如何利用山石防火墙做高可靠的组网？

在一个部署了防火墙产品的重要网络中，防火墙设备一旦出现故障，必然会影响网络的安全运营，所以很多用户在购买防火墙的时候，都会根据自己网络情况认真考虑是采用单台设备组网，还是采用冗余备份的方式。但是，这真的可靠吗？

单双机部署均存在难以破解的故障

网络中部署单台防火墙设备时，无论其可靠性多高，系统都必然要承受因单点故障而导致网络业务中断的风险，而且部署在互联网出口的防火墙一般要使用网络地址转换（NAT）功能，因此无法使用Bypass来解决单点故障。

当双机部署时，单点故障问题可通过双活架构组网来规避，但防火墙是状态检测设备，如果仍是单机模式，会出现单台设备故障时，靠路由冗余切换过来的TCP流无法通过状态检测而中断。即使防火墙关闭状态检测，对于需要网络地址转换的流，由于没有NAT会话同步，也会导致中断，而且流的后续报文可能缺少应用特征关键字，导致流量应用类型识别不准，所以这些是网络管理员需要直接面对的难题。

怎样组建高度可靠的安全网络

山石网科防火墙提供了三种高可靠组网工作模式：AP模式、AA模式、对等模式。AP和AA模式都是两台防火墙通过山石网科集群管理协议建立互相备份关系（山石网科集群管理协议的基本原理请参考官网），而对等模式则是两台防火墙依赖组网中的路由冗余建立互相备份关系。

AP模式

两台设备（工作在透明模式或者路由模式）配置成一个“HA组”，一台作为主设备，另一台作为备份设备。主设备处于活动状态，转发报文，同时将其所有网络和配置信息以及当前会话信息传递给备份设备。当主设备出现设备或链路故障时，备份设备接替主设备工作，转发报文。这种主备模式具有较强冗余性，而且其网络结构简单，便于维护管理。

AA模式

两台设备（工作在透明模式或者路由模式）配置成两个“HA组”，一台在HA组1中作为主设备，在HA组0中作为备份设备；另一台在HA组1中作为备份设备，在HA组0中作为主设备。两台设备同时运行各自的工作，且相互监测对方的情况。当其中一台设备发生设备或链路故障时，另外一台设备运行其自身的工作并且接管故障设备的工作，以保证工作不间断。这种双主模式具有高性能以及负载均衡的优点。

图5 山石网科防火墙AA模式部署

对等模式

对等模式是山石网科为特殊组网场景考虑的解决方案。要求两台防火墙（工作在透明模式或者路由模式）部署在双活并且起了动态路由协议（如OSPF、BGP）的CE与PE之间，主要做访问控制和攻击防护，路由模式部署时一般还需要做网络地址转换。为了防止由于路由的冗余，会有非对称路由的问题出现：如下图所示，用户侧访问网络侧的流量走一台防火墙，而网络侧回用户侧的流量走了另一台防火墙。防火墙作为状态检测设备，无论是采用单机还是AP/AA模式部署，都会出现由于匹配不到会话，非对称流量无法通过状态检测而中断的问题，同时影响应用流量管理、入侵防御等多个功能。

图6非对称流量组网场景

为此山石网科给出如下解决方案：两台防火墙单机部署，不使用山石网科集群管理协议，但增加互相会话备份和流量转发通道。一台设备先收到一条流的报文，则建立本地会话，同时向另一台防火墙同步对端会话，当另一台防火墙收到这条流的后续报文时，匹配到对端会话，则将流量转发到建有本地会话的防火墙上处理。这样能够保证同一条流的所有流量都由同一台防火墙来处理，延续会话的一致性，同时使得应用流量管理、入侵防御等功能能够正常使用。

图7 山石网科防火墙对等模式部署

建议使用的应用场景

企业互联网出口，防火墙通常作为网关部署在企业的互联网出口，网络地址转换（NAT）是必须的功能。一般来说企业网络内网用户和服务数量不多，为便于维护，内网用户和服务都希望配置相同的网关地址，因此建议选择两台防火墙AP模式部署。

数据中心网络出口，防火墙通常不作为网关部署在企业数据中心的网络出口，但网络地址转换（NAT）是必须的功能。由于企业数据中心具有业务多、数据流量大的特点，一般网关交换机都选择VRRP负载分担模式，此时需要防火墙的高可靠部署方案具有处理非对称流量的能力，因此需要选择两台防火墙对等模式部署。

运营商网络出口，防火墙通常不作为网关部署在运营商的网络出口，但网络地址转换（NAT）同样是必须的功能。由于运营商的运营网络出口具有数据流量大、可靠性要求高的特点，也需要选择两台防火墙AP模式部署。