一、组网需求

为保证企业内部网络服务的连续性和安全强度，防止网络中由于单个网关产品的设备故障或链路故障导致网络中断，需要一条备用的线路来做备份。

二、配置思路

要实现双机热备功能就要将两台VPN设备通过心跳接口（可以设置为串口心跳或者以太网口心跳）连接起来，然后将两台设置为主从模式，主从设备之间进行心跳探测，“主”设备的状态为“working”，从设备的状态为“watch”。VPN系统工作时，如果“主”设备出现链路故障或硬件故障的时候，“从”设备就会接替 “主”设备，并且主、从VPN均会有报警声，这样提醒了管理员主设备出现了故障需要处理。但如果排除故障之后，“主”设备恢复正常状态，同时“从”设备需要手动重启，并恢复成“watch”状态，才能切换到“主”设备，警报声也随即停止。

三、相关名词简介

1、HA心跳接口：可通过命令参数set hbdev进行设置，可选择配置为serial串口或者ethX以太网口

2、被监控接口：配置IP并且插入网线的网络接口都是被监控的接口。

四、配置要点

配置HA主备的前提工作：

1、做主备HA的两台VPN设备需要型号相同、软件版本相同。

2、两台设备互联的心跳接口工作正常。

启用HA时的注意事项：

1、配置了IP的接口必须插入网线。

2、以太网HA机制工作时，备设备也能管理并保存配置。

3、正在运行的设备配置保存时，会自动将配置同步到主设备

HA配置后不生效后的排查点：

1、心跳接口是否正常。

2、配置了IP的接口是否插入的网线。

3、在HA命令行下清除HA日志，“rmlog”即可。

主备HA方式路由部署模式下的切换原理为：当备份设备发现需要进行主备切换时，根据自身端口地址向上、下游发送ARP更新报文（免费ARP包），以便上下游路由设备根据新的ARP表进行转发。

五、配置步骤简介

1、使用以交叉线将两台VPN设备的心跳口连接起来，确保线头完全插入

2、在HA的CLI界面下对主设备进行配置，配置身份为“master”。

[sadm@RG-WALL(HA)]# set mode

Current HA work mode:

Master

New HA work mode (0: Single; 1: Master; 2:Slave):

1 //设置为1，即master

Setup allowed heartbeat fail times and autosave success!

Please reboot system to effect!

[sadm@RG-WALL(HA)]#

3、设置监控接口

即是对配置的接口进行监控，如果该监控的接口down掉或者unlink，并且在一定时间内没恢复的话VPN设备的HA会进行切换工作。

[sadm@RG-WALL(HA)]# set link

Current monitor network links:

Network link to monitor (return means finish): eth3 //设置eth3口为监控接口

Network link to monitor (return means finish): eth4 //设置eth4口为监控接口

Network link to monitor (return means finish):

Setup network links to monitor and autosave success!

Please reboot system to effect!

[sadm@RG-WALL(HA)]#

4、设置心跳接口、监控接口探测间隔时

心跳线之间有探测机制，监控接口也有探测机制，可以使用“set interval”这个命令设置探测间隔时间（主从设备需要配置一样）

[sadm@RG-WALL(HA)]# set interval //进入探测间隔时间配置

Current check interval (seconds):

3

New check interval (seconds):

4 //设置探测时间间隔，手动配置“4s”

Setup check interval and autosave success!

Please reboot system to effect!

[sadm@RG-WALL(HA)]#

5、设置心跳线信息失败次数

心跳线间有探测机制，如果心跳线探测失败到达一定次数之后，设备主从身份会自动切换。（主从设备需要配置一样）

[sadm@RG-WALL(HA)]# set hbfails //进入心跳线失败次数配置

Current allowed heartbeat fail times:

3

New allowed heartbeat fail times:

2 //设置心跳线失败次数，手动配置“2s”

Setup allowed heartbeat fail times and autosave success!

Please reboot system to effect!

[sadm@RG-WALL(HA)]#

6、设置监控接口探测失败次数

VPN设备对监控接口有探测机制，如果监控接口unlink后探测失败到达一定次数之后，设备主从身份会自动切换。

[sadm@RG-WALL(HA)]# set linkfails //进入监控接口探测次数配置

Current allowed link fail times:

3

New allowed network link fail times:

2 //设置监控接口探测次数，手动配置“2”次

Setup allowed network link fail times and autosave success!

Please reboot system to effect!

[sadm@RG-WALL(HA)]#

7、设置主设备抢占功能

注:只有主设备配置HA抢占功能才能生效，从设备配置不会生效

如果使用HA抢占功能，那么当主设备故障恢复后，会自动把当前工作的从设备抢占过来，接替从设备的工作。（不建议启用此功能，因为主设备恢复后会造成网络二次中断）

如果不使用抢占功能，那么当主设备再次启动后如果检测到从设备正在工作，那么主设备会进入监听状态，直到从设备出现故障，主设备才会再次接管工作

[sadm@RG-WALL(HA)]# set preempt //进入抢占模式配置

Current preempt option (Only effective on master):

No

New preempt option (0: No; 1: Yes):

1 //设置抢占模式，即“Yes”

Setup master preempt option and autosave success!

Please reboot system to effect!

