是一个普通网口。1、高可用性配置应用场景1、高可用性配置应用场景：客户希望在原有网络中上架NGAF，对内网用户以及服务器进行保护，同时不影响原有网络拓扑，但是部署单台会有单点故障现象，希望部署两台设备做备份来提高可靠性。解决方案：采用网桥模式双机部署，主备模式。两台设备配置一样，并且配置同步。同时只有一台主机工作，主机宕掉以后由备机接替工作，对用户透明。1.1NGAF双机交换模式1、高可用性配置NGAF交换双机配置1.配置物
3、理接口为access口并属于vlan12.配置心跳口eth53.配置vlan1接口并做链路双向检测4.启用双机，配置本端和对端IP，并配置虚拟路由组5.配置备机并同步配置（略）1.1NGAF双机交换模式NGAF交换双机全冗余配置1.配置物理接口为access口并属于vlan11.1NGAF双机交换模式2.配置心跳口在接口区域中选择一个物理口作为双机的心跳口，配置界面如下，使用的IP地址需要后面跟上-HA1.1NGAF双机交换模式3.配置wan口和vlan1接口与链路检测1.1NGAF双机交换模式4.启用双机，配置本端和对端IP，并配置虚拟路由组1.1NGAF双机交换模式NGAF交换双机切换过程
4、前置条件：1.AD1、NGAF1、核心交换1为活动状态，其他为非活动状态；2.数据包走C1A1；3.AF1、AF2开启双向链路ping检测功能；4.AD1、AD2开启双机ping检测功能；5.核心交换以SVI接口组建vrrp，使用track功能ping上行IP作为切换条件1.1NGAF双机交换模式1.1NGAF双机交换模式切换过程：1、A1线路故障且AF1先探测出来2、出口1宕机，AF1没有探测出来网桥部署-向上ping不通NGAF交换双机切换过程切换场景2，AF向下ping不通：与向上ping不通场景相同优点：1.任意1个设备宕机拔线不会影响业务2.任意3个不同角色的设备宕机拔线不会影响业务
5、1.1NGAF双机交换模式1.2NGAF双机路由模式NGAF路由双机配置1.配置内网物理接口为access口属于vlan12.配置心跳口eth53.配置wan口和vlan1接口与链路检测4.启用双机，配置本端和对端IP，配置虚拟路由组5.配置备机并同步配置（略）1.2NGAF双机路由模式NGAF路由双机配置1.配置内网物理接口为access口属于vlan11.2NGAF双机路由模式2.配置心跳口在接口区域中选择一个物理口作为双机的心跳口，配置界面如下，使用的IP地址需要后面跟上-HA1.2NGAF双机路由模式3.配置vlan1和vlan2接口与链路检测1.2NGAF双机路由模式Eth1口接公网
6、，因此链路检测配置为公网IPVth.1口接内网，因此链路检测配置为内网IP4.启用双机，配置本端和对端IP，并配置虚拟路由组1.2NGAF双机路由模式NGAF双机路由模式切换过程前置条件：1.NGAF1、核心交换1为活动状态，其他为非活动状态；2.数据包走交换机1AF1；3.AF1、AF2开启双向链路ping检测功能；4.核心交换以SVI接口组建vrrp，使用track功能ping上行IP作为切换条件1.2NGAF双机路由模式NGAF双机路由模式切换过程切换场景1，AF向上ping不通：同交换场景切换场景2，AF向下ping不通：同交换场景1.2NGAF双机路由模式NGAF双机路由模式注意事项
7、：1.核心交换以SVI接口做VRRP，并使用track的ping检测作为切换条件2.AF开启双向ping检测3.抢占与链路检测不能同时开启4.不要使用bypass接口做双机，避免广播风暴5.双机不支持聚合口1.2NGAF双机路由模式目录1、高可用性配置2、常见故障2、常见故障1、AF双机部署，管理口登陆web控制台出现闪退，ping管理口IP丢包【问题现象】：AF双机部署并配置同步，两台AF管理口eth0接内网交换机且不属于虚拟路由组，从管理口IP登陆控制台出现闪退，ping管理口IP丢包，无法正常管理两台AF【问题原因】：AF双机部署，只要启用配置同步，则所有非HA的接口IP都会同步，因此若
8、管理口仅仅配置了不同IP，则会被配置同步为相同的IP，在内网交换机上出现IP冲突，导致控制台闪退，ping丢包等现象，如客户选定eth0为管理口，主机管理IP为192.168.15.1，备机管理IP为192.168.15.2，配置同步后会出现主备两台AF的eth0IP都为192.168.15.1，出现IP冲突。【解决办法】：为管理口IP标注HA属性即可，无需修改其他配置。2、AF设备双机配置完成后，发现内网交换机上报我们设备接口IP冲突【问题现象】：双机配置完成后，发现内网相连的交换机上一直报AF接口IP冲突需要确认下AF两台双机虚拟路由组里面是否把需要监控的网口列表都写完全了，正常检测的网口
9、加进去了，备机该网口是不收发包，如果没写完全，则会出现两台设备网口双活情况，导致IP冲突2、常见故障3、网口不够，能否用管理口作为心跳口管理口可以作为心跳口，但是不能作为双机内外网通信网口2、常见故障4、双机配置不同步1、检查主机能否ping通备机HA-IP2、手动点击同步配置，检查webui中日志来源为“配置同步”的调试日志中是否有发送配置同步文件。2、常见故障5、双机配置HA地址使用了1.1.1.1地址，导致双机主备检测失败【问题现象】：配置双机HA口的时候，用了1.1.1.1地址，发现双机主备检测失败。设备默认已经占有了1.1.1.1该地址，禁止在设备网口或者逻辑口上配置1.1.1.1地
10、址，否则会出现问题2、常见故障6、双机状态出现双主现象【问题现象】：检查双机接口通信是否正常，如果双机心跳无法通信则会出现双主现象造成监听口IP地址冲突2、常见故障7、双机建立不成功【问题现象】：双机无法建立，双机建立的条件是主备机网口数量一致主备机功能序列号保持一致主备机/app/appversion文件的md5一致（此文件内容为AF设备的版本信息需要登录后台，如果出现此问题可联系400协助确认）排查是否是上述问题导致2、常见故障问题思考1.链路故障检测ping检测目标IP组内多IP之间是什么匹配关系？目标组之间是什么匹配关系？2.虚拟路由组下网口监视网口组内多网口之间是什么匹配关系？组之间是什么匹配关系？
