双机热备两台配置怎么保持一致？华为HRP实时备份加批量同步
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
上了双机热备，最关心的问题就是：主机上改的配置，备机上有没有？切换那一刻业务能不能平滑接住？华为防火墙双机热备（HRP）靠两台设备之间备份配置和状态信息来保证平滑切换，其中配置备份分两种：配置命令实时备份和运行配置批量备份。本篇按官方文档把这两种备份机制讲清楚，配双机时心里更有底。
先说实时备份。两台设备正常运行且双机热备关系已建立的情况下，在一台设备上每执行一条支持备份的命令时，此配置命令就会立即备份到另一台设备上。缺省情况下，对于除 save 外可以备份的配置命令，只能在配置主设备上执行，配置备设备上不能执行。如果希望配置备设备也能执行支持备份的配置命令，可以在配置主设备或配置备设备上执行 hrp standby config enable 命令，开放配置备设备的配置权限之后，在备设备上执行的配置也会实时备份到主设备上。
怎么知道一条命令备份成功没有？如果配置命令支持备份、且备份成功，执行 display hrp backup history-command 命令查看时，这些命令后面会有 (+B) 的标识符。官方示例可以直观说明：安全策略相关的配置命令支持备份（带 +B），接口 IP 地址的配置命令不支持备份（不带 +B）。
HRP_M[HUAWEI] security-policy
HRP_M[HUAWEI] rule name policy6
HRP_M[HUAWEI-policy-security-rule-policy6] source-zone trust
HRP_M[HUAWEI-policy-security-rule-policy6] destination-zone untrust
HRP_M[HUAWEI-policy-security-rule-policy6] action permit
HRP_M[HUAWEI-policy-security-rule-policy6] quit
HRP_M[HUAWEI-policy-security] quit
HRP_M[HUAWEI] interface ge 0/0/1
HRP_M[HUAWEI-GE0/0/1] ip address 10.10.0.2 24
HRP_M[HUAWEI-GE0/0/1] display hrp backup history-command
Time :2020-07-04 11:28:02.281472
View :system-view?interface GE0/0/1
Cmd :ip address 10.10.0.2 24
Time :2020-07-04 11:27:47.631803
View :system-view
Cmd :interface ge 0/0/1 (+B)
Time :2020-07-04 11:27:33.900428
View :system-view
Cmd :quit
Time :2020-07-04 11:27:31.86581
View :system-view?security-policy
Cmd :quit
Time :2020-07-04 11:27:27.39747
View :system-view?security-policy?rule name policy6
Cmd :action permit (+B)
Time :2020-07-04 11:27:16.454446
View :system-view?security-policy?rule name policy6
Cmd :destination-zone untrust (+B)
Time :2020-07-04 11:27:07.855784
View :system-view?security-policy?rule name policy6
Cmd :source-zone trust (+B)
Time :2020-07-04 11:26:54.134602
View :system-view?security-policy
Cmd :rule name policy6 (+B)
Time :2020-07-04 11:26:42.15457
View :system-view
Cmd :security-policy (+B)
这份历史记录还能当审计用：哪天几点改了什么策略，时间、视图、命令一目了然。
再说运行配置批量备份，有三种触发的情况：双机热备组网中的一台或两台设备重启；在设备上执行 hrp sync config 命令手动触发；执行 hrp auto-batch-sync config enable 命令使能双机配置自动批量备份。手动触发时 CLI 界面会打印提示，备份期间配置操作暂停：
HRP_M<DeviceA> hrp sync config
Info: The local device starts to synchronize configurations to the peer device. During this period, configuration operations cannot be performed. Try again later if necessary.
批量备份的几个细节值得记住：重启触发的备份方向是配置主向配置备备份，备机启动后运行配置仅保留双机热备相关配置和不支持备份的配置，其他都从主同步，开启命令为 hrp boot-sync config enable（该机制仅在镜像模式下生效，且仅允许在 CloudFabric 数据中心网络解决方案中开启）。手工触发时，在任意一台设备上执行 hrp sync config 都会触发配置全量备份，方向是执行命令的设备向对端备份；仅支持在主设备上执行 hrp sync config clean，执行时备设备会比较主备配置差异，删除冗余配置命令再同步。批量备份完成后配置保存在运行配置中，未保存到配置文件，需要用 save 命令保存，备机自动同步保存。
还有个容易误解的点，官方注意事项讲得很明白：批量备份是把支持备份的配置通过心跳线发送到对端重新执行一次，并不是直接覆盖对端设备的配置，不能保证两台设备配置完全一致。官方举了两个例子：两台设备同名策略里目的地址不同时，批量备份只会给备机新增一条匹配条件，原有的不会被删掉；主机比备机多一条策略时，备份到备机后策略的位置也可能与主机不一致。所以在主设备上执行 hrp sync config clean 让备机删除冗余配置，才是让两台真正对齐的做法。
配置完成后怎么验证？日常用 display hrp backup history-command 抽查实时备份情况；改动配置后主动执行一次 hrp sync config，再到备机上 display 核对关键策略是否一致；每季度做一次 sync config clean 加 save 的全量对齐，切换演练时业务才能真正做到平滑接管。
双机热备配得好不好，平时看不出差别，切换那一刻才见真章。欢迎搜索关注贵州诚鑫致达科技，获取更多企业网络高可用架构的实施经验。
企业存储选型参考｜贵州诚鑫致达
做分支办公与入门升级，群晖机型参考：DS725+ · DS423+ · DS220+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。遵义、六盘水、安顺：群晖 NAS 部署与企业存储技术服务。