1. 概述

HA問題是建設TCP/IP網絡需要考慮的一個重要問題。當因為某個設備出現宕機時，如何保證網絡依舊暢通是依賴於關鍵業務的公司的網絡建設的核心。所有流量都要經過安全網關，設計網絡讓安全網關不會成為單點故障，同時還需要保證故障時業務系統得到安全防護，避免網絡攻擊給公司帶來不可估計的損失。

Fortinet公司作為安全資深公司，在不斷地發展安全設備的功能和性能時，同樣為高可靠性提供了多種解決方案，VRRP、會話同步和HA解決方案（FGCP）。強大和靈活的高可用性解決方案是很多運行著關鍵業務的網絡所必需的。Fortinet提供的高可用性解決方案可以適用於多種網絡環境。

2. HA (FGCP)

FortiGate通過FGCP協議支持完善的HA（高可用性）模式，包括A-P（熱備式）HA和A-A（負載均衡式）HA，並且最高可以支持32臺FortiGate的HA集群，對網絡的高可用性提供了最高級別的保證。使用熱備式HA時，FortiGate可以在3秒鐘之內完成主從設備的切換，且會話狀態可以保持；使用負載均衡式HA時，多臺FortiGate同時工作，分擔流量，可以大幅度提高網絡過濾的性能。

FortiGate在透明模式和路由（NAT）模式下均支持HA，HA心跳口可以和其他通信口共用，也支持HA口的冗余。當主HA口故障或主心跳線中斷時，備份HA口還可以繼續傳輸心跳信息。

FortiGate HA集群中的設備根據設備優先級的大小協商產生主機和備機，優先級高的設備成為HA組中的主機，優先級低的設備成為HA組中的備機。

主機和備機具有完全相同的接口地址、完全相同的配置。

主機和備機的配置通過心跳線實時同步，管理員的配置針對整個HA集群，無需單獨配置每一臺設備。

由於FortiGate是狀態檢測設備，過濾網絡流量時需要檢查會話狀態表。主機和備機的會話狀態表通過心跳線實時同步，因此在發生設備故障切換時，備機上也會具有與主機相同的會話表，因此所有已經經過設備建立的會話可以無縫切換，無需重新建立。

主機和備機的相應接口具有完全相同的IP地址，並使用同一個虛擬MAC地址，在發生故障切換時不會產生IP或ARP問題。

當主機的任意接口或設備本身發生故障時，產生HA設備切換，主機變為standby狀態，備機變為work狀態，自動接替主機工作。由於會話狀態均在主備機之間同步，因此所有訪問自動切換到備機上進行，所有已建立會話無需重新連接。

FortiGate HA機制還支持ping檢測，可以在接口上啟用ping服務器IP地址，當該IP地址不可達時，即使接口仍然處於up狀態，仍然可以判斷為鏈路失敗，從而進行HA切換，這種設計在接口狀態檢測的基礎上進一步提高了整個系統的可靠性。

FortiGate還支持全冗余（Full-mesh）方式HA，如下圖所示，進一步提升系統的可靠性。

3. TCP會話同步

有的網絡已經部署了負載均衡設備。通過負載均衡設備將流量分配到不同的FortiGate上進行處理。這些FortiGate通過會話同步的功能將TCP會話告知所有的FortiGate。當某個FortiGate出現故障宕機時，負載均衡設備會將相應的流量轉移到其它FortiGate上，這時其他FortiGate上已經擁有會話表的備份，所以現有的連接不會被丟棄。

與FGCP不同的是，TCP會話同步不要求參與FortiGate設備的配置相同，僅僅是將會話備份一份到所有FortiGate上。另外一點不同的是，FGCP是由FortiGate自身來完成流量的分配到不同FortiGate上，而會話同步是由路由器或者負載均衡設備來實現流量的分配。

4. VRRP

有的網絡已經部署了負載均衡設備。通過負載均衡設備將流量分配到不同的FortiGate上進行處理。這些FortiGate通過會話同步的功能將TCP會話告知所有的FortiGate。

FortiGate也支持路由器常用的高可用性解決方案——VRRP。FortiGate可以通過VRRP協議與第三方路由器實現高可用性，這樣就可以輕而易舉地集成到已經建成的網絡中。FortiGate之間可以通過VRRP協議實現多個FortiGate的備份功能。

如上圖所示，當FortiGate與路由器或者其他網絡設備實現VRRP構架時，當作為主設備的FortiGate宕機時，從設備通過VRRP協議接管網絡，保證網絡的暢通。如果從設備是路由器的話，網絡流量可以繼續轉發，但是不再得到安全防護。如果從設備是FortiGate的話，可以通過會話同步功能，實現VRRP從設備和主設備之間的會話同步，這樣網絡依舊暢通，而且還能繼續得到FortiGate的安全防護。

（FortiGate）飛塔防火墻HA(高可用性)解決方案