网络关键设备安全检测实施指南最新章节_张治兵著

第5节
设备冗余和自动切换功能

网络关键设备整机应支持主备切换功能或关键部件应支持冗余功能。网络关键设备应至少通过设备冗余和自动切换功能（整机冗余）以及设备冗余和自动切换功能（部件冗余）中的一项测试。

一、检测方法

1.设备冗余和自动切换功能（整机冗余）

该检测项包括如下内容。

（1）安全要求

路由器设备应提供整机主备自动切换功能，在设备运行状态异常时，切换到冗余设备以降低安全风险。

（2）预置条件

① 按测试环境2搭建好测试环境。

② 两台设备分别配置为主用设备与备用设备或负载分担模式。

（3）检测步骤

① 数据网络测试仪两对端口之间发送背景流量。

② 下线被测设备1。

③ 查看数据流量是否自动切换到被测设备2。

④ 重新上线被测设备1。

⑤ 被测设备1恢复正常运行后，查看数据流量状态是否正常。

（4）预期结果

① 在检测步骤③中，被测设备2能自动启用，流量能切换到被测设备2上。

② 在检测步骤⑤中，被测设备1能正常运行，且数据流量状态正常。

③ 支持主备模式和负载分担模式中的一种即可。

④ 如被测设备不具备可插拔的主控板卡、业务板卡、交换网板等部件，设备应支持整机冗余和自动切换功能。

⑤ 支持设备整机冗余和关键部件冗余中的一项即可判定为符合要求。

2.设备冗余和自动切换功能（部件冗余）

该检测项包括如下内容。

（1）安全要求

路由器设备应提供关键部件的自动切换功能，在关键部件运行状态异常时，切换到冗余部件以降低安全风险。

（2）预置条件

① 按测试环境1搭建好测试环境。

② 被测设备关键部件配置冗余。

③ 厂商提供支持冗余和自动切换的部件清单。

（3）检测步骤

① 数据网络测试仪发出背景流量。

② 按照厂商提供的清单，分别拔掉或关闭处于运行状态的关键部件（如主控板卡、交换网板、电源和风扇等），等待一段时间并观察被测设备的工作状态。

③ 查看数据流量是否有丢包现象，并记录丢包的数量。

（4）预期结果

① 被测设备可以自动启用备用关键部件（如备用主控板卡、备用交换网板、备用电源、备用风扇等），运行正常。

② 如被测设备具备相应的部件，支持冗余和自动切换的部件应至少包括主控板卡、交换网板、电源和风扇。

③ 如被测设备不具备可插拔的主控板卡、业务板卡、交换网板等部件，那么对这些部件进行冗余和自动切换功能测试并不适用。

④ 支持设备整机冗余和关键部件冗余中的一项即可判定为符合要求。

二、检测实施过程要点

1.设备冗余和自动切换功能（整机冗余）

（1）测试设备整机冗余功能，需准备软件版本相同的被测设备和辅助设备各一台，并准备1～2台交换机设备和一台数据网络测试仪，按测试环境2搭建好测试环境。

（2）将两台设备分别配置为主用设备与备用设备或负载分担模式，这里以VRRP（虚拟路由冗余协议）方式为例，将被测设备配置为主用设备。

[Router]dis vrrp verbose
IPv4 virtual router information
  Running mode:Standard
    Total number of virtual routers:2
      Interface Ten-GigabitEthernet3/1/3.26
        VRID　　　　　　:1　　　　　　Advertimer 100 centiseconds
        Admin status　　　 :Up　　　　　 State Master
        Config pri　　　　:120　　　　　Running pri　120
        Preempt mode　　　:Yes　　　　　 Delay time 5000 centiseconds
        Auth type　　　　 :None
        Virtual IP　　　　 :26.1.1.111
        Virtual MAC　　　 :0000-5e00-0101
        Master IP　　　　 :26.1.1.2
        Backup ARP　　　 :Disabled
        Interface Ten-GigabitEthernet3/1/7.27
          VRID　　　　　　:2　　　　　　Adver timer　　 :100 centiseconds
          Admin status　　　 :Up　　　　　 State　　　　　:Master
          Config pri　　　　:120　　　　　Running pri　　　:120
          Preempt mode　　　:Yes　　　　　 Delay time　　　:5000centiseconds
          Auth type　　　　 :None
          Virtual IP　　　　 :27.1.1.111
          Virtual MAC　　　 :0000-5e00-0102
          MasterIP　　　　 :27.1.1.2
          Backup ARP　　　 :Disabled

