CN103227725B - 一种防火墙双机备份的方法及装置 - Google Patents

Abstract

一种实现防火墙设备双机备份的方法以及装置，其中，该方法及装置应用于防火墙备份系统的任一防火墙设备，该防火墙备份系统由两台作为二层设备的防火墙设备通过备份链路连接构成；其中该方法包括：按照预设的通告周期，发送本设备的设备状态以及设备优先级等级至对端防火墙设备；接收对端防火墙设备按照预设的通告周期发送的设备状态以及设备优先级等级；确定本设备与对端防火墙设备的设备状态均为初始状态且本设备的设备优先级等级高于对端防火墙设备的设备优先级等级，则将本设备的设备状态设置成主设备状态且将本设备的业务接口设置成UP状态。

Description

一种防火墙双机备份的方法及装置

技术领域

本发明涉及通信技术领域，具体的讲是一种防火墙备份方法及系统。

背景技术

随着用户对网络可靠性需求的增加，保证网络的不间断传输已成为一个必须解决的问题。特别是，作为网络重要业务的入口或接入点的设备(如连接内网与英特网Internet的防火墙设备、银行数据服务器等设备)，更需要确保其不间断运行。但是，无论这些设备的可靠性多高，一旦仅使用一台设备作为入口或接入点，在该设备故障的状态下都可能将业务的危险引入网络。

如图1所示为，当作为将内网接入Internet的防火墙设备发生故障，内网中的主机A与主机B将无法访问Internet，同样来自Internet的其他主机也无法访问内网。

为解决图1所示网络架构中单防火墙可能导致的业务中断，如图2所示的已有网络架构中引入了双机热备机制，即在使能了双机热备功能的防火墙设备A与防火墙设备B分别建立备份链路，这两台防火墙设备为三层设备。当一防火墙设备故障后，该故障防火墙设备处理的业务流量切换到另一防火墙设备。

在图3所示的网络架构中，如果使能了双机热备功能的防火墙设备A与防火墙设备B为二层设备，则可能存在图3中虚线所示的二层环路，即Internet由大量设备组成，是一个网络泛称。通常，防火墙设备部署在内网(企业网)出口位置，直接与Internet相连(即运营商侧接入设备相连，通常运营商侧接入设备是路由器)。内网同样是一个网络，一般通过交换机或路由器连接防火墙设备。在防火墙设备为二层设备时，内网连接防火墙的交换机或路由器与运营商侧的路由器直接形成环路。因而，图3所示网络中的两台防火墙设备需要运行生成树协议(STP，Spanning Tree Protocol)，以切断两个链路中的一个链路。但是，STP协议的收敛时间比较长，图3中防火墙设备A与防火墙设备B执行主备倒换后，有可能产生临时环路。

发明内容

本发明的目的在于提供一种防火墙设备的备份方法和系统，使两台作为二层设备的防火墙设备在不支持STP协议的状态下，亦可以备份。

为实现上述目的，本发明提供了一种实现防火墙设备双机备份的方法，应用于防火墙备份系统的任一防火墙设备，且该防火墙备份系统由两台作为二层设备的防火墙设备通过备份链路连接构成，其特征在于，该方法包括：按照预设的通告周期发送本设备的设备状态以及设备优先级等级至对端防火墙设备；接收对端防火墙设备按照预设的通告周期发送的设备状态以及设备优先级等级；确定本设备与对端防火墙设备的设备状态均为初始状态且本设备的设备优先级等级高于对端防火墙设备的设备优先级等级，则将本设备的设备状态设置成主设备状态且将本设备的业务接口设置成UP状态。

为实现上述目的，本发明还提供了一种实现防火墙设备双机备份的装置，应用于防火墙备份系统的任一防火墙设备，该防火墙备份系统由两台作为二层设备的防火墙设备通过备份链路连接构成，其特征在于，该装置包括：发送单元，用于按照预设的通告周期，发送本设备的设备状态以及设备优先级等级至对端防火墙设备；接收单元，用于接收对端防火墙设备按照预设的通告周期发送的设备状态以及设备优先级等级；控制单元，用于确定本设备与对端防火墙设备的设备状态均为初始状态且本设备的设备优先级等级高于对端防火墙设备的设备优先级等级，则将本设备的设备状态设置成主设备状态且将本设备的业务接口设置成UP状态。

