华为防火墙-配置VGMP组监控OSPF邻居状态

FW业务接口工作在三层、连接路由器,FW和路由器之间运行OSPF协议时,通过配置VGMP组监控OSPF邻居状态,可以快速检测网络中OSPF路由故障,触发主备状态切换。

前提条件

  1. 完成业务接口的配置,包括接口IP地址和加入安全区域的配置。
  2. FW和上下行路由器上配置OSPF,保证网络连通。
  3. 配置安全策略,允许流量正常通过设备。

背景信息

FW业务接口工作在三层、连接路由器、FW和路由器之间运行OSPF协议的双机热备份组网环境下,为了让FW能感知OSPF路由故障,及时触发双机倒换,请在主用设备和备用设备上分别配置VGMP组监控OSPF邻居状态功能。为加快双机切换的触发,减少对业务的影响,建议同时配置BFD与OSPF联动,通过BFD对链路故障的快速感应进而通知OSPF协议,加快OSPF协议对于网络拓扑变化的响应。

配置VGMP组监控OSPF邻居状态后,当主用设备的OSPF邻居状态从Full切换为非Full时,VGMP组的优先级降低2,触发双机切换。当OSPF邻居状态从非Full切换为Full时,VGMP组的优先级增加2。考虑到网络中的闪断会导致OSPF邻居关系震荡,而每一次邻居关系变化都会触发FW双机切换,为避免双机反复切换,建议执行命令undo hrp preempt关闭抢占功能。

华为防火墙-配置VGMP组监控OSPF邻居状态

在广播网络中,两个接口状态是DROther的路由器不形成邻接关系,状态停留在2-way,而FW监控OSPF邻居状态为非Full(含2-way)时都将触发双机切换,因此当FW连接邻居的接口状态是DROther时,则监控的邻居路由器不能为DROther。

VGMP组监控OSPF邻居状态功能仅在非镜像模式下支持,镜像模式下不支持。

操作步骤

  1. 执行命令system-view,进入系统视图。
  2. 可选:执行命令hrp track ospf first-check-delay delay-minutes,配置VGMP组监控OSPF邻居状态的延后生效时间。 

    考虑到网络部署或调整时,OSPF邻接关系建立需要一定时间,为避免OSPF邻接关系还未建立就引发双机切换,则可以通过该命令调整VGMP组监控OSPF邻居状态的延后生效时间。即,这段时间内,OSPF邻居状态变化不会引发VGMP组优先级调整。

    缺省情况下,VGMP组监控OSPF邻居状态的延后生效时间是10分钟。

     

  3. 执行命令hrp track ospf interface interface-type interface-number [ peer peer-address ],配置VGMP组监控OSPF邻居状态。 

    在多路访问网络比如以太网中,可能存在一个接口连接多个同网段的路由器,此时,如果仅需要监控某一个具体OSPF邻居,则需要通过peer参数指定该邻居IP地址。否则,无需配置peer参数。

上一篇 鸿蒙PC和App:都在走向 System
下一篇 vcenter扩容log_vg