防火墙也配主备：USG HRP 双机热备主备备份

交换机做了冗余、出口做了双线，很多企业唯独漏了防火墙——而防火墙恰恰是全网的咽喉：它一断，内外全断。华为 USG 防火墙的 HRP（Huawei Redundancy Protocol）双机热备，就是给这道咽喉上双保险。本文讲主备备份模式的部署逻辑。

HRP 的基本盘

两台 USG 组成主备组：一台主用转发流量，一台备用待命；两台之间走一条心跳链路同步会话表与配置。关键在会话同步——防火墙是有状态设备，每条连接都记在会话表里，主防火墙挂掉时，备用设备如果不知道这些会话，所有在线连接都要断开重连；HRP 把会话实时同步过去，切换时在线业务基本无感。这就是防火墙热备比"插两台换着用"高明的地方。

部署五步

第一步规划角色与接口：确定主备，两台设备的内外接口一一对应，接口地址规划为心跳独立网段+业务接口主备共用的浮动地址（VRRP 组）。第二步连心跳线：专用心跳链路直连两台设备，条件允许再备一条。第三步启用 HRP 并指定对端，宣告主备状态。第四步指定需要同步的安全策略、NAT 策略等配置对象，主设备上的策略改动自动流向备机。第五步验证：主设备上建立会话后，到备机上看会话表已有对应条目；手动关闭主设备，业务连接不断、备机接管——这一步是验收的核心，过了才算部署成功。

三个容易翻车的点

一是心跳链路绕道：心跳走了业务交换机还恰逢其重启，两台会互相误判，导致双主冲突——心跳链路直连最稳。二是浮动地址没进监控：外部监控只盯主设备真实地址，主备切换后"设备离线"误报一堆，监控对象应含浮动地址。三是策略单向同步的错觉：配置从主流向备，有人直接在备机上改策略，改了个寂寞还埋雷——运维纪律是只在主设备改配置，备机只读。

切换之后的动作

主备切换成功不是结束：查清主设备下线原因、修复后按规程恢复为主、确认会话重新同步，才算完整闭环。热备的价值平时看不见，演练一次、流程一遍，出事时才不手忙。

出口防火墙是全网最后一道门，也是最不该单点的设备。贵州诚鑫致达科技为企业部署 USG 双机热备时，心跳直连、浮动地址、切换演练三项进交付标准，验收单上必签"手动切换会话不断"——咽喉要道的安全，必须眼见为实。

企业存储选型参考｜贵州诚鑫致达

做核心业务 SAN 存储与高可靠应用，群晖机型参考：UC3400 · UC3200 · SA3600。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。