本发明有益效果在于，通过新机制，确保了防火墙前后的设备即使不支持STP协议(如路由器等)依然可以部署防火墙透明模式双机热备组网。

附图说明

图1所示为已有网络架构中采用防火墙设备的示意图；

图2所示为已有网络架构中采用作为三层设备的两台防火墙设备实现双机热备的网络架构示意图；

图3所示为已有网络架构中采用作为二层设备的两台防火墙设备实现双机热备的网络架构示意图；

图4所示为本发明一实施例提供的实现两台防火墙设备实现双机备份的方法的流程图；

图5A和图5B所示为本发明另一实施例提供的采用作为二层设备的两台防火墙设备实现双机备份的网络架构示意图；

图6所示为本发明实施例提供的能够作为二层设备实现双机备份的防火墙设备的结构示意图。

具体实施方式

为使本发明的目的、技术方案、及优点更加清楚明白，以下参照附图并举实施例，对本发明进一步详细说明。

实施例一

图4所示为本发明实施例提供的一种实现防火墙设备的备份方法的流程图，该方法应用于防火墙备份系统的任一防火墙设备，该防火墙备份系统由两台作为二层设备的防火墙设备通过备份链路连接构成。

如图4所示，该方法包括以下步骤：

步骤401，防火墙设备按照预设的通告周期，将本设备的设备状态以及设备优先级等级发送至对端防火墙设备；

步骤402，防火墙设备接收对端防火墙设备按照预设的通告周期发送的设备状态以及设备优先级等级；

步骤403，防火墙设备确定本设备与对端防火墙设备的设备状态均为初始状态且本设备的设备优先级等级高于对端防火墙设备的设备优先级等级，则将本设备的设备状态设置成主设备状态且将本设备的业务接口设置成UP状态。

本实施例的有益效果在于，通过新机制，确保了防火墙前后的设备即使不支持STP协议(如路由器等)依然可以部署防火墙透明模式双机热备组网(即，利用作为二层设备的两台防火墙设备构成的双机备份系统)。

实施例二

图5A所示为本发明另一实施例提供的采用作为二层设备的两台防火墙设备511与512实现双机备份的网络架构示意图，这两台防火墙设备通过备份链路相连。本实施例中，防火墙设备511连接备份链路的备份接口的MAC地址为MAC511(图5未示)，防火墙设备512连接备份链路的备份接口的MAC地址为MAC512(图5未示)。

在图5A中，在防火墙设备511与512使能双机热备之前，在两台防火墙设备上配置关键属性项，用于实现防火墙双机备份。这些属性项至少包括，设备优先级、最大会话数目、最大内存占用率、通告报文占用率、通告报文重发次数，设备状态等等。

本实施例通过表1对这些属性项的意义进行简要说明：

本领域技术人员可对本实施例中，防火墙设备上的“设备状态”属性项的内容根据设备上的不同参数值进行变化，在防火墙设备上使用其他参数值表示与表1各属性项参数值相同的意义。

当两台防火墙设备511与512使能双机热备后，这两台防火墙设备均通过备份接口及其连接的备份链路向对端设备发送双机倒换协议的通告报文。该双机倒换协议通告报文至少包含以下属性项，设备优先级、设备状态、备份接口MAC地址以及通告报文序列号。

本实施例通过表2，简要说明该双机倒换协议通告报文携带的上述部分属性项的意义：

假设在本实施例中，防火墙设备511首次发送双机倒换协议通告报文。该通告报文携带的设备优先级的参数值为5、设备状态的参数值为0，备份接口MAC地址MAC511、通告报文序列号为0。防火墙设备512首次发送双机倒换协议通告报文，其中，通告报文携带的设备优先级的参数值为1、设备状态的参数值为0，备份接口MAC地址MAC512、通告报文序列号为0。

防火墙设备511与512分别收到来自对端的双机倒换协议通告报文。防火墙设备511确定本设备与对端防火墙设备512均处于设备初始状态，且本设备的“设备优先级”高于对端防火墙设备512的“设备优先级”，则防火墙设备511将本设备上所有接口设置为up状态，并根据协商结果生成的动态参数“0”，表示本设备在双机备份系统的角色为主设备。

防火墙设备512确定本设备与对端防火墙设备511均处于设备初始状态“MASTER”，且本设备的“设备优先级”低于对端防火墙设备511的“设备优先级”，则防火墙设备511将本设备上备份接口、管理接口以外的用于转发业务流量转发的业务接口均切换到down状态，并根据协商结果生成动态参数“1”，表示本设备在双机备份系统的角色为主设备。

