华为eNSP模拟器综合实验之- HRP（华为冗余协议）双机热备

作者：以太浮标日期：2026/1/13

核心高可用技术汇总

实现网络高可用性，主要依赖于以下几项技术在不同网络层级的协同工作：

技术领域关键技术主要作用解决的核心问题
网关冗余​VRRP（虚拟路由冗余协议）为终端提供虚拟网关，实现网关设备的主备切换。单一网关设备故障导致网络中断。
链路冗余与防环​MSTP（多生成树协议）在存在物理环路的二层网络中，通过逻辑阻塞端口，构建无环路径，并实现VLAN流量的负载分担。广播风暴、MAC地址表震荡。
链路捆绑与备份​Eth-Trunk（链路聚合）将多条物理链路捆绑成一条逻辑链路，增加带宽并提供链路级备份。单条物理链路带宽不足或发生故障。
关键设备冗余​HRP（华为冗余协议）实现防火墙、AC等设备的双机热备，同步会话表、配置信息，实现毫秒级切换。出口防火墙等单点故障导致业务中断。
快速故障检测​BFD（双向转发检测）与VRRP、OSPF等协议联动，提供毫秒级的链路故障检测，加速收敛。协议默认检测机制较慢，收敛时间长。

HRP是华为防火墙双机热备的核心协议，它能确保主备设备平滑切换，是实现网络高可用的关键。理解HRP前，需要先掌握几个关键概念及其相互关系，它们共同构成了华为防火墙双机热备的基础。

概念​全称/定义​核心作用​关键特性​
HRP​华为冗余协议 (Huawei Redundancy Protocol)负责在主备防火墙之间同步状态信息（如会话表、Server-map表等）和部分配置命令。实现主备切换时业务不中断。
VGMP​VRRP组管理协议 (VRRP Group Management Protocol)华为私有协议，用于统一管理一台防火墙上所有VRRP备份组的状态，是HRP的基础。保证整机切换，避免同一台设备上的VRRP组出现主备状态分裂。
VRRP​虚拟路由冗余协议 (Virtual Router Redundancy Protocol)为终端提供虚拟网关IP，实现网关层面的冗余备份。标准协议，负责通告虚拟网关，引导流量走向主用防火墙。

HRP与VGMP、VRRP的协作关系：

  • 分工：VGMP负责监控设备状态并决策主备切换；VRRP负责通告虚拟网关，引导流量；HRP负责同步会话和状态信息，保证切换无缝衔接。
  • 流程：VGMP通过心跳线监控对端设备状态。当主设备故障时，VGMP会统一降低本设备上所有VRRP组的优先级，触发VRRP主备选举。同时，通过HRP提前同步的数据，备设备能立即接管业务。

防火墙双机热备（HRP）完整配置指南

适用设备：华为 USG6000V1/V2（双机热备场景）
核心目标：实现外网/内网虚拟网关高可用（VRRP） + 状态/配置自动同步（HRP）

一、基础网络与接口配置

防火墙 A (USG6000V1) 配置
1<USG6000V1> system-view
2[USG6000V1] interface GigabitEthernet 1/0/0  # 外网接口（连接ISP）
3[USG6000V1-GigabitEthernet1/0/0] ip address 10.1.1.2 255.255.255.0
4[USG6000V1-GigabitEthernet1/0/0] quit
5
6[USG6000V1] interface GigabitEthernet 1/0/1  # 内网接口（连接核心交换机）
7[USG6000V1-GigabitEthernet1/0/1] ip address 192.168.1.1 255.255.255.0
8[USG6000V1-GigabitEthernet1/0/1] quit
9
10[USG6000V1] interface GigabitEthernet 1/0/2  # 心跳口（直连防火墙B）
11[USG6000V1-GigabitEthernet1/0/2] ip address 172.16.1.1 255.255.255.0
12[USG6000V1-GigabitEthernet1/0/2] quit
13
14# 配置安全区域（关键：心跳口必须加入DMZ区域）
15[USG6000V1] firewall zone untrust
16[USG6000V1-zone-untrust] add interface GigabitEthernet 1/0/0
17[USG6000V1-zone-untrust] quit
18
19[USG6000V1] firewall zone trust
20[USG6000V1-zone-trust] add interface GigabitEthernet 1/0/1
21[USG6000V1-zone-trust] quit
22
23[USG6000V1] firewall zone dmz
24[USG6000V1-zone-dmz] add interface GigabitEthernet 1/0/2
25[USG6000V1-zone-dmz] quit
防火墙 B (USG6000V2) 配置
1<USG6000V2> system-view
2[USG6000V2] interface GigabitEthernet 1/0/0
3[USG6000V2-GigabitEthernet1/0/0] ip address 10.1.1.3 255.255.255.0  # 对端IP为10.1.1.2
4[USG6000V2-GigabitEthernet1/0/0] quit
5
6[USG6000V2] interface GigabitEthernet 1/0/1
7[USG6000V2-GigabitEthernet1/0/1] ip address 192.168.1.2 255.255.255.0  # 对端IP为192.168.1.1
8[USG6000V2-GigabitEthernet1/0/1] quit
9
10[USG6000V2] interface GigabitEthernet 1/0/2
11[USG6000V2-GigabitEthernet1/0/2] ip address 172.16.1.2 255.255.255.0  # 对端IP为172.16.1.1
12[USG6000V2-GigabitEthernet1/0/2] quit
13
14# 安全区域配置（与防火墙A一致）
15[USG6000V2] firewall zone untrust
16[USG6000V2-zone-untrust] add interface GigabitEthernet 1/0/0
17[USG6000V2-zone-untrust] quit
18
19[USG6000V2] firewall zone trust
20[USG6000V2-zone-trust] add interface GigabitEthernet 1/0/1
21[USG6000V2-zone-trust] quit
22
23[USG6000V2] firewall zone dmz
24[USG6000V2-zone-dmz] add interface GigabitEthernet 1/0/2
25[USG6000V2-zone-dmz] quit

