防御保护day04--笔记

回顾：nat

配置路由黑洞：配置黑洞路由可以防止环路的产生

配置黑洞路由：地址池和我们出接口的ip不在一个网段，必须有一条指向地址池的静态，如果勾选配置黑洞路由会有一条指向空接口的ip，又能防环，又能让流量转换，一句两得

源进源出路由控制（防止nat server多出口的情况）两个AS区域可能绕一大圈：

正式开始：多出口智能选路

防火墙的智能选路：

1.就近选路 --- 我们希望在访问不同运营商的服务器时，通过对应运营商的链路，这样可以提高通讯效率，避免绕路

如何实现效果：至少知道服务器属于电信还是属于移动

如何判断：不管怎么，都是属于公网网段，可以通过看ip即可

不同运营商的公网网段如何判断呢，可以通过导入运营商地址库

2.策略路由-PBR

传统的路由，仅基于数据包中的目标ip地址查找路由表。仅关心其目标，所以，在面对一些特殊的需求时，传统路由存在短板，缺乏灵活性，适用场景比较单一

策略路由本身也是一种策略，策略主要先匹配流量，再执行动作。策略路由可以从多维度去匹配流量，之后执行的动作就是定义其转发出接口和下一跳。策略路由末尾隐含一条不做策略的规则，即所有没匹配上策略路由的流量，都将匹配传统路由表进行转发

如果存在多条策略路由，则匹配规则也是自上而下逐一匹配，如果匹配上了，则按照对应动作执行，不再向下匹配

DSCP优先级---相当于在数据包中设定其转发的优先级（利用的是IP头部中tos字段），之后下游设备会根据优先级来差异化保存流量的通过

动作：

转发 --- 可以定义其转发的方式

转发其他虚拟系统 --- VRF

不做策略路由

监控下一跳能不能通，链路故障，没开启，报文将直接被FW丢弃，为了提高可靠性，我们可以配置针对下一跳的监控，即使下一跳不可达，也可以继续查找本地路由表，而不是直接丢弃开启后检测可达性

3.智能选路 --- 全局路由策略

基于链路带宽的负载分担

当过载保护后，退出负载分担

基于链路带宽的负载分担会按照多条链路带宽比例来分配流量，并且，如果配置的过载保护阈值，则一条链路达到过载保护阈值之后，除了已经创建会话表的流量依然可以从该接口通过外，该接口将不再参与智能选路，需要新建会话表的流量将从其余链路中按照比例转发

会话保持 --- 开启该功能后，流量首次通过智能选路的接口后，会创建会话表，后续命中会话表的流量都将通过同一个接口来进行转发，选择源IP和目的IP的效果时，所有相同源IP或者目标IP流量将通过同一个接口转发。---应对与不希望链路频繁切换的场景

效果图：

在链路接口中可以配置就近选路

过载保护阈值：

基于链路质量进行负载分担

丢包率---FW会发送若干个探测报文（默认发5个），将统计丢包的个数。丢包率就等于回应报文个数除以探测报文个数。丢包率是最重要的评判依据

时延---应答报文接收时间减去探测报文发送时间。防火墙会发送若干个探测报文，取平均时延作为结果进行评判

延时抖动---两次时延差值的绝对值，FW会发送若干个探测报文，取两两延时抖动最后的平均值

首次探测后会将结果记录在链路质量探测表中，之后将按照表中的接口来进行选路。表中的老化时间结束后，将重新探测

基于链路权重进行负载分担

权重是由网络管理员针对每一条链路进行手工分配的，分配之后，将按照权重比例分配流量

基于链路优先级的主备备份

优先级也是由网络管理员针对每一条链路手工分配的。

执行逻辑：

1.接口没有配置了过载保护：

优先使用优先级最高的链路转发流量，其他链路不工作。直到优先级最高的链路故障，则优先级次高的链路开始转发流量。其余链路依旧不工作

2.接口配置了过载保护：

优先使用优先级最高的链路转发流量，其他链路不工作，如果最高的链路达到或超过保护阈值，则优先级次高的链路开始工作。

4.DNS透明代理

DNS透明代理的前提是开启就近选路

防火墙的可靠性

防火墙和路由器在进行可靠性备份时，路由器备份可能仅需要同步路由表中的信息就可以了，但是，防火墙是基于状态检查的，所以还需要同步记录状态的会话表等。所以，防火墙需要使用到双机热备技术。

双机 --- 目前防火墙的双机热备技术仅支持两台设备

热备 ---  两台设备同时运行，在一台设备出现故障的情况下，另一台设备可以立即代替原设备

VRRP技术

虚拟路由器冗余协议---“实的不行来虚的”