如图5A所示，防火墙设备512的上行接口(接入Internet的链路所连接口)和下行接口(接入内网的链路所连接口)均为业务接口，因而被设置为down状态，从而在不运行STP协议的前提下，亦能避免环路的产生。

在上述防火墙设备511与512首次发送通告报文进行协商的过程中，如果两台防火墙设备首次发送的双机倒换协议通告报文中“设备优先级”的参数值相同，则防火墙设备511与防火墙设备512可以进一步比较两台设备的备份接口MAC地址，以进行协商。假设，防火墙设备511确定MAC511大于MAC512，则将本设备上所有接口设置为正常(up)状态，并根据协商结果生成设备状态的参数值“0”，表示本设备是双机备份系统的主设备。防火墙设备512确定MAC512小于MAC511，则将本设备上备份接口、管理接口以外的用于转发业务流量转发的业务接口均切换到关闭(down)状态并根据协商结果生成设备状态的参数值“1”，表示本设备是双机备份系统的从设备。

本领域技术人员可对上述实施例进行变化，譬如，两台防火墙设备判断两台设备优先级参数相同，在比较备份接口地址时，可以依据备份接口地址小于对端防火墙设备，将所有接口设置为正常(up)状态。

在图5A所示实例中，防火墙设备511与防火墙设备512按照“发送通告报文周期”，定期发送双机倒换协议通告报文。

本实施例还提供了多种双机倒换机制，防火墙双机热备组网可以根据设备的内存或会话等预警值进行主动切换，而避免等待设备出现异常后被动切换，影响业务流量转发。

作为主设备的防火墙设备511检测到该设备的当前的会话连接数目达到本设备预设的最大会话数目，防火墙设备511通过备份链路发送双机倒换协议通告报文，该通告报文包含设备优先级、设备状态、备份接口MAC地址、通告报文序列号等属性项，其中，设备优先级参数值为“0”，主动通知对端防火墙设备512进行双机倒换；并生成设备状态的参数值“1”，表示本设备是双机备份系统的从设备。防火墙设备511会同时将备份接口、管理接口以外的参与业务流量转发切换到关闭(down)状态，如图5B所示。

防火墙设备512收到来自防火墙设备511的双机倒换协议通告报文后，根据该报文的通告报文序列号确定是对端防火墙设备511最新发送的通告报文，则根据该通告报文生成设备状态参数值“0”，表示本设备是双机备份系统的主设备。防火墙设备512上备份接口、管理接口一直处于正常(UP)状态，防火墙设备512只需将本设备上参与业务流量转发的业务接口切换至UP状态。进一步地，防火墙设备512确定本设备上业务接口包括shutdown状态的业务接口和/或连接故障链路的业务接口，则不将这类业务接口切换至UP状态。或者，作为主设备的防火墙设备511检测到该设备的当前内存占用率达到预设设备最大内存占有率，防火墙设备511发送双机倒换协议通告报文，以通知对端防火墙设备512进行双机倒换。防火墙设备511会同时将备份接口、管理接口以外的参与业务流量转发切换到关闭(down)状态。防火墙设备512收到来自防火墙设备511的双机倒换协议通告报文后，防火墙设备511与512执行双机倒换的过程与上述倒换方式基本相同，本实施例不再重复叙述。

进一步地，当双机备份系统中的主设备上参与转发的业务接口的状态为down，该主设备主动发送双机倒换协议通告给对端防火墙设备，执行双机倒换，该双机倒换处理过程与上述方式基本相同，本实施例不再重复叙述。

进一步地，当作为主设备的防火墙设备511而异常无法发送双机倒换协议通告报文通知防火墙设备512的状态下，防火墙设备512可自行发起倒换操作。

为了防止偶然因素(如备份链路闪断导致的通告报文丢包等因素)导致误判，本实施例中防火墙设备512在未收到对端发送的双机倒换通告报文前，防火墙设备512继续按照通告报文发送周期向对端防火墙设备511发送双机倒换协议通告报文，直到本设备发送通告报文的次数已达到预设的通告报文重发次数，则防火墙设备512主动发起双机倒换操作。防火墙设备512可通过计时的方式触发双机倒换，即防火墙设备512对未收到对端通告报文的时间进行计时，当计时时间等于通告报文重发次数”与“通告报文发送周期的乘积，则判定满足触发条件，执行双机倒换。

