CN102932190A

CN102932190A - 一种设备单点故障的解决方法及装置

Info

Publication number: CN102932190A
Application number: CN2012104825184A
Authority: CN
Inventors: 胡滕
Original assignee: Hangzhou DPTech Technologies Co Ltd
Current assignee: Hangzhou DPTech Technologies Co Ltd
Priority date: 2012-11-22
Filing date: 2012-11-22
Publication date: 2013-02-13

Abstract

本发明公开了一种设备组单点故障的解决方法和装置，所述方法包括：获取设备组内所有设备的虚拟ID信息，并进行主设备和备设备的选举；当设备被选举为主设备时，获取配置信息并将所述配置信息同步到所述设备组内的其他设备；当所述设备组内其他设备down掉时，退掉所述down掉的设备的信息；当设备为备设备且主设备down掉时，重新进行主设备和备设备的选举；当接收到外部设备发送的业务报文时，根据所述配置信息、路由表和会话表进行所述业务报文的转发。通过本发明，既能够实现当单设备出现故障时，业务不会中断，又不要求设备组中设备必须具有相同的硬件设备配置和相同的软件版本，还能够实现负载分担，减少主设备的压力。

Description

一种设备单点故障的解决方法及装置

技术领域

本发明涉及网络安全领域，尤其涉及一种设备单点故障的解决方法及装置。

背景技术

随着互联网的发展，目前的组网应用中用户对网络的可靠性要求越来越高，尤其是对于一些重要的业务入口或接入点，保证网络的不间断传输成为急需解决的问题。防火墙作为内外网的接入点，当设备出现故障时便会导致内外网之间的网络业务全部中断。传统备份组网方案接入点部署多台设备形成备份，通过虚拟路由冗余协议（VRRP）或动态路由等机制进行链路切换，实现一台设备故障后流量自动切换到另一台正常的设备。传统组网方案适用于接入点是路由器等转发设备的情况，经过设备的每个报文查找转发表进行转发，链路切换后，后续报文转发不受影响；但是接入点是状态防火墙等设备时，由于状态防火墙是基于链接状态的，当用户发起会话时，防火墙只会对会话的首包进行检查，如果首包允许通过则建立一个会话表项，只有匹配会话表项的后续报文才能够通过防火墙，如果链路切换后，后续报文找不到正确的表项，会导致当前业务中断。

现有的双机热备份技术能够解决上述问题。请参考图1，为现有技术双机热备组网图。在接入点的位置布置两台防火墙，其中一台为主设备，另一条为备设备，主设备接收到会话信息后，将会话信息同步到备设备。当其中一台防火墙发生故障时，数据流被引导到另一台防火墙上继续传输，由于在流量切换之前已经进行了数据同步，所以当前业务不会中断。但是，双机热备份的两台设备要求硬件设备配置和软件版本一致，并且要求接口卡的型号和所在的槽位一致，否则出现一台设备备份过去的信息，在另一台设备上无法识别，或者找不到相关的物理资源，从而导致流量切换后报文转发出错或者失败。

发明内容

有鉴于此，本发明提供一种设备组单点故障的解决方法和装置，既能够实现当单设备出现故障时，业务不会中断，又不要求设备组中设备必须具有相同的硬件设备配置和相同的软件版本，还能够实现负载分担，减少主设备的压力。

