背景

为了提升网络可靠性，避免单点故障的危险，需要在网络关键节点处部署两台防火墙设备。

防火墙业务接口工作在三层接口

上下行连接交换机场景下的主备备份

双机热备启用之后，FW1的Active组的状态会由Initialize切换成Active，FW2的Standby组的状态由Initialize切换成Standby。（实验环境下，启用双机热备后VGMP状态机两者都切换至Standby）
防火墙A的VRRP备份组都加入了Active组，且Active组状态为Active，所以防火墙A的VRRP备份组1和备份组2的状态都为Active。同理，防火墙B的两个备份组状态都为Standby。
防火墙A的VRRP备份组1和2分别向上下行交换机发送免费ARP报文，将VRRP备份组的虚拟MAC地址通知至交换机。
上下行交换机的MAC表项分别记录虚拟MAC地址与端口G1/0/1和G1/0/3的对应关系，这样当上下行的业务报文到达交换机后，交换机会将报文转发至防火墙A上，所以防火墙A成为主用，防火墙B成为备用。
同时防火墙A的Active组还会通过心跳线定时向防火墙B发送HRP心跳报文。

主备备份下故障切换状态

当主用设备G1/0/3接口故障后，防火墙A的VRRP备份组2的状态变成Initialize。
防火墙A的Active组感知这一变化后，将自身的优先级降低2，并将自身状态切换成Active To Standby。
防火墙A的Active组会向对端发送VGMP请求报文，请求将状态切换成Standby。

扫描二维码关注公众号，回复： 11652967 查看本文章
防火墙B的Standby组收到防火墙A的Active组的VGMP请求报文后，比较VGMP优先级，65000高于64999，因此防火墙B的Standby组会将自身状态切换成Active。
防火墙B的Standby组会向对端返回VGMP应答报文，允许对端进行状态切换。
防火墙B的Standby组会强制组内VRRP备份组1和2将状态切换成Active。
防火墙B的VRRP备份组1和2分别向上下行交换机发送免费ARP报文，更新MAC转发表。
防火墙A的Active组收到对端的VGMP确认报文后，会将自身状态切换成Standby。
防火墙A的Active组会强制组内的VRRP备份组将状态切换成Standby，故障接口除外。
上下行交换机收到防火墙B的免费ARP报文后更新MAC表项，记录虚拟MAC地址与防火墙B接口的对应关系。这样当上下行的业务报文到达交换机后，交换机会将报文转发至防火墙B上，所以防火墙B成为主用，防火墙A成为备用。
主备状态切换完成后新的主用设备防火墙B会定时向新的备用设备防火墙A发送HRP心跳报文。

负载分担下的形成过程

防火墙A的VRRP备份组1和3加入了Active组，即备份组状态也为Active，备份组2和4加入了Standby组，即备份组状态也为Standby。同理，防火墙B的VRRP备份组1和3为Standby组，2和4为Active组。
防火墙A 的VRRP备份组1和3分别向上下行交换机发送免费ARP报文。防火墙B的VRRP备份组2和4分别向上下行交换机发送免费ARP报文。
下行交换机的MAC表项会记录VRRP备份组1的虚拟MAC地址与防火墙A接口的对应关系，备份组2的虚拟MAC地址与防火墙B接口的对应关系。上行交换机与此同理。这样，两个防火墙都会转发业务报文，形成双主，完成负载分担。
负载分担形成后，防火墙A的Active组会定期向防火墙B的Standby组发送HRP心跳报文，防火墙B的Active组会定期向防火墙A的Standby组发送HRP心跳报文。

两台防火墙形成负载分担方式的双机热备后，如果其中一台防火墙的接口故障，那么他们讲切换成主备备份状态。

当防火墙A的G1/0/1的接口故障后，VRRP备份组1和2的状态都会变成Initialize。
防火墙A的Active组和Standby组的优先级都会降低2，变为64999和64998。经过VGMP协商后，防火墙A的Active组的状态切换为Standby，防火墙B的Standby组的状态切换为Active。
防火墙A的Active组和防火墙B的Standby组会强制组内备份组进行状态切换。
防火墙B的VRRP备份组1和3分别向上下行交换机发送免费ARP报文，更新MAC转发表。
上下行交换机对MAC转发表进行修改，至此，防火墙A成为备用设备，防火墙B成为主用设备，负载分担状态变成主备备份状态。

主备备份下状态形成过程

主用防火墙A正常向外发布路由，备用设备防火墙B会在上下行设备发布路由时将Cost值增加65500。
对于RouterA而言，通过防火墙A去往外部的OSPF COST值为1+1+1=3，通过防火墙B去往外部的OSPF COST值为1+65500+1+1=65004，路由器选择Cost值小的路径转发报文，即通过主用防火墙转发。

负载分担下状态形成过程
防火墙接口加入VGMP管理组，确保防火墙至上下行路由器的Cost值一致。

主备备份下状态形成过程

下行接的是交换机，防火墙配置VRRP，主防火墙的业务口加入到VRRP，并且加入到VGMP的ACTIVE组，备防火墙的业务口加入到VRRP，并且加入到VGMP的STANDBY组。
上游设备是路由器，主防火墙要将连接路由器的接口放到VGMP的ACTIVE组中进行监控，而备防火墙要将连接路由器的接口放到VGMP的STANDBY组中，进行监控。备防火墙会将链路COST值设置成65500，为了将流量引导到主防火墙。
当链路故障，优先级-2，或者是通过心跳判断，都会引起的主备切换。重新被置成VGMP STANDBY状态的防火墙，将自动修改链路COST值为65500，完成流量引导，引导流量到新的主防火墙。并且新的主防火墙还会将VGMP的成员，监控的下游VRRP组状态设定成ACTIVE，发免费ARP，也完成下游流量的引导，保证上下游流量的所经过的防火墙保持一致，否则由于会话检测的机制，会引起流量中断。

负载分担下状态形成过程

接交换机的接口分别放到两个VRRP组和VGMP组中，一个防火墙一个VGMP组是Active状态，另一个VGMP组状态是Standby状态。另一个防火墙同它相反。
上游将接入路由的接口也是分别放入到VGMP的Active组和Standby组，并且确保两个防火墙连接路由器的接口Cost值初始设置都一致。（配了双VGMP组后，hrp ospf cost adjust-enable自动失效）确保流量分别走两个防火墙。