基于華為防火墻ip link機制的線路檢測和切換方案的研究和實現(xiàn).doc

基于ip link機制的線路檢測和保護方案的研究和實現(xiàn)目 錄第1章 背景2第2章 方案概述32.1 負載均衡方案32.2 非負載均衡線路和業(yè)務保護方案6第3章 總結與優(yōu)化83.1 總結83.2 優(yōu)化8第1章 背景近年來，隨著互聯(lián)網(wǎng)應用的不斷發(fā)展，集團客戶的業(yè)務越來越多的依賴于互聯(lián)網(wǎng)，由此集團客戶對于互聯(lián)網(wǎng)專線的保障等級要求越來越高。部分重要集團為保障自身業(yè)務發(fā)展，都開通了多條運營商線路，通過冗余線路保障業(yè)務不受某條線路的影響而中斷公司整個業(yè)務。而關于故障線路的快速檢測和線路之間的及時切換，都成為客戶關注和急需要解決的問題。為此，本文作者結合日常工作經(jīng)驗和典型集團客戶需求，分析和總結了針對華為防火墻進行雙線接入的業(yè)務負載均衡和路由保護方案。第2章 線路檢測和保護方案2.1 Ip link線路檢測機制Ip link檢測機制是基于icmp協(xié)議的鏈路可達性檢查機制，主要原理是通過icmp協(xié)議探測鏈路上目的地址是否可達，由此判斷該鏈路是否可用。目前主要用在華為Eudemon系統(tǒng)防火墻上，用于檢測與防火墻不直接相連的接口或鏈路狀態(tài)。檢測流程如下：圖1 ip link檢測流程2.2 基于Ip link線路檢測和保護方案Ip link線路檢測機制一般與多種冗余保護機制相配合，實現(xiàn)線路的監(jiān)控和保護。2.2.1 雙機熱備當設備工作于雙機熱備份環(huán)境時，IP-Link自動檢查后發(fā)現(xiàn)鏈路故障影響主備業(yè)務，通過配置VGMP管理組監(jiān)控IP-Link，設備會對VGMP管理組的優(yōu)先級進行相關調(diào)整，觸發(fā)主備設備切換，從而保證業(yè)務能夠持續(xù)流通。圖2 雙機熱備環(huán)境下的IP-Link鏈路可達性檢查如圖2所示，當位于Untrust區(qū)域路由器接口（IP地址為202.38.10.2/24）發(fā)生故障，啟用IP-link鏈路可達性檢查功能后，系統(tǒng)將會觸發(fā)主備切換，保證業(yè)務正常進行。2.2.2 虛擬路由器冗余環(huán)境圖3 虛擬路由器冗余環(huán)境下的IP-Link鏈路可達性檢查三臺設備組成VRRP備份組，如圖3所示。配置VRRP監(jiān)控IP-Link鏈路后，當IP-Link監(jiān)視的鏈路Down時，會改變管理組的優(yōu)先級，從而引起主備倒換。2.2.3 靜態(tài)路由和策略路由冗余環(huán)境當IP-Link自動檢查發(fā)現(xiàn)鏈路故障時，設備會對自身的靜態(tài)路由進行相應的調(diào)整，保證每次用到的鏈路是最高優(yōu)先級和鏈路可達的，以保持業(yè)務的持續(xù)流通。圖4靜態(tài)路由環(huán)境下的IP-Link鏈路可達性檢查如圖4所示，內(nèi)部網(wǎng)絡用戶訪問Internet的時候有兩條靜態(tài)路由可供選擇，其中一條靜態(tài)路由綁定了IP-Link進行鏈路可達性檢查，當該鏈路不通的時候流量切換至另一條路由，以保證業(yè)務的暢通。對于策略路由，當IP-Link自動檢查發(fā)現(xiàn)鏈路故障時，系統(tǒng)可以觸發(fā)鏈路綁定的策略路由失效，這樣設備在查找路由時將查找備份的路由，以保持業(yè)務的持續(xù)流通2.2.4 靜態(tài)路由和策略路由冗余環(huán)境圖5 DHCP Client環(huán)境下的IP-Link鏈路可達性檢查如圖5所示，設備作為出口網(wǎng)關，采用雙上行鏈路。主鏈路是設備作為DHCP Client獲取IP地址，備鏈路是3G鏈路。當IP-Link檢查DHCP Server后的鏈路時，Eudemon會獲取網(wǎng)關地址作為下一跳進行鏈路檢測。如果發(fā)現(xiàn)DHCP Server后的鏈路故障，則將設備切換到備份鏈路。2.3 基于策略路由的典型實現(xiàn)方案需求：雙線接入的集團內(nèi)部，要求不同辦公區(qū)域只能通過相應的線路訪問互聯(lián)網(wǎng)，當該條線路中斷時，能自動切換到另一條線路訪問互聯(lián)網(wǎng)。方案：通過策略路由實現(xiàn)不同辦公區(qū)域只能通過相應的線路訪問；通過連接監(jiān)測機制（ip-link）實現(xiàn)線路中斷時的自動切換。網(wǎng)絡拓撲如下：圖3 某集團非負載均衡線路和業(yè)務保護網(wǎng)絡拓撲實現(xiàn)內(nèi)容：（1）配置策略：配置策略路由，使辦公區(qū)域1只能通過移動線路訪問，辦公區(qū)域2只能通過電信線路訪問，注：策略路由需配置在trust域的oubound方向，由此保證在trust域的出方向選擇進入相應的運營商域；（2）兩條默認路由保護：配置兩條默認路由，1條優(yōu)選，1條備選，一旦優(yōu)選的線路中斷，該優(yōu)選默認路由將失效；（3）啟用ip-link監(jiān)測：通過該機制實時監(jiān)測策略路由下一條的狀態(tài)，一旦某個策略的下一條不可達，該策略將失效；（4）一旦某條線路中斷或不可達，該條線路上的策略路由和默認路由將失效，原先通過該線路