配置说明：

  • 外网接口IP：10.1.1.2（A） vs 10.1.1.3（B）
  • 内网接口IP：192.168.1.1（A） vs 192.168.1.2（B）
  • 心跳口IP：172.16.1.1（A） vs 172.16.1.2（B） → 必须在同一网段
  • 安全区域：心跳口必须加入dmz区域（避免业务流量干扰HRP心跳）

二、配置VRRP虚拟网关（仅需配置虚拟IP，无需指定主备）

防火墙 A 配置（VRRP组ID 1/2）
1[USG6000V1] interface GigabitEthernet 1/0/0  # 外网接口
2[USG6000V1-GigabitEthernet1/0/0] vrrp vrid 1 virtual-ip 10.1.1.100 active # 虚拟网关IP
3[USG6000V1-GigabitEthernet1/0/0] quit
4
5[USG6000V1] interface GigabitEthernet 1/0/1  # 内网接口
6[USG6000V1-GigabitEthernet1/0/1] vrrp vrid 2 virtual-ip 192.168.1.100 active # 虚拟网关IP
7[USG6000V1-GigabitEthernet1/0/1] quit

active

  • 设置此路由器为活跃路由器（主路由器）
  • 通常拥有更高的优先级，负责转发流量
  • 示例：vrrp vrid 1 virtual-ip 10.1.1.100 active

standby

  • 设置此路由器为备份路由器
  • 当活跃路由器故障时接管转发任务
  • 示例：vrrp vrid 1 virtual-ip 10.1.1.100 standby
防火墙 B 配置（VRRP组ID 1/2）
1[USG6000V2] interface GigabitEthernet 1/0/0
2[USG6000V2-GigabitEthernet1/0/0] vrrp vrid 1 virtual-ip 10.1.1.100 standby
3[USG6000V2-GigabitEthernet1/0/0] quit
4
5[USG6000V2] interface GigabitEthernet 1/0/1
6[USG6000V2-GigabitEthernet1/0/1] vrrp vrid 2 virtual-ip 192.168.1.100 standby
7[USG6000V2-GigabitEthernet1/0/1] quit

验证VRRP状态（HRP启用后自动同步）

1<USG6000V1> display vrrp brief
2Interface       VRID  Virtual IP    Master State   Priority   Preempt
3GigabitEthernet1/0/0  1     10.1.1.100    Master       100        Yes
4GigabitEthernet1/0/1  2     192.168.1.100 Master       100        Yes

三、配置HRP双机热备（关键：指定心跳口+启用HRP）

防火墙 A 配置
1[USG6000V1] hrp interface GigabitEthernet 1/0/2 remote 172.16.1.2  # 指定心跳口及对端IP
2[USG6000V1] hrp enable  # 启用HRP功能（触发主备协商）
3[USG6000V1] hrp mirror session enable  # 启用会话快速备份（必须开启！）
防火墙 B 配置
1[USG6000V2] hrp interface GigabitEthernet 1/0/2 remote 172.16.1.1
2[USG6000V2] hrp enable
3[USG6000V2] hrp mirror session enable

HRP工作原理：

  1. 通过心跳口（172.16.1.1/2）建立通信
  2. 通过VGMP组自动选举主备（默认优先级100）
  3. 主设备（Master）同步配置/会话到备设备（Slave）
  4. 故障切换时间：默认3秒（HRP心跳间隔1秒）

