双机热备的原理与应用 1 概述 1 .1 产生背景 在当前的组网应用中，用户对网络可靠性的要求越来越高，对于一些重要的业务入口或接入点（比如企业的Internet 接入点、银行的数据库服务器等）如何保证网络的不间断传输，成为急需解决的一个问题。如图 1 所示，防火墙作为内外网的接入点，当设备出现故障便会导致内外网之间的网络业务的全部中断。在这种关键业务点上如果只使用一台设备的话，无论其可靠性多高，系统都必然要承受因单点故障而导致网络中断的风险。 图 1 单点设备组网图 于是，业界推出了传统备份组网方案来避免此风险，该方案在接入点部署多台设备形成备份，通过VRRP 或动态路由等机制进行链路切换，实现一台设备故障后流量自动切换到另一台正常工作的设备。 传统备份组网方案适用于接入点是路由器等转发设备的情况。因为经过设备的每 个报 文 都是查 找 转发表 进行转发，链路切换后，后续 报 文 的转发不受影 响 。但 是当接入点是状 态防火墙等设备时 ，由于状 态防火墙是基 于连 接状 态的，当用户发起 会话时 ，状 态防火墙只会对会话的首 包 进行检 查 ，如果首 包 允 许 通过则 会建 立 一个会话表 项 （表 项 里 包 括 源 IP、源 端 口、目 的IP、目 的端 口等信 息 ），只有 匹 配 该会话表 项 的后续 报 文 （包 括 返 回 报 文 ）才 能 够 通过防火墙。如果链路切换后，后续 报 文 找 不到正确 的表 项 ，会导致当前业务中断。 双机热备解决方案能够很好的解决这个问题。在链路切换前，对会话信息进行主备同步；在设备故障后能将流量切换到其他备份设备，由备份设备继续处理业务，从而保证了当前的会话不被中断。如图 2 所示，在接入点的位置部署两台防火墙，当其中一台防火墙发生故障时，数据流被引导到另一台防火墙上继续传输，因为在流量切换之前已经进行了数据同步，所以当前业务不会中断，从而提高了网络的稳定性及可靠性。 图 2 双机热备组网图 双机热备可以从两个层面去理解：一个是广义的双机热备，它是一种解决方案，用来解决网络中的单点故障问题，它通过数据同步和流量切换两个技术来实现；一个是狭义的双机热备，它是设备支持的一个功能模块（只实现了数据同步），可以使用对应的Web 页签来配置。本文描述的是广义的双机热备。 1 .2 技术优点 与传统备份组网方案相比较， 双机热备解决方案可以保证当...
