安全防御第四次(笔记整理)

目录

防火墙的智能选路

策略路由 -- PBR

DSCP优先级 ---

动作:

智能选路 --- 全局路由策略

基于链路带宽的负载分担

基于链路质量进行负载分担

基于链路权重进行负载分担

基于链路优先级的主备备份

优先级也是由网络管理员针对每一条链路手工分配的。

DNS透明代理

DNS透明代理的前提是开启就近选路

防火墙的可靠性

VRRP技术

VGMP ----

1,主备形成场景

2,主备模式下,接口故障切换场景

3,主备场景,主设备故障切换 ---

4,主备场景,主设备接口故障恢复切换

防火墙的智能选路
就近选路 --- 我们希望在访问不同运营商的服务器是,通过对应运营商的链路。这样可以提高
通信效率,避免绕路。
安全防御第四次(笔记整理)_第1张图片
安全防御第四次(笔记整理)_第2张图片
策略路由 -- PBR
传统的路由 ,仅基于数据包中的目标IP地址查找路由表。仅关心其目标,所以,在面对
一些特殊的需求时,传统路由存在短板,缺乏灵活性,适用场景比较单一。
策略路由本身也是一种策略,策略主要先匹配流量,再执行动作。策略路由可以从多维
度去匹配流量,之后,执行的动作就是定义其转发的出接口和下一跳。策略路由末尾隐
含一条不做策略的规则,即所有没有匹配上策略路由的流量,都将匹配传统路由表进行
转发 。
如果存在多条策略路由,则匹配规则也是自上而下,逐一匹配,如果匹配上了,则按照
对应动作执行,不再向下匹配;
安全防御第四次(笔记整理)_第3张图片
安全防御第四次(笔记整理)_第4张图片
DSCP优先级 ---
相当于在数据包中设定其转发的优先级(利用的是IP头部中tos字段),
之后下游设备会根据优先级来差异化保证流量的通过。
动作:
转发 --- 可以定义其转发的方式
转发其他虚拟系统 --- VRF
不做策略路由
安全防御第四次(笔记整理)_第5张图片
监控 --- 当策略是单出口时,如果这里写的下一跳和出接口不可达,报文将直接被FW丢
弃。为了提高可靠性,我们可以配置针对下一跳的监控,即使下一跳不可达,也可以继
续查找本地路由表,而不是直接丢弃。
智能选路 --- 全局路由策略
安全防御第四次(笔记整理)_第6张图片
基于链路带宽的负载分担
安全防御第四次(笔记整理)_第7张图片
基于链路带宽的负载分担 会按照多条链路的带宽比例来分配流量。并且,如果配置的过
载保护阈值,则一条链路达到过载保护阈值之后,除了已经创建会话表的流量依然可以
从该接口通过外,该接口将不再参与智能选路,需要新建会话表的流量将从其余链路中
按照比例转发
安全防御第四次(笔记整理)_第8张图片
安全防御第四次(笔记整理)_第9张图片
会话保持 --- 开启该功能后,流量首次通过智能选路的接口后,会创建会话表,后续命
中会话表的流量都将通过同一个接口来进行转发,选择源IP和目的IP的效果时,所有相
同源IP或者目标IP的流量将通过同一个接口转发。 --- 应对于不希望链路频繁切换的场
安全防御第四次(笔记整理)_第10张图片
在链路接口中可以配置就近选路。
安全防御第四次(笔记整理)_第11张图片
安全防御第四次(笔记整理)_第12张图片
安全防御第四次(笔记整理)_第13张图片
基于链路质量进行负载分担
安全防御第四次(笔记整理)_第14张图片
丢包率 --- FW会发送若干个探测报文(默认5个),将统计丢包的个数。丢包率等于回
应报文个数除以探测报文个数。丢包率是最重要的评判依据。
时延 --- 应答报文接受时间减去探测报文发送时间。FW会发送若干个探测报文,取平均
时延作为结果进行评判
延时抖动 --- 两次探测报文时延差值的绝对值。FW会发送若干个探测报文,取两两延时
抖动的平均值
首次探测后会将结果记录在链路质量探测表中,之后,将按照表中的接口来进行选路。
表中的老化时间结束后,将重新探测。
安全防御第四次(笔记整理)_第15张图片
基于链路权重进行负载分担
安全防御第四次(笔记整理)_第16张图片
安全防御第四次(笔记整理)_第17张图片
基于链路优先级的主备备份
安全防御第四次(笔记整理)_第18张图片
优先级也是由网络管理员针对每一条链路手工分配的。
执行逻辑:
1,接口没有配置过载保护:
优先使用优先级最高的链路转发流量,其他链路不工作。直到优先级最高的链路故
障,则优先级次高的链路开始转发流量。其余链路依旧不工作。
2,接口配置了过载保护:
优先使用优先级最高的链路转发流量,其他链路不工作;如果最高的链路达到或超
过保护阈值,则优先级次高的链路开始工作。
安全防御第四次(笔记整理)_第19张图片
DNS透明代理
安全防御第四次(笔记整理)_第20张图片
DNS透明代理的前提是开启就近选路
安全防御第四次(笔记整理)_第21张图片
安全防御第四次(笔记整理)_第22张图片
防火墙的可靠性
安全防御第四次(笔记整理)_第23张图片
防火墙和路由器在进行可靠性备份时,路由器备份可能仅需要同步路由表中的信息就可以了,
但是,防火墙是基于状态检测的,所以,还需要同步记录状态的会话表等。所以,防火墙需要
使用到 双机热备技术
双机 --- 目前防火墙的双机热备技术仅支持两台设备
热备 --- 两台设备同时运行,在一台设备出现故障的情况下,另一台设备可以 立即替代
原设备。
VRRP技术
虚拟路由器冗余协议 --- “实的不行来虚的”
Initialize --- 在VRRP中,如果一个接口出现故障之后,则这个接口将进入到该过渡状态