Initialize---在VRRP中，如果一个接口出现故障的时候，接口会进入初始化状态

VGMP --- VRRP Group Management Protocol

华为私有协议---这个协议就是将一台设备上的多个VRRP组看成一个组，之后统一进行管理----切换的协议。一次来保证VRRP组状态的一致性

接口故障切换场景：

在防火墙的双机热备中，我们不论是VRRP组还是VGMP组，主备的叫法发生了变化，主统一被称为Active，备被称为standby

1.假设主设备的下联口发生故障，则这个接口的vrrp状态将由原来的Active状态切换为initialize状态。（这种情况下，按照VRRP自己的机制，主设备将无法发送周期保活报文，备设备在超过时间后将切换为主的状态。但是，因为这里启用VGMP在，则VRRP切换状态将由VGRP接管，VRRP的机制名存实亡）

2.VGMP组发现VRRP组出现变化，将降低自身的优先级（说明，在VGRP组中，也存在优先级的概念。一开始，每台谁被中都会存在两个VGMP组，一个叫Active组，另一个叫做Standby组。Active组初始的默认优先级为65001，Standby组初始的默认优先级为65000（不同版本的防火墙，优先级的定义不同）一开始，我们FW1将两个VRRP组都拉入VGMP_ACTIVE组中，因为ACTIVE组的状态为active，所以，里面两个vrrp组的状态也是active（VGMP组的状态决定了VRRP组的状态），FW2同理，当一个VRRP组的状态变为initialize，则VGMP组的优先级-2）之后，原主设备会发送一个VGMP请求报文给对端，里面包含了自己当前变化后的优先级。

3.当原备设备接收到请求报文后，看到里面的优先级是64999，而低于自身的65000，则会将自己的VGMP_STANDBY组的状态有原来的standby切换为active。同时，发送一个同意请求报文给原主设备。

4.原主设备接收到对方的应答报文之后，将会把自身VGMP_ACTIVE组的状态由原来的ACTIVE切换为STANDBY

5.在原备设备发送应答报文的同时，因为其VGMP组的状态切换，所以，其内部的VRRP组状态也将由原来的standby转换为active。原主设备在接受到对方的应答报文之后，因为将其VGMP组状态切换，所以，同时将其内部的VGRP组状态由原来的active状态切换为standby状态（注意，故障接口依旧保持init的状态。）

6.原备设备会通过接口向上下联链路发送免费ARP报文，切换交换机的MAC地址表，流量将被切换到原备设备上

HRP协议---Huawei Redundancy Protocol --- 华为冗余协议

这是一款华为的私有协议---备份我们的配置信息和状态信息。

HRP备份有一个前提，就是两台设备之间必须专门连一根用于备份的线路，这跟线路我们称为心跳线（广义上，任何两台设备之间的链路都可以叫做心跳线）

心跳线的接口必须是一个三层接口，需要配置对应的IP地址。这条备份数据的链路不受路由策略限制（直连场景。非直连场景依然需要配置安全策略。）

HRP协议本身算是VGMP协议的一部分

HRP的心跳线中也会传递心跳报文，用于检测对端是否处于工作状态，这个周期时间默认为1s，逻辑和vrrp一样，只有主设备会周期发送，备设备仅监听即可，如果在三个周期内，都没用收到HRP的心跳报文，则将认定原主设备故障，则将进行失效判断，认定自身为主。

VGRP的报文也是通过这条心跳线发送的。

配置信息  --- 策略，对象，网络里面的一些配置都属于配置信息。（接口ip地址，路由之类的不同步，因为这些是要在双机组建之前配置的）

状态信息  --- 会话表，server-map，黑名单，白名单。。。

第一种备份方式---自动备份

默认开启自动备份，可以实时备份配置信息。但是自动备份不能立即同步状态信息。一般是在主设备上状态生成后一段时间（10s左右）同步到备设备上。

Hrp standby config enable --- 这个命令可以让备设备上的配置同步到主设备上

第二种备份方式---手工备份

由管理员手工触发，可以立即同步配置信息以及状态信息

第三种备份方式---快速备份

该模式仅适用在负载分担的工作模式下。

因为负载分担的场景下，两台设备都需要处于工作状态，为了避免因为状态信息同步不及时，导致业务流量中断，所以，该场景下，默认开启快速备份。

快速备份可以实时同步状态信息。但是，该方式不同步配置信息

补充：各场景过程分析

1.主备形成背景

2.主备模式下，接口故障切换场景

3.主备场景，主设备故障切换---主故障之后，将无法周期发送HRP心跳报文，则备谁被监听超时，进行设备状态的切换。

4.主备场景，主设备接口故障恢复切换

没有开启抢占---没有抢占则原主设备保持备份状态。

开启抢占：

5.负载分担

6.负载分担接口故障场景