本发明提供一种设备组单点故障的解决方法，应用于具有多台设备的设备组中的第一设备，所述设备组中每台设备分别设置有虚拟ID和心跳端口，其中，所述方法包括以下步骤：

获取设备组内所有设备的虚拟ID信息，并根据所述虚拟ID信息进行主设备和备设备的选举；

当所述第一设备被选举为主设备时，获取配置信息并将所述配置信息通过所述心跳端口同步到所述设备组内的其他设备；

当所述设备组内其他设备down掉时，退掉所述down掉的设备的信息；

当所述设备为备设备且主设备down掉时，重新进行主设备和备设备的选举；

当接收到外部设备发送的业务报文时，根据所述配置信息、路由表和会话表进行所述业务报文的转发。

本发明同时提供一种设备组单点故障的解决装置，应用于具有多台设备的设备组中的第一设备，所述设备组中每台设备分别设置有虚拟ID和心跳端口，其中，所述装置包括：

选举单元，用于获取设备组内所有设备的虚拟ID信息，并根据所述虚拟ID信息进行主设备和备设备的选举；

同步单元，用于当所述第一设备被选举为主设备时，获取配置信息并将所述配置信息通过所述心跳端口同步到所述设备组内的其他设备；

处理单元，用于当所述设备组内其他设备down掉时，退掉所述down掉的设备的信息；

所述选举单元，进一步用于当所述设备为备设备且主设备down掉时，重新进行主设备和备设备的选举；

转发单元，用于当接收到外部设备发送的业务报文时，根据所述配置信息、路由表和会话表进行所述业务报文的转发。

与现有技术相比，本发明通过主设备将获取配置信息，并将所述配置信息同步到所述设备组内的其他设备，使设备组内所有信息一致，确保当单设备出现故障时，业务不会中断，又可以实现不同硬件设备配置和不同的软件版本的设备之间同步，还能够实现负载分担，减少主设备的压力。

附图说明

图1为现有技术单设备故障解决方法的组网示意图。

图2为本发明中一种设备单点故障的解决方法流程示意图。

图3为本发明中一种设备单点故障的解决装置逻辑组成图。

图4为本发明中设备组网示意图。

具体实施方式

本发明提供一种单点设备故障的解决方法和装置，本发明实现环境为接入网络中一组设备，介于客户端与服务器之间。如图4所示，本发明将接入的设备完全虚拟成一台设备，在外部看来就是一台设备，在内部为每台设备分配一个虚拟ID。当设备组中某台设备转发报文时，将所述业务报文信息同步到其他设备中，实现当网络中某台设备down掉（宕机）时，网络中业务能够正常进行，并同时实现业务报文的负载均衡，减小主设备的压力。具体地，本发明实施例中所述设备以防火墙为例进行介绍。

为实现本发明目的，以下结合附图详细说明本发明。请参考图2，为本发明提供的一种设备组单点故障的解决方法，应用于具有多台设备的设备组中的第一设备，其特征在于，所述设备组中每台设备分别设置有虚拟ID和心跳端口，其中，所述方法包括以下步骤：

步骤201，获取设备组内所有设备的虚拟ID信息，并根据所述虚拟ID信息进行主设备和备设备的选举；

具体地，在组网设计过程中首先给每台设备分配一个唯一的ID，设备组中的每台设备上电后，通过所述心跳端口进行心跳信息检测其他设备是否存在，并且根据设备的虚拟ID进行角色选举。首先获取设备组内所有设备的虚拟ID信息，判断设备组内所有设备上的所述虚拟ID大小；根据所述虚拟ID的大小，将所述虚拟ID最小的设备选举为主设备，并将其他的设备选举为备设备。需要说明的是，在设备的启动过程中，如果只有一台设备启动，则该设备立即选举为主设备；如果在启动过程中发现有主设备存在，则将自己选为备设备。

步骤202，当所述第一设备被选举为主设备时，获取配置信息并将所述配置信息通过所述心跳端口同步到所述设备组内的其他设备；

当设备角色选举完成后，设备组中所有设备都会将自己的设备信息和端口信息等通过心跳端口同步给其他的设备，这样，设备组内每台设备的信息都是保持一致的。正常工作情况下，由主设备来负责对所有设备管理和配置，用户只需要在主设备上进行配置和管理，主设备会将配置信息同步给其他备设备，这样使得所有设备的配置信息保持一致，而无需在每个设备上分别进行配置和管理。需要说明的是，所述配置信息是使设备（例如防火墙）进行工作的相关配置的集合，本领域技术人员知道如何对该设备进行相关的配置。本发明同时需要进行跨设备的端口聚合，使得网络中交换机设备根据端口聚合算法、目的IP、源IP等进行计算选择最合适的路径到设备组中的某一台设备，进而实现链路的备份和负载分担。其中，所述的端口聚合配置只需在主设备进行设备配置，然后将设备配置信息同步到其他设备，并通过主设备进行设备的管理。同样，本领域技术人员也知道如何进行端口聚合的配置。