将辅助设备配置为备用设备。

[Router] dis vrrp verbose
IPv4 virtual router information:
Running mode:Standard
  Total number of virtualrouters:
    Interface Ten-GigabitEthernet2/2/3.26
      VRID　　　　　　:1　　　　　　Advertimer　　　:100 centiseconds
      Admin status　　　 :Up　　　　　 State　　　　　:Backup
      Config pri　　　　 :110　　　　　 Running pri　　　:110
      Preempt mode　　　:Yes　　　　　 Delay time　　　:5000centiseconds
      Become master　　 :2620 millisecond left
      Auth type　　　　 :None
      Virtual IP　　　　 :26.1.1.111
      Master IP　　　　 :26.1.1.2
      Backup ARP　　　 :Disabled
Interface Ten-GigabitEthernet2/2/7.27
      VRID　　　　　　:2　　　　　　Adver timer　　　: 100centiseconds
      Admin status　　　 :Up　　　　　 State　　　　　: Backup
      Config pri　　　　 :110　　　　　 Running pri　　　: 110
      Preempt mode　　　:Yes　　　　　 Delay time　　　: 5000 centiseconds
      Become master　　 :3550 millisecond left
      Auth type　　　　 :None
      Virtual IP　　　　 :27.1.1.111
      Master IP　　　　 :27.1.1.2
      Backup ARP　　　 :Disabled

数据网络测试仪两对端口发送双向测试流量，如图3-4所示。可在被测设备上监测到流量转发情况。

图3-4 双向测试流量

（3）将被测设备下线。

[Router-Ten-GigabitEthernet3/1/3] shutdown
[Router-Ten-GigabitEthernet3/1/3]%May620:11:00:419 2021 Router VRRP4/
6/VRRP STATUS CHANGE:-MDC=1:
The status of IPv4 virtual router 1 (configured on Ten-GigabitEthernet3/1/3.26)changed from Master
to Initialize: Interface event received.
%May 6 20:11:00:426 2021 Router OSPF/5/OSPF_NBR_CHG REASON:-MDC=1;OSPF 1Area
0.0.0.0 Router 192.168.24.119(XGE3/1/3.26)CPU usage:25.71%,IfMTU:1500,Neighbor address:2
6.1.1.1,NbrID:192.168.24.118 changed from FULL to DOWN because the interface went down or
MTU changed at 2021-05-06 20:11:00:425.Last 4 hel
1o packets received at2021-05-0620:10:22:167,2021-05-0620:10:32:142. 2021-05-0620:10:42:
1422021-05-0620:10:52:142,Last4hellopacketssentat:  2
021-05-0620:10:27:847 2021-05-0620:10:37:847,2021-05-0620:10:47:847  2021-05-
0620:10:57:847
%May 620:11:00:426 2021 Router OSPF/3/OSPF_NBR_CHG:--MDC=1:OSPF 1 Neighbo
r26.1.1.1(Ten-GigabitEthernet3/1/3.26)changed from FULLto DOWN.
%May620:11:00:4262021 Router IFNET/3/PHYUPDOWN:-MDC=l;Physical state on the interface
Ten-GigabitEthernet3/1/3.26 changed to down.
%May 6 20:11:00:429 2021 Router IFNET/3/PHY_UPDOWN:-MDC=1;Physical state
on the interface Ten-GigabitEthernet3/1/3 changed to down.
%May 620:11:00:430 2021 Router IFNET/4/LINK_UPDOWN: -MDC=1:Line protocol state on the
interface Ten-GigabitEthernet3/1/3.26 changed to down.
%May 620:11:00:4302021 Router IFNET/4/LINKUPDOWN:-MDC=1:Lineprotocol
stateon the interfaceTen-GigabitEthernet3/1/3changed todown

