13、深入理解FWSM故障转移机制

深入理解FWSM故障转移机制

1. 活动/活动模式与IP地址定义

在FWSM（防火墙服务模块）中，从设计角度来看，有两种实现故障转移的方式。在活动/活动模式里，主防火墙中定义的IP地址被称为活动IP地址，而备用防火墙中定义的IP地址则是备用IP地址。备用IP地址必须与活动IP地址处于同一子网，这是为了确保故障转移能够正常工作。需要注意的是，不需要通过路由来识别备用IP地址的子网掩码。在故障转移时，状态链路的IP地址和MAC地址不会发生改变。故障转移后，故障转移组中变为活动状态的备用接口会承担不同安全域中主接口的MAC地址和IP地址，而处于备用状态的故障转移功能接口则会接管备用的MAC地址和IP地址。

2. 故障转移链路和状态链路的理解

2.1 故障转移链路

两个物理FWSM之间的故障转移是通过故障转移链路实现的。以下是故障转移链路的一些要点：
- 主FWSM和备用FWSM之间会交换用于故障转移的Hello消息和其他消息。
- 主、备FWSM通过通信来确定各自的运行状态。
- 当主设备发生故障时，备用设备会进行故障转移，但活动会话的状态信息不会复制到备用防火墙。
- 需要在FWSM中配置一个VLAN接口，该VLAN必须在包含FWSM模块的两个交换机上进行配置，并且要承载两个托管FWSM的交换机机箱之间的故障转移链路信息。

故障转移链路交换的信息包括：
| 信息类型 | 说明 |
| ---- | ---- |
| 设备状态 | 定义设备是主设备还是备用设备 |
| Hello消息 | 通过故障转移链路发送用于故障转移的Keepalive消息 |