[sadm@RG-WALL(HA)]#

8、在HA的CLI界面下对从设备进行配置，配置身份为“slave”。

[sadm@RG-WALL(HA)]# set mode

Current HA work mode:

Master

New HA work mode (0: Single; 1: Master; 2:Slave):

2 //设置为2，即slave

Setup allowed heartbeat fail times and autosave success!

Please reboot system to effect!

[sadm@RG-WALL(HA)]#

9、设置监控接口

即是对配置的接口进行监控，如果该监控的接口down掉或者unlink，并且在一定时间内没恢复的话VPN设备的HA会进行切换工作。

[sadm@RG-WALL(HA)]# set link

Current monitor network links:

Network link to monitor (return means finish): eth3 //设置eth3口为监控接口

Network link to monitor (return means finish): eth4 //设置eth4口为监控接口

Network link to monitor (return means finish):

Setup network links to monitor and autosave success!

Please reboot system to effect!

[sadm@RG-WALL(HA)]#

10、设置心跳接口、监控接口探测间隔时

心跳线之间有探测机制，监控接口也有探测机制，可以使用“set interval”这个命令设置探测间隔时间（主从设备需要配置一样）

[sadm@RG-WALL(HA)]# set interval //进入探测间隔时间配置

Current check interval (seconds):

3

New check interval (seconds):

4 //设置探测时间间隔，手动配置“4s”

Setup check interval and autosave success!

Please reboot system to effect!

[sadm@RG-WALL(HA)]#

11、设置心跳线信息失败次数

心跳线间有探测机制，如果心跳线探测失败到达一定次数之后，设备主从身份会自动切换。（主从设备需要配置一样）

[sadm@RG-WALL(HA)]# set hbfails //进入心跳线失败次数配置

Current allowed heartbeat fail times:

3

New allowed heartbeat fail times:

2 //设置心跳线失败次数，手动配置“2s”

Setup allowed heartbeat fail times and autosave success!

Please reboot system to effect!

[sadm@RG-WALL(HA)]#

12、设置监控接口探测失败次数

VPN设备对监控接口有探测机制，如果监控接口unlink后探测失败到达一定次数之后，设备主从身份会自动切换。

[sadm@RG-WALL(HA)]# set linkfails //进入监控接口探测次数配置

Current allowed link fail times:

3

New allowed network link fail times:

2 //设置监控接口探测次数，手动配置“2”次

Setup allowed network link fail times and autosave success!

Please reboot system to effect!

[sadm@RG-WALL(HA)]#

六、验证效果

在双击热备正常工作的模式下

1） 拔掉主设备网线，从设备能正常检测到主设备网口状态，而接替其工作

2） 主设备网口恢复后，进入监听状态。

3） 主设备异常断电关机，从设备能正常检测到主设备异常，而接替其工作

4） 主设备重新启动后，能接替从设备

5） 切换过程中，双机热备报警声正常。

七、注意事项

HA配置完成之后，可以对正在工作的设备上面往监听设备进行同步配置的操作，在HA的CLI里面直接输入保存配置命令或者在WebUI界面上点击保存配置即可。

（1） 在工作中的设备点击保存按钮后，自身的配置版本号会加1，比如原来配置版本号是“702”，那么进行保存配置操作之后，该设备的配置版本号就为“703”，可以输入“show revision”命令查看。

[sadm@RG-WALL(HA)]# show revision

Current system configure revision:

703

（2） 主从的配置同步是自动同步，如果工作中的设备配置版本号比监听设备的版本号要高，那么工作的设备会自动把配置同步给监听的设备，使双方的配置版本号一致，如下：

[sadm@RG-WALL(HA)]# show hbstat //保存配置，同步配置到对端设备
Master(Local)
----------------------------------------
SysCfg Revision : 703 //对比master的配置版本号
Heartbeat Status: working
Heartbeat Fails : 0

Slave
----------------------------------------
SysCfg Revision : 703 //对比slave的配置版本号，如果与master一致，那么同步成功

Heartbeat Status: watching

（3） 配置同步是只能从工作的设备往监听设备同步，不区分主从，即“master”“slave”身份。

（4） 正在工作的设备都可以进行配置管理，不区分主从，即“master”“slave”身份。

（5） 使用以太网心跳线模式的话，那么GUI管理器上面的HA同步按钮不会生效

（6） 重置HA配置版本号方法

注：重置版本号为0，此命令最好在单机状态下配置。

如果存在监听设备的配置版本号远远大于正在工作的设备的配置版本号，那么可能会导致工作设备的配置一直无法同步给监听设备。这时候可以把监听设备配置版本号进行重置，可以输入命令“ set revision”进行重置。

将版本号重置为0，重启后生效，若设备处于HA使用中，重启后会自动同步高版本的，此功能一般在单机模式下使用，将以前高版本的设备重置为0，然后在加入进HA。

配置示例如下：

[sadm@RG-WALL(HA)]# set revision //进入重置版本号配置

Current system configure revision:

1

Reset system configure revision to 0? (0: No; 1: Yes)

1 //选择Yes，即输入“1”即可重置配置版本号

Reset system configure revision to 0 and autosave success!

Please reboot system to effect!

[sadm@RG-WALL(HA)]#