查看设备流量状态，辅助设备切换为主用设备，流量切换到辅助设备转发。

（4）重新上线被测设备。

[Router-Ten-GigabitEthernet3/1/7]undo shutdown
[Router-Ten-GigabitEthernet3/1/7]%May620:16:24:5902021CR16018-FAIFNET/3/PHY_
UPDOWN: -MDC=1Physical state on the interface Ten-GigabitEthernet3/1/7 changed to up.
%May 6 20:16:24:591 2021 Router IFNET/4/LINK_UPDOWN:-MDC=1;Line protocol state on the
interface Ten-GigabitEthernet3/1/7 changed to up.
%May 6 20:16:24:591 2021 Router IFNET/3/PHY_UPDOWN:-MDC=1;Physical state on the
interface Ten-GigabitEthernet3/1/7.27changed to up.
%May 6 20:16:24:592 2021 Router IFNET/4/LINK_UPDOWN:-MDC=l;Line protocolstate on
theinterface Ten-GigabitEthernet3/1/7.27changed to up.
%May 620:16:26:129 2021 Router LLDP/6/LLDP CREATE NEIGHBOR:-MDC=1-S1ot=3;
  Nearest bridgeagent neighbor created on port Ten-GigabitEthernet3/1/7 (IfIndex583),neighbors
chassis ID is 0011-4a55-0000,port ID is Ten-GigabitEthernet0/2/9.
May 620:16:30:146 2021 Router OSPF/3/OSPF_NBR_CHG:-MDC=1;OSPF1 Neighbo27.
1.1.1(Ten-GigabitEthernet3/1/7.27) changed from LOADING to FULL

（5）被测设备恢复正常运行后，数据流量恢复从被测设备转发。

数据网络测试仪在整个过程中流量不中断，如图3-5所示。

图3-5 数据流量恢复从被测设备转发，流量不中断

2.设备冗余和自动切换功能（部件冗余）

路由器、交换机常见的支持冗余功能的关键部件包括主控板卡、业务板卡、交换网板、电源、风扇等。

测试设备部件冗余功能，需对被测设备关键部件配置冗余，并准备一台数据网络测试仪，按测试环境1搭建好测试环境，由数据网络测试仪两对端口发送双向背景流量，如图3-6所示。

图3-6 双向背景流量

（1）对被测设备主控板卡配置冗余。

=====================================================
Card Summary
=====================================================
Slot    Provisioned Type               Admin Operationa  Comments
            Equipped Type(if different)   State State
----------------------------------------------------------------------------------------
2     xxx-x20                      up  up
A　　 xxx-x20　　　　　　　　　　　up　up/active
B　　 xxx-x20　　　　　　　　　　　up　up/standby
=====================================================

拔出一块主控板卡，设备可以正常工作。

=====================================================
Card Summary
=====================================================
Slot    Provisioned Type               Admin Operationa  Comments
            Equipped Type(if different)   State State
----------------------------------------------------------------------------------------
2     xxx-x20                      up  up
A     xxx-x20                      up  up/standby
            (not equipped)
B     xxx-x20                      up  up/active
=====================================================

（2）对被测设备的业务板卡配置冗余，拔出一块业务板卡，设备可以正常工作。

（3）对被测设备的交换网板、风扇、电源等的冗余测试也采用类似的方法进行。

（4）数据网络测试仪在整个过程中流量不中断，如图3-7所示。

图3-7 流量不中断

第5节 设备冗余和自动切换功能

1.设备冗余和自动切换功能（整机冗余）

2.设备冗余和自动切换功能（部件冗余）

1.设备冗余和自动切换功能（整机冗余）

2.设备冗余和自动切换功能（部件冗余）

第5节
设备冗余和自动切换功能