在此方案中數(shù)據(jù)流的均衡，依靠對(duì)端交換機(jī)或路由器的鏈路捆綁算法或者等價(jià)路由、策略路由算法來(lái)完成。當(dāng)出現(xiàn)鏈路故障出現(xiàn)流量異步時(shí)，思科下一代集群利用自有的防火墻尋回算法，自動(dòng)將流量送回有對(duì)應(yīng)會(huì)話的火墻進(jìn)行處理。同時(shí)，如果對(duì)端路由設(shè)備鏈路負(fù)載均擔(dān)算法不夠均勻(當(dāng)然通常可以通過調(diào)整無(wú)狀態(tài)負(fù)載均擔(dān)的算法避免這個(gè)問題的出現(xiàn))。群內(nèi)防火墻也可以按照設(shè)定，自動(dòng)負(fù)載均衡到其他防火墻，解決了負(fù)載均衡不均的問題，使方案近乎完美。

整個(gè)方案使用無(wú)狀態(tài)負(fù)載均衡的方式，分擔(dān)流量到集群內(nèi)每臺(tái)防火墻，沒有負(fù)載均衡性能瓶頸。集群處理性能隨著加入防火墻的數(shù)量實(shí)現(xiàn)了線性增長(zhǎng)。

更靈活的防火墻多活冗余

為了避免在防火墻出現(xiàn)故障時(shí)造成的業(yè)務(wù)影響，通常我們都會(huì)選擇冗余部署。傳統(tǒng)的防火墻冗余方式使用兩臺(tái)防火墻主備冗余或者雙活方式。思科的“下一代防火墻集群”可以很容易將原來(lái)的兩臺(tái)防火墻的雙活模式擴(kuò)展為三活、四活到最大8臺(tái)設(shè)備同時(shí)工作在主用狀態(tài)。

我們以8臺(tái)舉例，群內(nèi)每臺(tái)防火墻都是主用狀態(tài)，防火墻之間使用8備8方式。任何1臺(tái)防火墻的會(huì)話，均勻的備份到其他防火墻上。如果這臺(tái)防火墻出現(xiàn)故障，7臺(tái)防火墻同時(shí)幫忙處理這臺(tái)防火墻的業(yè)務(wù)流量，能夠?qū)崿F(xiàn)無(wú)縫切換，不會(huì)有業(yè)務(wù)影響。

在添加火墻到集群或者從集群剔除過程中，同樣業(yè)務(wù)沒有影響。并且可以實(shí)現(xiàn)無(wú)縫防火墻軟件升級(jí)。

借鑒思科成熟的VPC技術(shù)，“思科下一代防火墻集群”技術(shù)實(shí)現(xiàn)了集群內(nèi)多個(gè)防火墻的多鏈路捆綁，我們稱之為“跨機(jī)箱鏈路捆綁”技術(shù)(scEC: span-clustering EC)。它能夠把集群內(nèi)多個(gè)防火墻的鏈路捆綁在一個(gè)Ethernet Channel，通過這種方式防火墻集群可以與對(duì)端路由交換機(jī)的VPC或者VSS對(duì)接，實(shí)現(xiàn)數(shù)據(jù)流全路的“設(shè)備及鏈路多虛一”，從而避免了生成樹影響。

下圖是下一代防火墻集群與思科數(shù)據(jù)中心交換機(jī)Nexus的VPC互聯(lián)的方案：

更完備的單點(diǎn)管理方式

當(dāng)多臺(tái)防火墻部署集群時(shí)，為了方便管理，通常維護(hù)人員都希望能夠通過一個(gè)管理界面統(tǒng)一管理群內(nèi)所有防火墻。“思科下一代防火墻集群”非常好的實(shí)現(xiàn)了統(tǒng)一管理。這其中包括了單點(diǎn)配置、單點(diǎn)查看各種統(tǒng)計(jì)信息、日志。另外，能夠?qū)崿F(xiàn)基于群的故障查詢，例如，群內(nèi)抓取數(shù)據(jù)包，查看群內(nèi)數(shù)據(jù)包處理流程，會(huì)話查詢等等。完全像管理一個(gè)防火墻一樣方便。

“思科下一代防火墻集群”能夠?qū)Ψ阑饓Φ耐掏?、新建?huì)話、并發(fā)連接、NAT連接進(jìn)行性能擴(kuò)展。能夠提供更高的多活冗余方式，實(shí)現(xiàn)單臺(tái)設(shè)備故障的無(wú)縫切換。同時(shí)能夠提供非常完美的統(tǒng)一管理。

集群適用于大部分防火墻部署場(chǎng)景，包括當(dāng)前的熱點(diǎn)“雙活數(shù)據(jù)中心”的安全部署，能夠通過集群對(duì)多個(gè)數(shù)據(jù)中心統(tǒng)一提供安全保護(hù)。

利用“思科下一代防火墻集群技術(shù)”，我們?cè)诔跗诓少?gòu)時(shí)，可以按照現(xiàn)有業(yè)務(wù)需求，采購(gòu)兩臺(tái)防火墻，將兩臺(tái)組成集群。在享受到集群給部署帶來(lái)的統(tǒng)一管理，快速無(wú)縫切換的好處的同時(shí)。還能夠在后期業(yè)務(wù)增長(zhǎng)，現(xiàn)有防火墻性能不夠時(shí)，通過購(gòu)買新的防火墻動(dòng)態(tài)加入集群，提高防火墻集群的擴(kuò)展能力。降低了TCO的同時(shí)也極大提高了ROI，是非常好的防火墻部署方式的選擇。

yuanjiaju