防火墙双机热备（主备模式） · 修改记录

 @@ -0,0 +1,128 @@
+---
+tags: [防火墙, 双机热备, HRP, VRRP, 高可用]
+order: 180
+---
+
+# 防火墙双机热备（主备模式）
+
+## 场景
+
+单台防火墙是单点。主备双机热备是最常见的做法：两台一样配置，一台 active 一台 standby，主挂了备自动接管，会话不同步也不丢太多。
+
+这篇讲主备模式（active/standby），不涉及负载分担（active/active），后者配置复杂度高一个量级。
+
+## 前置条件
+
+- 两台同型号、**同版本固件**（版本不一致会导致同步失败）
+- 每台至少 3 个口：外网、内网、心跳（心跳口直连，不经过交换机）
+- 心跳口地址规划好：主 `10.0.0.1/24`，备 `10.0.0.2/24`
+- 业务口的虚拟网关地址定好（例：`192.168.10.254`）
+- 两台先各自配好基础配置并**验证单机能通**
+
+## 配置
+
+**第一步：两台各自配好基础配置**
+
+按 [防火墙上线配置（区域与策略）](防火墙上线配置（区域与策略）.md) 那篇，把接口、区域、路由、策略、NAT 全部配好。**先让单机能正常上网，再做热备。** 基础没通就上热备，问题会翻倍。
+
+**第二步：配心跳口**
+
+主（FW-A）：
+
+```bash
+interface GigabitEthernet1/0/0
+ ip address 10.0.0.1 255.255.255.0
+ quit
+firewall zone dmz
+ add interface GigabitEthernet1/0/0
+ quit
+```
+
+备（FW-B）：
+
+```bash
+interface GigabitEthernet1/0/0
+ ip address 10.0.0.2 255.255.255.0
+ quit
+firewall zone dmz
+ add interface GigabitEthernet1/0/0
+ quit
+```
+
+**第三步：启用 HRP（在主机上配）**
+
+```bash
+hrp interface GigabitEthernet1/0/0 remote 10.0.0.2
+hrp enable
+hrp mirror session enable
+```
+
+`hrp enable` 之后配置会从主同步到备，所以**备机上不要手动改配置**。
+
+**第四步：业务口配 VRRP**
+
+内网口（主）：
+
+```bash
+interface GigabitEthernet1/0/2
+ vrrp vrid 1 virtual-ip 192.168.10.254 active
+ quit
+```
+
+外网口（主）：
+
+```bash
+interface GigabitEthernet1/0/1
+ vrrp vrid 2 virtual-ip 1.2.3.6 active
+ quit
+```
+
+**备机上同样的 VRRP 会自动同步过去**，状态是 standby。内网电脑的网关填 `192.168.10.254`。
+
+## 验证
+
+```bash
+display hrp state                  # 主是 active，备是 standby
+display hrp interface              # 心跳口状态
+display hrp configuration          # 同步状态、最后一次同步时间
+display vrrp                       # 业务口 VRRP 角色
+```
+
+关键三项：**HRP 状态、VRRP 角色、配置同步时间**。
+
+切换测试（在维护窗口做）：
+
+```bash
+# 在主机上手动切主备
+hrp switch standby
+display hrp state                  # 确认备机变成 active
+```
+
+切过去后从内网连续 ping 外网，看丢几个包（正常 1～3 个）。
+
+## 回滚
+
+```bash
+undo hrp enable
+undo hrp interface GigabitEthernet1/0/0
+interface GigabitEthernet1/0/2
+ undo vrrp vrid 1
+ quit
+```
+
+两台各自变回独立设备，按单机方式工作。
+
+## 坑
+
+!!! note "先单机通，再上热备"
+    双机热备会把「配置不一致」和「配置本身有问题」混在一起。
+    单机都不通的时候上热备，你会花两倍时间也找不到原因。
+
+- 两台**必须同版本**。差一个小版本就可能同步失败，现象是备机配置一直不更新。
+- 心跳口要直连，**不能走业务交换机**。走交换机的话交换机一抖，两台同时认为对方挂了，容易双主。
+- 双主是灾难：两个 active 同时发 ARP、抢地址。出现双主立刻断开其中一台的心跳线，先恢复单机。
+- `hrp mirror session enable` 是会话同步，不打开的话主备切换所有连接都会断（不只是新连接）。
+- 备机的接口也要插线并 up，否则切换时链路要重新协商，丢包更多。
+- 策略、NAT、路由都是同步的，但**证书、License、自定义特征库**可能不同步，要单独确认。
+- 升级固件要两台一起升，先备后主，中间会有一次切换。
+- `display hrp configuration` 里看到 `Configuration synchronization: disabled` 就说明主备没建立起来，先查心跳口和 `hrp interface` 配置。