步骤203，当所述设备组内其他设备down掉时，退掉所述down掉的设备的信息；

步骤204，当所述设备为备设备且主设备down掉时，重新进行主设备和备设备的选举；

需要说明的是，设备down掉即指因设备本身出现故障而down掉，也指由于其他原因使设备down掉。具体地，当有备设备down掉时，由其他设备进行报文的转发，并不会使业务中断，主设备和其他所有的设备会将该备设备的信息退掉。当主设备down掉时，与其相连的备设备会通过心跳信息超时或者down事件来检测到主设备不在，这时备设备之间会重新选举出一个新的主设备，在这期间业务并不会出现中断。

步骤205，当接收到外部设备发送的业务报文时，根据所述配置信息、路由表和会话表进行所述业务报文的转发。

具体地，当接收到外部设备设备发送的报文时，将所述业务报文与会话表进行匹配；若所述业务报文与所述会话表匹配成功，则根据所述路由表找到所述报文的出端口，然后根据所述配置信息通过所述出端口转发所述业务报文；若所述业务报文与所述会话表匹配不成功，则创建会话表项，将创建的会话表项添加到会话表中，根据会话表项、路由表和配置信息转发所述业务报文，并将所述会话表项同步到设备组内的其他设备。

所述根据会话表项（匹配成功时指匹配到的会话表项，匹配不成功时指创建的会话表项）、路由表和配置信息转发所述业务报文进一步包括：根据会话表项、路由表和配置信息获取所述业务报文的出端口信息；当出端口在所述第一设备上时，通过所述出端口转发所述业务报文；当出端口在设备组内其他设备上时，将所述业务报文发送到所述出端口所在的设备，以便其通过所述出端口转发所述业务报文。具体地，查找路由表项中所述业务报文的出端口信息；当出端口在本设备上时，直接通过出端口转发所述业务报文；当出端口在设备组内其他设备上时，将所述业务报文发送到所述出端口所在的设备，以便其通过所述出端口转发所述业务报文。

在组网环境中，主设备和备设备同时处理业务报文，进行路由表项和会话信息的学习，并且将学习到的路由表项和会话会话表项同步给其他设备，来确保所有的设备上的路由表项和会话表项保持一致。当一台设备收到转发报文时，通过查找会话表项和路由表项进行转发，如果出端口在本设备上，则直接从本设备上转发出去；如果出端口在其他设备上，则报文通过心跳端口送到出端口所在的设备上转发出去。这样主从设备同时工作，实现负载分担。

进一步地，所述方法还包括：

当所述设备为主设备且设备组有新设备加入时，将配置信息、路由表项和会话信息批量同步到所述新设备，以确保设备组内所有信息一致。需要说明的是，所述的新设备指新加入的设备也指当掉后重新恢复的设备。

如图3所示，本发明同时提供一种设备组单点故障的解决装置，应用于具有多台设备的设备组中的第一设备，其特征在于，所述设备组中每台设备分别设置有虚拟ID和心跳端口，其中，所述装置包括：

选举单元301，用于获取设备组内所有设备的虚拟ID信息，并根据所述虚拟ID信息进行主设备和备设备的选举；

所述选举单元301，进一步用于当所述设备为备设备且主设备down掉时，重新进行主设备和备设备的选举；

所述选举单元301，进一步用于：判断设备组内所有设备上的所述虚拟ID大小；根据所述虚拟ID的大小，将所述虚拟ID最小的设备选举为主设备，并将其他的设备选举为备设备。

同步单元302，用于当所述第一设备被选举为主设备时，获取配置信息并将所述配置信息通过所述心跳端口同步到所述设备组内的其他设备；需要说明的是，所述配置信息是使设备（例如防火墙）进行工作的相关配置的集合，本领域技术人员知道如何对该设备进行相关的配置。