四、保存配置与验证（双机状态确认）

保存配置
1<USG6000V1> save  # 两台设备均需执行
2<USG6000V2> save
关键验证命令
1# 查看HRP状态（确认主备关系）
2<USG6000V1> display hrp state
3  State: Master  # 防火墙A为主设备
4  VRRP State: Master
5
6<USG6000V2> display hrp state
7  State: Slave   # 防火墙B为备设备
8  VRRP State: Backup
9
10# 查看VRRP状态（确认虚拟IP归属）
11<USG6000V1> display vrrp brief
12  Interface       VRID  Virtual IP    Master State
13  GigabitEthernet1/0/0  1     10.1.1.100    Master
14  GigabitEthernet1/0/1  2     192.168.1.100 Master
15
16<USG6000V2> display vrrp brief
17  Interface       VRID  Virtual IP    Master State
18  GigabitEthernet1/0/0  1     10.1.1.100    Backup
19  GigabitEthernet1/0/1  2     192.168.1.100 Backup

五、关键注意事项（避免常见故障）

项目说明
心跳口要求1. 必须为直连物理接口（禁止使用VLAN/Trunk） 2. 不能配置默认路由（避免HRP流量被丢弃） 3. 心跳接口必须加入**DMZ区域，**避免业务流量干扰HRP心跳
HRP启用顺序必须先配置VRRP，再配置HRP！若顺序颠倒，HRP无法同步VRRP状态
优先级调整若需指定主设备，可在HRP中配置：hrp preemption delay 5（默认抢占）
会话备份hrp mirror session enable 必须开启，否则TCP连接会中断（非会话备份）
故障切换测试拔掉防火墙A的心跳线 → 3秒内防火墙B自动接管虚拟IP（验证VRRP状态变化）

六、典型应用场景

  • 企业出口网关：双机热备保障互联网接入连续性
  • 数据中心边界：避免单点故障导致业务中断
  • 分支网络：替代单点防火墙，提升可靠性

配置顺序：基础网络 → VRRP（仅虚拟IP） → HRP → 保存验证

可直接用于eNSP实验，配置完成后内网终端默认网关设为192.168.1.100，外网网关设为10.1.1.100，故障切换时无需手动操作。

《华为eNSP模拟器综合实验之- HRP（华为冗余协议）双机热备》 是转载文章，点击查看原文。

上一篇：10分钟复刻爆火「死了么」App：vibe coding 实战（Expo+Supabase+MCP）

下一篇：绘制K线第二章：背景网格绘制

相关推荐

Rust：用 dyn trait 需要注意 object safety 哦
Pomelo_刘金2026/1/5

1）Rust 为什么会有 object safety 1.1 dyn Trait 到底是什么 dyn Trait 是类型擦除后的动态派发：编译期不关心具体类型是谁，运行时靠 vtable（虚表） 找到对应实现。 一个 &dyn Trait / Box<dyn Trait> 本质上是“胖指针”： data pointer：指向真实对象数据 vtable pointer：指向虚表（里面是一堆函数指针 + 一些元信息） 关键点：vtable 里的每个函数入口，必须是“确定的、统一的签名”。因为不管

基于深度学习的河道垃圾检测系统设计（YOLOv8）
我是杰尼2025/12/27

基于深度学习的河道垃圾检测系统设计（YOLOv8） 一、研究背景：AI 如何参与河道环境治理？ 随着城市化进程加快，河道、湖泊、水库等水体中的塑料垃圾问题日益严峻。其中，塑料瓶因体积明显、数量庞大、难以自然降解，已成为水环境污染治理中的重点对象。 传统河道垃圾监测方式主要存在以下痛点： ❌ 人工巡查成本高、效率低 ❌ 监测结果主观性强，难以量化 ❌ 无法实现实时、连续监控 ❌ 难以形成数据闭环支撑决策 在此背景下，基于深度学习的目标检测技术为河道垃圾自动识别提供了新的解决方案。 本项目以

微服务常见八股（分布式seat, 网关，服务注册与发现、负载均衡、断路器、API 网关、分布式配置中心）
陈逸轩*^_^*2025/12/18

Spring Cloud 常规八股 关于微服务你是怎么理解的 微服务的核心思想是 "单一职责原则"，即每个服务专注于完成一个特定的任务，确保服务的高内聚性和低耦合性。可以针对不同服务可以进行不同技术或者语言选型，这会使得开发、部署、维护更加灵活和高效。服务之间的通信一般使用 RPC（远程调用），相比单体应用会带来网络的开销。它的特点是：独立部署，减少了系统整体部署的复杂度，不同的微服务可以使用不同的技术栈，可以灵活扩展并且容错性高。 如何对微服务集群做监控和报警的 1）Prom