防火墙设备512生成设备状态的参数值“0”，表示本设备是双机备份系统的主设备。由于，防火墙设备512上备份接口、管理接口一直处于正常(UP)状态，防火墙设备512只需将本设备上参与业务流量转发的业务接口切换至UP状态。进一步地，防火墙设备512确定本设备上业务接口包括shutdown状态的业务接口和连接故障链路的业务接口，则不将这类业务接口切换至UP状态。

防火墙设备512将本设备倒换为主设备后，继续周期性发送双机倒换协议通告报文，其中设备状态的参数值是重设的表示主设备状态的“0”。

防火墙设备511因异常重启后，收到对端防火墙设备512的通告报文后，不再与对端协商，直到本实施例揭示的上述双机倒换的触发条件满足后，两台设备执行双机倒换处理；或者防火墙设备511因异常重启后，与对端防火墙设备512重新协商，该协商方式与两设备首次协商的方式相同，不再重复描述。

图6所示为本发明实施例提供的能够作为二层设备实现双机备份的防火墙设备的结构示意图，该防火墙设备设置有实现防火墙设备双机备份的装置，该装置包括：

发送单元601，用于按照预设的通告周期，通过双机倒换协议通告报文发送至少将本设备的设备状态以及设备优先级等级至对端防火墙设备；

接收单元602，用于接收对端防火墙设备按照预设的通告周期，通过双机倒换协议通告报文发送的设备状态以及设备优先级等级；

控制单元603，用于确定本设备与对端防火墙设备的设备状态均为初始状态且本设备的设备优先级等级高于对端防火墙设备的设备优先级等级，则将本设备的设备状态设置成主设备状态且将本设备的业务接口设置成UP状态；控制单元603，还用于确定本设备与对端防火墙设备的设备状态均为初始状态且本设备的设备优先级等级低于对端防火墙设备的设备优先级等级，则将本设备的设备状态设置成从设备状态且将本设备的业务接口状态设置成down状态。

控制单元603确定本设备与对端防火墙设备的设备状态均为初始状态且本设备的设备优先级等级与对端防火墙设备的设备优先级等级相同，则控制单元603将本设备的备份接口地址与对端防火墙设备的备份接口地址进行比较，若大于对端防火墙设备的备份接口地址，则将本设备的设备状态设置成主设备状态且将本设备的业务接口设置成UP状态；若小于对端防火墙设备的备份接口地址，则将本设备的设备状态设置成从设备状态且将本设备的业务接口设置成down状态。

如图6所示，该装置单元还进一步包括检测单元604，用于检测本设备的当前的会话连接数以及本设备当前的内存占用率。

控制单元603，确定本设备的当前的会话连接数达到预设的会话数目最大值或者确定本设备当前的内存占用率达到预设的内存占用率最大值，则将本设备的设备状态设置成从设备状态；同时，发送单元604通过双机倒换协议通告报文来通知对端防火墙设备切换到主设备状态。

控制单元603确定本设备的设备状态为从设备状态且预设时间内未收到对端防火墙设备周期性发送的包含设备状态以及设备优先级等级的双机倒换协议通告报文，则将本设备的设备状态重设成主设备状态；发送单元601继续按照通告周期，通过双机倒换协议通告报文将本设备的以及设备优先级等级发送至对端防火墙设备，但是通告的设备状态为重设的主设备状态。

以上所述仅为本发明示意性的具体实施方式，并非用以限定本发明的范围。任何本领域的技术人员，在不脱离本发明的构思和原则的前提下所作出的等同变化与修改，均应属于本发明保护的范围。

Claims (10)

1.一种实现防火墙设备双机备份的方法，应用于防火墙备份系统的任一防火墙设备，且该防火墙备份系统由两台作为二层设备的防火墙设备通过备份链路连接构成，其特征在于，所述方法包括：

按照预设的通告周期发送本设备的设备状态以及设备优先级等级至对端防火墙设备；

接收对端防火墙设备按照预设的通告周期发送的设备状态以及设备优先级等级；

确定本设备与对端防火墙设备的设备状态均为初始状态且本设备的设备优先级等级高于对端防火墙设备的设备优先级等级，则将本设备的设备状态设置成主设备状态且将本设备的业务接口设置成UP状态；