所述同步单元进一步用于：当所述设备为主设备且设备组有新设备加入时，将配置信息、路由表项和会话信息批量同步到所述新设备，以确保设备组内所有信息一致。需要说明的是，所述的新设备指新加入的设备也指当掉后重新恢复的设备。

处理单元303，用于当所述设备组内其他设备down掉时，退掉所述down掉的设备的信息；

转发单元304，用于当接收到外部设备发送的业务报文时，根据所述配置信息、路由表和会话表进行所述业务报文的转发。

所述转发单元进一步用于：将所述业务报文与所述会话表进行匹配；若所述业务报文信息与所述会话表匹配成功，则根据匹配到的会话表项、路由表和所述配置信息转发所述业务报文；若所述业务报文信息与所述会话表匹配不成功，则创建会话表项，将创建的会话表项添加到会话表中，根据会话表项、路由表项和配置信息转发所述业务报文，并将所述会话表项同步到设备组内的其他设备。

所述转发单元进一步用于：根据会话表项、路由表项和配置信息获取所述业务报文的出端口信息；当所述出端口在所述第一设备上时，通过所述出端口转发所述业务报文；当所述出端口在设备组内其他设备上时，将所述业务报文发送到所述出端口所在的设备，以便其通过所述出端口转发所述业务报文。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims

1.一种设备组单点故障的解决方法，应用于具有多台设备的设备组中的第一设备，其特征在于，所述设备组中每台设备分别设置有虚拟ID和心跳端口，其中，所述方法包括以下步骤：

2.如权利要求1所述的解决方法，其特征在于，所述根据所述虚拟ID信息进行主设备和备设备的选举进一步包括：

判断设备组内所有设备上的所述虚拟ID大小；

根据所述虚拟ID的大小，将所述虚拟ID最小的设备选举为主设备，并将其他的设备选举为备设备。

3.如权利要求1所述的解决方法，其特征在于，所述根据所述配置信息、路由表和会话表进行所述业务报文的转发进一步包括：

将所述业务报文与所述会话表进行匹配；

若所述业务报文与所述会话表匹配成功，则根据匹配到的会话表项、所述路由表和所述配置信息转发所述业务报文；

若所述业务报文与所述会话表匹配不成功，则创建会话表项，将创建的会话表项添加到会话表中，根据创建的会话表项、所述路由表和所述配置信息转发所述业务报文，并将所述会话表项同步到设备组内的其他设备。

4.如权利要求3所述的解决方法，其特征在于，根据会话表项、所述路由表和所述配置信息转发所述业务报文进一步包括：

根据会话表项、路由表和配置信息获取所述业务报文的出端口信息；

当出端口在所述第一设备上时，通过所述出端口转发所述业务报文；

当出端口在设备组内其他设备上时，将所述业务报文发送到所述出端口所在的设备，以便其通过所述出端口转发所述业务报文。

5.如权利要求1所述的解决方法，其特征在于，所述方法还包括：

当所述设备为主设备且设备组有新设备加入时，将配置信息、路由表项和会话表批量同步到所述新设备，以确保设备组内所有信息一致。

6.一种设备组单点故障的解决装置，应用于具有多台设备的设备组中的第一设备，其特征在于，所述设备组中每台设备分别设置有虚拟ID和心跳端口，其中，所述装置包括：

7.如权利要求6所述的解决装置，其特征在于，所述选举单元进一步用于：

判断设备组内所有设备上的所述虚拟ID大小；

8.如权利要求6所述的解决装置，其特征在于，所述转发单元进一步用于：

将所述业务报文与所述会话表进行匹配；

9.如权利要求8所述的解决装置，其特征在于，所述转发单元进一步用于：

根据会话表项、路由表项和配置信息获取所述表项中的所述业务报文的出端口信息；

10.如权利要求6所述的解决装置，其特征在于，所述同步单元进一步用于：

当所述设备为主设备且设备组有新设备加入时，将配置信息、路由表项和会话信息批量同步到所述新设备，以确保设备组内所有信息一致。