VRRP备份组之间是相互独立的,当一台设备上出现多个VRRP组时,他们之间的状态无法
同步。
VGMP ----
VRRP Group Management Protocol
华为私有协议 --- 这个协议就是将一台设备上的多个VRRP组看成一个组,之后统一进行
管理,统一切换的协议。以此来保证VRRP组状态的一致性。
接口故障切换场景
在防火墙的双机热备中,我们不论时VRRP组还是VGMP组,主备的叫法发生了变化,主
统一被称为Active,备被称为Standby
安全防御第四次(笔记整理)_第24张图片
1,假设主设备的下联口发生故障,则这个接口的vrrp状态将由原来的Active状态切换为
initialize状态。(这种情况下,按照VRRP自己的机制,主设备将无法发送周期保活报文,
则备设备在超过超时时间后将切换为主的状态。但是,因为这里启用VGMP在,则VRRP
切换状态将由VGMP接管,VRRP的机制名存实亡。)
2,VGMP组发现VRRP组出现变化,将降低自身的优先级。(说明,在VGMP组中,也
存在优先级的概念。一开始,每台设备中都会存在两个VGMP组,一个叫做Active组,
另一个叫做Standby组。Active组初始的默认优先级为65001,Standby组初始的默认
优先级为65000(不同版本的防火墙,这个优先级的定义不同)。一开始,我们FW1将
两个VRRP组都拉入VGMP_ACTIVE组中,因为ACTIVE组的状态时active,所以,里面
两个vrrp组的状态也是active(VGMP组的状态决定了VRRP组的状态),FW2同理。当
一个VRRP组的状态变为initialize,则VGMP则的优先级-2。)之后,原主设备会发送一
个VGMP请求报文给对端,里面包含了自己当前变化后的优先级。
3,当原备设备接收到请求报文后,看到里面的优先级时64999,而低于自身的65000,
则会将自己的VGMP_STANDBY组的状态由原来的standby切换为active。同时,发送
一个同意请求报文给原主设备。
4,原主设备接收到对方的应答报文之后,将会把自身VGMP_ACTIVE组的状态由原来的
ACTIVE切换为STANDBY。
5,在原备设备发送应答报文的同时,因为其VGMP组的状态切换,所以,其内部的
VRRP组状态也将由原来的standby转换为avtive。原主设备在接受到对方的应答报文之
后,因为将其VGMP组状态切换,所以,同时将其内部的VRRP组状态由原来的active状
态切换为standby状态(注意,故障接口依旧保持init的状态。)
6,原备设备会通过接口向上下联链路发送免费ARP报文,切换交换机的MAC地址表。
流量将被切换到原被设备上。
HRP --- Huawei Redundancy Protocol --- 华为冗余协议
这是一款华为的私有协议 --- 备份配置信息和状态信息。
HRP备份有一个前提,就是两台设备之间必须专门连一根用于备份的线路,这跟线路我
们称为心跳线(广义上,任何两台设备之间的链路都可以叫做心跳线)
心跳线的接口必须是一个三层接口,需要配置对应的IP地址。这条备份数据的链路不受
路由策略限制(直连场景。非直连场景依然需要配置安全策略。)
HRP协议本身算是VGMP协议的一部分
HRP的心跳线也会传递心跳报文,用于检测对端是否处于工作状态。这个周期时间默认
1s,逻辑和vrrp一样,只有主设备会周期发送,备设备仅监听即可,如果在三个周期
内,都没有收到HRP的心跳报文,则将认定原主设备故障,则将进行失效判断,认定自
身为主。
VGMP的报文也是通过这条心跳线发送的。
配置信息 --- 策略,对象,网络里面的一些配置都属于配置信息。(接口IP地址,路由
之类的不同步,因为这些是需要在双机组建之前配置的)
安全防御第四次(笔记整理)_第25张图片
状态信息 --- 会话表,server-map,黑名单,白名单。。。
安全防御第四次(笔记整理)_第26张图片
第一种备份方式 --- 自动备份
默认开启自动备份,可以实时备份配置信息。但是,自动备份不能立即同步状态信息。
一般是在主设备上状态生成后一段时间(10s左右)同步到备设备上。
Hrp standby config enable --- 这个命令可以让备设备上的配置同步到主设备上。
第二种备份方式 --- 手工备份
由管理员手工触发,可以立即同步配置信息以及状态信息。
第三种备份方式 --- 快速备份
该模式仅使用在 负载分担 的工作方式下。
因为负载分担的场景下,两台设备都需要处于工作状态,为了避免因为状态信息同步不
及时,导致业务流量中断,所以,该场景下,默认开启快速备份。
快速备份可以实时同步状态信息。但是,该方式不同步配置信息。
各场景过程分析
1,主备形成场景
安全防御第四次(笔记整理)_第27张图片
2,主备模式下,接口故障切换场景
安全防御第四次(笔记整理)_第28张图片
安全防御第四次(笔记整理)_第29张图片
3,主备场景,主设备故障切换 ---
主故障之后,将无法周期发送HRP心跳报文,则备设备监
听超时,进行设备状态的切换。
4,主备场景,主设备接口故障恢复切换
没有开启抢占 --- 没有抢占则原主设备保持备份状态。
开启抢占
安全防御第四次(笔记整理)_第30张图片
安全防御第四次(笔记整理)_第31张图片
安全防御第四次(笔记整理)_第32张图片

你可能感兴趣的:(安全,笔记,网络)