计算机网络-ISO/OSI 和TCP/IP
αSIM0V2025/12/10

OSI七层 服务、协议、接口 物理层 比特物理层接口标准/物理层协议： 数据链路层 data link layer 帧点到点的通讯：主机之间 任务 成帧、物理寻址差错控制：检测出现的差错，丢弃错误信息流量控制：协调两个节点的速率传输管理 协议 SDLCHDLCPPPSTP 网络层 network layer 数据报 把协议数据单元（分组）从源端到数据端 IP+IPX+… 无连接+有连接 任务 路由选择流量控制拥塞控制：缓解拥塞差错控制：奇偶校验码网际互连： 协议 IPIPXICMPIGMPARP

LangChain 深入
吴佳浩2025/12/1

LangChain 深入 这里需要装什么包什么依赖 我就不再一一赘述了 大家可以先看上一篇 《Langchain 浅出》 那么如果出现缺失的依赖怎么办 ？简单 缺什么装什么 目录 1、Python 依赖安装 2、词工程最佳实践 3、性能优化技巧 4、常见问题与解决方案 5、调试和错误处理 6、生产环境最佳实践 想了想还是给补一份基础的依赖吧 ，至于为什么，我也不知道 但是我还是补上了 另外 本章篇幅比较密的代码示例需要个人花点时间理解和消化有问题可以在评论区交流 Python 依

一文读懂强化学习
不惑_2026/1/21

从一个小故事说起 你还记得小时候学骑自行车吗？ 没有人一上来就会骑。刚开始的时候，你歪歪扭扭地扶着车把，脚踩上踏板，车子晃了两下——砰，摔了。膝盖破了皮，疼得龇牙咧嘴。 但你爬起来，又试了一次。这回你发现，身体稍微往左倾的时候，车把往右打一点，好像能稳住。于是你又骑了几米远，然后——又摔了。 就这样摔了无数次之后，突然有一天，你发现自己居然能骑着车满院子跑了。那种感觉特别神奇，你也说不清楚具体是怎么学会的，但就是会了。 这个过程，其实就藏着强化学习最核心的秘密。 那到底啥是强化学习？ 咱们先别

Vue-Data 属性避坑指南
发现一只大呆瓜2026/1/31

前言 在 Vue 开发中，我们经常会遇到“明明修改了数据，视图却不更新”的尴尬场景。这通常与 Vue 的初始化顺序及响应式实现原理有关。本文将从 Data 属性的本质出发，解析响应式“丢失”的根本原因及解决方案。 一、 组件中的 Data 为什么必须是函数？ 在 Vue 2 中，根实例的 data 可以是对象，但组件中的 data 必须是函数。 核心原因：数据隔离 对象形式：JavaScript 中的对象是引用类型。如果 data 是对象，所有组件实例将共享同一个内存地址。修改实例 A 的数据

mcp学习笔记（一）-mcp核心概念梳理
Shawn_Shawn2026/2/9

Model Context Protocol (MCP) ，即模型上下文协议，是一个开放标准和开源框架，旨在为大型语言模型（LLMs）应用提供一个标准化的接口，使其能够无缝集成和交互外部数据源、工具和系统。 其主要作用为： 提供标准化接口，让LLMs（或基于LLMs构建的AI代理）能够连接到各种外部资源，如数据库，文件系统，Service Api，爬虫等资源，获取到数据。 LLMs可以实时与mcp双向交互，及时更新LLM中的上下文信息并能够即时执行LLM发出的指令，完成任务。 解决碎片化：统一

宝塔安装-Redis
吃不胖爹2026/2/17

一、安装 Redis 步骤：宝塔面板 ——> 应用搜索 ——> redis ——> 安装即可 二、配置 Redis 1.宝塔配置 IP 以及密码 方法1 方法2 配置修改，这个就是Redis的配置文件了，可以根据自己的业务需求，进行更改 配置文件 bind 127.0.0.1 改成 bind 0.0.0.0 再追加 requirepass yourPassword（密码） 保存 重启redis 2.放行 Redis 对应的端口 切记：宝塔面板 与 服务器控制台 6379 端口都要放开，

当 AI Agent 接管手机：移动端如何进行观测
阿里云云原生2026/2/26

作者：高玉龙(元泊) 背景介绍 最近，基于 AI Agent 的各种手机助手在社交媒体上爆火，它能够通过 AI 自动操作手机完成下单、比价、搜索等复杂任务。用户只需说一句“帮我找最便宜的 iPhone”，AI 就能自动打开购物 App、搜索商品、对比价格并完成下单。这种“AI 接管手机”的场景，让很多人看到了未来人机交互的新形态。 然而，当 AI 开始大规模操作手机时，传统的用户行为分析将会面临严重的数据污染问题，如： 转换率虚高：AI 自动下单会对转换率数据造成干扰，导致业务决策误判 用户路

上一篇：10分钟复刻爆火「死了么」App：vibe coding 实战（Expo+Supabase+MCP）

下一篇：绘制K线第二章：背景网格绘制

首页编辑器站点地图

本站内容在 CC BY-SA 4.0 协议下发布

Copyright © 2026 XYZ博客