确定本设备与对端防火墙设备的设备状态均为初始状态且本设备的设备优先级等级低于对端防火墙设备的设备优先级等级，则将本设备的设备状态设置成从设备状态且将本设备的业务接口状态设置成down状态。

2.根据权利要求1所述的方法，其特征在于，所述方法还进一步包括：

确定本设备与对端防火墙设备的设备状态均为初始状态且本设备的设备优先级等级与对端防火墙设备的设备优先级等级相同，则将本设备的备份接口地址与对端防火墙设备的备份接口地址进行比较；

确定本设备的备份接口地址大于对端防火墙设备的备份接口地址，则将本设备的设备状态设置成主设备状态且将本设备的业务接口设置成UP状态；确定本设备的备份接口地址小于对端防火墙设备的备份接口地址，则将本设备的设备状态设置成从设备状态且将本设备的业务接口设置成down状态。

3.根据权利要求1所述的方法，其特征在于，所述方法进一步包括:

检测本设备的当前的会话连接数；

确定本设备的当前的会话连接数达到预设的会话数目最大值，则将本设备的设备状态设置成从设备状态且通知对端防火墙设备切换到主设备状态。

4.根据权利要求1所述的方法，其特征在于，所述方法进一步包括:

检测本设备当前的内存占用率；

确定本设备当前的内存占用率达到预设的内存占用率最大值，则将本设备的设备状态设置成从设备状态且通知对端防火墙设备切换到主设备状态。

5.根据权利要求1或2所述的方法，其特征在于，所述方法进一步包括:

确定预设时间内未收到对端防火墙设备发送的设备状态以及设备优先级等级，则将本设备的设备状态重设成主设备状态且按照所述通告周期将重设的设备状态以及设备优先级等级发送至对端防火墙设备。

6.一种实现防火墙设备双机备份的装置，应用于防火墙备份系统的任一防火墙设备，该防火墙备份系统由两台作为二层设备的防火墙设备通过备份链路连接构成，其特征在于，所述装置包括：

发送单元，用于按照预设的通告周期，发送本设备的设备状态以及设备优先级等级至对端防火墙设备；

接收单元，用于接收对端防火墙设备按照预设的通告周期发送的设备状态以及设备优先级等级；

控制单元，用于确定本设备与对端防火墙设备的设备状态均为初始状态且本设备的设备优先级等级高于对端防火墙设备的设备优先级等级，则将本设备的设备状态设置成主设备状态且将本设备的业务接口设置成UP状态；

所述控制单元，还用于确定本设备与对端防火墙设备的设备状态均为初始状态且本设备的设备优先级等级低于对端防火墙设备的设备优先级等级，则将本设备的设备状态设置成从设备状态且将本设备的业务接口状态设置成down状态。

7.根据权利要求6所述的装置，其特征在于，

所述控制单元，还用于确定本设备与对端防火墙设备的设备状态均为初始状态且本设备的设备优先级等级与对端防火墙设备的设备优先级等级相同，则将本设备的备份接口地址与对端防火墙设备的备份接口地址进行比较，若本设备的备份接口地址大于对端防火墙设备的备份接口地址，则将本设备的设备状态设置成主设备状态且将本设备的业务接口设置成UP状态；若本设备的备份接口地址小于对端防火墙设备的备份接口地址，则将本设备的设备状态设置成从设备状态且将本设备的业务接口设置成down状态。

8.根据权利要求6所述的装置，其特征在于，所述装置还进一步包括检测单元，用于检测本设备的当前的会话连接数；

所述控制单元，还用于确定本设备的当前的会话连接数达到预设的会话数目最大值，则将本设备的设备状态设置成从设备状态；

所述发送单元，还用于通知对端防火墙设备切换到主设备状态。

9.根据权利要求8所述的装置，其特征在于，

所述检测单元，还用于检测本设备当前的内存占用率；

所述控制单元，还用于确定本设备当前的内存占用率达到预设的内存占用率最大值，则将本设备的设备状态设置成从设备状态；

所述发送单元，还用于通知对端防火墙设备切换到主设备状态。

10.根据权利要求6或7所述的装置，其特征在于，

所述控制单元，还用于确定预设时间内未收到对端防火墙设备发送的设备状态以及设备优先级等级，则将本设备的设备状态重设成主设备状态；

所述发送单元，还用于按照所述通告周期将重设的设备状态以及设备优先级等级发送至对端防火墙设备。