防火墙是网络安全的第一道防线，如果防火墙本身只有一台，它一旦宕机整个网络的进出流量都断了。所以安全要求高的场景里防火墙也得做冗余，两台防火墙一主一备，主墙挂了备墙顶上。今天说说H3C防火墙双机热备怎么配。
为什么防火墙双机热备比交换机VRRP复杂
交换机做VRRP只管转发，状态信息少。防火墙除了转发还要管会话表。一个TCP连接经过防火墙时，防火墙记录了源IP目的IP端口等信息形成会话表项，后续报文按会话表快速转发。如果主墙挂了备墙接管，但备墙没有会话表，已有的连接全部中断，用户体验很差。
所以防火墙双机热备的关键是会话表同步：主墙把会话表实时备份到备墙，切换时备墙已有完整会话表，连接不中断。
H3C的技术方案
H3C防火墙双机热备用VGMP和HRP两个协议实现。
VGMP全称VRRP组管理协议，是H3C私有的管理多个VRRP组的协议。普通VRRP只管一组虚拟网关，但防火墙可能有多个接口多个VRRP组。VGMP把这些VRRP组统一管理，确保所有接口的状态一起切换，避免一部分接口切了另一部分没切导致流量不对称。
HRP全称H3C冗余协议，负责主备防火墙之间的状态同步。包括配置同步（主墙的配置自动复制到备墙）和会话同步（会话表、ARP表等运行时状态实时备份）。
两种工作模式
主备模式：一台Active一台Standby，只有Active转发流量。切换时间通常在秒级。配置简单，但备墙闲着资源浪费。
负载分担模式：两台都是Active，各自转发一部分流量，互为备份。利用率高，但配置和排障更复杂。通常用两个VGMP组，一组以设备A为主，另一组以设备B为主。
配置步骤
前提：两台防火墙硬件型号相同，软件版本一致，接口规划好。
第一步，配置HRP备份通道。两台防火墙之间用一根直连线做备份通道，通过这个通道传HRP报文。
设备A：
hrp interface GigabitEthernet0/7 remote 10.0.0.2
hrp source 10.0.0.1 destination 10.0.0.2
设备B：
hrp interface GigabitEthernet0/7 remote 10.0.0.1
hrp source 10.0.0.2 destination 10.0.0.1
备份通道接口配上互连IP，两台能互通。
第二步，使能HRP并设置角色：
设备A（主）：
hrp enable
hrp role active
设备B（备）：
hrp enable
hrp role standby
使能后设备A成为Active，设备B成为Standby。后续在Active上做的配置会自动同步到Standby。
第三步，配置VGMP组和VRRP。在上下行接口上配VRRP，这些VRRP组被VGMP统一管理：
设备A上行接口：
interface GigabitEthernet0/1
vrrp vrid 1 virtual-ip 1.1.1.254 active
设备A下行接口：
interface GigabitEthernet0/2
vrrp vrid 2 virtual-ip 192.168.1.254 active
两个接口的VRRP组通过VGMP管理。Active状态下两个接口都是Master，如果上行链路断了，VGMP检测到后把所有VRRP组优先级降低，触发整体切换到备墙。
第四步，安全策略和NAT等配置只需要在Active上做，会自动同步到Standby。
排障
display hrp state看双机状态。正常情况下显示Active和Standby角色。如果两台都是Active或两台都是Standby，说明HRP通道断了或配置不一致。
display hrp group state看VGMP组状态和各VRRP组角色。
切换后流量不通，检查会话同步是否正常。display session table看会话表，如果备墙会话表为空或条目很少，说明HRP会话同步有问题。检查备份通道带宽和连通性。
常见问题
备份通道带宽不够导致会话同步延迟，切换时有连接中断。备份通道建议用千兆以上接口。
两台防火墙软件版本不一致导致HRP无法建立。升级前确认两台版本完全一致。
配置不同步。使能HRP后只在Active上配命令，如果发现备墙没同步，检查是否在Standby上手动配了命令导致冲突。Standby应该只读，所有配置从Active同步。
上下行交换机也要配合。上行交换机连接两台防火墙的端口要在同一个VLAN里且使能链路聚合或做好二层冗余，下行同理。确保切换后二层链路也通。
H3CNE-Security的GB0-510考试大纲里双机热备属于防火墙基础技术模块考点，考双机热备的原理和工作方式。H3CIE-Security的课程中也包含安全设备高可用方案的规划。防火墙双机热备技术细节多，配置完整度高，需要反复练习。润天教育作为H3C钻石级授权培训中心，安全课程中有双机热备的完整实验环节，千万级真机实验室配有多台防火墙设备可以搭建主备和负载分担两种模式的实验环境。
