工業防火墻高可用特性實戰測試

工業控制系統對網絡安全的需求日益增長，工業防火墻已成為工業控制網絡安全防護的必需手段之一。工業防火墻串聯部署于工業控制網絡邊界和各系統區域間，承擔安全防護和業務傳輸的重要責任，一旦設備發生故障，將導致生產業務發生癱瘓。對于重要工業控制網絡需要工業防火墻支持雙機熱備功能，以提升網絡的可靠性，本文將闡述雙機熱備的原理，并通過實戰測試來介紹雙機熱備中負載分擔的應用效果。

高可用性是如何實現的？

防火墻雙機熱備功能是兩臺設備通過獨立鏈路連接（也稱為心跳線），心跳線定時發送報文協商主備狀態，備份會話等重要的狀態信息和配置信息，以實現設備的高可用。根據組網情況雙機熱備有兩種工作模式：主備模式和負載分擔模式（主主模式）。

主備模式：一臺作為主設備，另一臺作為備設備。主設備處理所有業務，并將產生的會話信息備份到備設備；備設備不處理業務（如下圖所示，Firewall 1處理全部業務，Firewall 2用做備份）。當主設備故障，備份設備接替主設備處理業務，從而保證新發起的會話能正常建立，當前正在進行的會話也不會中斷。

負載分擔模式：兩臺防火墻均具備會話建立和業務處理能力，同時互為備份設備，相互接收對方的會話和配置信息（如下圖所示，Firewall 1和Firewall 2均處理業務，互為備份）。在一臺設備發生故障時，另一臺設備將承擔全部業務處理責任，確保新的會話能夠正常建立，并維護正在進行的會話不中斷，從而實現負載分擔和高可用性。

工業防火墻高可用典型應用場景

實戰演練

本文章重點演示負載分擔模式下工業防火墻的高可用性。主要測試內容包括模擬兩臺設備之間的狀態同步，常規工作模式下、大流量背景下、最大并發工作模式下、最大吞吐工作模式下故障切換。為了便于測試，對設備性能進行了限制，以便直觀呈現高可用功能的測試效果；威努特實際產品吞吐和并發覆蓋是非常寬泛的。具體測試詳情請觀看以下視頻：

下文匯總了視頻測試的內容，您可直接閱讀，獲取相同的信息，下圖為此次測試組網圖。  

測試1：狀態同步測試

測試目的：兩臺設備共同處理組網內的流量，能實時同步狀態信息和數據。

實戰結果：在負載分擔管理角色中分別將兩臺防火墻設置為主管理和備管理，備管理角色防火墻無法直接配置策略如圖1。主管理角色防火墻配置ACL策略，策略同步成功備管理角色防火墻如圖2。

 圖1 主管理防火墻配置ACL策略

圖2 備管理防火墻自動同步ACL策略

測試2：故障切換測試

測試目的：兩臺防火墻通過心跳線檢測相互狀態。其中一臺出現故障后，另一臺會迅速接管所有業務。

• 常規工作模式下模擬故障切換測試

實戰結果：搭建業務環境后，禁用端口模擬鏈路故障，測試證明業務不會中如圖3。

圖3 常規工作模式下模擬鏈路故障后業務成功切換

• 大流量工作模式下模擬故障切換測試

實戰結果：（1）搭建業務環境后，使用測試工具打80W+流表和100Mbps流量后使防火墻并發會話連接數和吞吐量處于一個大流量條件下，2臺防火墻會話互相備份，接口各負載50Mbps流量，實現負載分擔功能如圖4；

（2）下行測試機訪問上行測試機的FTP服務并下載一個大文件，通過禁用端口模擬鏈路故障，測試證明業務不會中斷且FTP大文件下載不會受到影響如圖5、6。

圖4 兩臺防火墻實現負載分擔功能

圖5 大流量背景下模擬鏈路故障后業務成功切換

圖6 FTP文件正常下載

• 最大并發工作模式下模擬故障切換測試

實戰結果：（1）搭建業務環境后使用測試儀打105W+的流表使防火墻并發會話連接數到達最大如圖7；

（2）下行測試機訪問上行測試機的FTP服務并下載一個大文件，通過禁用端口模擬鏈路故障，測試證明業務不會中斷且FTP大文件下載不會受到影響如圖8。

圖7 防火墻并發會話連接數到達最大

圖8 最大并發工作模式下模擬鏈路故障后業務成功切換

• 最大吞吐工作模式下模擬故障切換測試

實戰結果：（1）搭建業務環境后使用測試儀雙向打1Gbps流量使設備吞吐量達到最大，兩臺防火墻上接口均分流量如圖9；

（2）下行測試機訪問上行測試機的FTP服務并下載一個大文件，通過禁用端口模擬鏈路故障，測試證明業務不會中斷且FTP大文件下載不會受到影響如圖10。

圖9 兩臺防火墻實現流量均分

圖10 最大吞吐工作模式下鏈路故障后業務成功切換

總結

威努特工業防火墻高可用性實戰測試中驗證負載分擔模式下可以實現狀態備份與會話備份，同時根據網絡流量的變化和需求動態調整分擔策略，以適應不同情況下的負載分配需求。

表1 測試項總結

之所以能通過上述可靠性測試，得益于威努特工業墻在設計開發階段就依據工業現場使用環境和生產業務實際需求出發。從硬件和組網兩方面保證生產業務的連續性與可靠性。  

工業防火墻硬件方面：采用低功耗、寬溫運行、無風扇、雙電源冗余的工業級設計；支持IP40防護等級，EMC防護等級達到4級，能夠適應工業現場強震動、高濕度、高鹽霧、低溫、高溫、強電磁干擾和多粉塵的惡劣運行環境。

工業防火墻組網方面：全電口支持Bypass，極端情況下即便設備斷電，生產業務仍可以繼續不間斷運行。具有端口聚合功能，實現鏈路的冗余備份的同時成倍增加帶寬提高網絡傳輸效率。

威努特長期深耕于工控領域，洞悉工業場景的痛點，通過深度思考與自主創新設計，將產品特性做到極致。為工業客戶提供最適用的產品與方案，切實保障復雜工業環境下的網絡安全。工業防火墻作為OT系統邊界及系統各區域邊界隔離的安全設備，真正滿足了工業控制系統的嚴苛防護需求，構筑起堅固的安全屏障。