华为USG6525E双机热备部署实战：VGMP/HRP与主备切换详解

1. 高可用部署的核心：为什么USG6525E必须做双机热备

做防火墙高可用这件事，我直接说结论:真正考验人的不在配置命令本身，而在于你对状态切换机制的理解，以及组网规划时有没有把细节想清楚。

华为USG6525E防火墙上手门槛不高，单机部署很简单，但一旦承担的是核心业务出口的角色，单点故障问题就绕不过去。设备电源坏了、主板烧了、系统升级失败重启起不来，任何一次意外都意味着整个网络出口中断。我做过的项目里，有一次是深夜机房空调故障导致设备过热宕机，业务中断了将近四十分钟才切换完毕，那会儿还没有做HA，事后复盘真的很被动。

USG6525E定位是中小企业或分支机构的出口网关，支持双机热备（也就是HA，High Availability）。它的高可用能力在同类产品里算是比较成熟的，核心由三个技术点支撑：VGMP、HRP、会话表备份。这三个词理解了，配置就是水到渠成的事。

先说VGMP。它的全称是VGMP（Virtual Group Management Protocol），作用是把两台防火墙的多个物理接口绑定到一个虚拟组里，统一管理主备状态。简单打个比方，VGMP就相当于两个保安队长互相约定，一个人值班时另一个人待命，一旦值班的倒下，待命的立刻顶上去。

再说HRP。HRP（Hot Standby Routing Protocol）是华为防火墙的热备协议，负责在主备设备之间同步配置和会话状态。配置同步意味着你在主设备上敲的命令，备设备会自动同步；会话同步意味着已建立的TCP连接、UDP会话在主备切换后不会断。

最后是会话表备份。防火墙和路由器最大的区别在于它是状态检测设备，所有流量都要过会话表。如果切换后会话表没了，所有连接都会被重置，用户要重新发起请求，业务体验会明显受损。USG6525E支持会话表实时备份，切换时业务基本无感。

这篇文章我会把部署过程完整拆开讲，从组网规划、配置命令到验收测试、常见坑点，全部分享一遍。适合正在做华为防火墙项目、或者打算把现有单机防火墙改造成双机热备的运维同学参考。下面我按自己实际项目的推进顺序来写。

2. 组网规划：先想清楚主备还是双主，再动手敲命令

2.1 两种工作模式怎么选

华为防火墙HA有两种工作模式：主备模式（Active-Standby）和负载均衡模式（Active-Active，也叫双主模式）。

主备模式是一台设备承载全部流量，另一台纯待命，配置和会话实时同步过去。双主模式是两台设备分别承载不同方向的流量，比如一台负责去往运营商A的流量，另一台负责去往运营商B的流量，同时互相做备份。

USG6525E做主备模式是绝大多数场景的选择，原因很简单：防火墙本身就是串接在关键路径上的设备，双主模式需要复杂的策略路由设计来保证流量来回路径一致，而防火墙对报文往返路径不一致非常敏感——去程走设备A，回程走设备B，会话表对不上，直接丢包。处理起来非常折腾。

我之前做过一个项目，客户出口接了电信和联通两条线路，一开始想用双主模式让两条线路都用上，结果调试了整整两天，策略路由、ISP选路、会话表一致性各种问题交错在一起，最后老老实实改回主备模式，把两条线路做成了主备链路加策略路由分流。结论就是：两条运营商线路可以都接到主设备上做负载分担，但设备本身别搞双主。

对于大多数场景，我的建议是主备模式 + 双链路接主设备的组合。设备冗余性有了，链路利用率也有了。

2.2 心跳口和业务口的规划原则

心跳口是两台设备互相探测状态专用的接口，必须用独立物理接口，不能和业务口共用，更不能通过交换机互连。标准做法是两台设备的固定GE口直接网线对接。USG6525E一般用两个口做心跳，一个为主一个为备，防止单条心跳线松动导致误判。

为啥心跳口不能走交换机？因为心跳线的作用是在设备之间传递VGMP报文，如果经过交换机，交换机本身故障或链路拥塞都会影响心跳，导致两台设备互相认为对方挂了，同时进入Active状态，这就是双主脑裂。脑裂的后果是两台设备同时转发流量，MAC地址冲突、路由混乱，整个网络直接瘫痪。

业务口规划要注意的是：主备设备上承载业务的接口必须一致，包括接口编号、所属安全区域、IP地址。比如主设备用GE0/0/1连接核心交换机，备设备的GE0/0/1也必须接在核心交换机上，接口IP完全相同。这样才能做到主设备故障后，备设备接管IP和MAC，流量无缝切换。

这里有个容易忽略的点：**两台设备之间的备份链路（也就是心跳线之外的数据同步链路）也建议用独立接口。**USG6525E的HRP数据同步和VGMP报文可以走同一个接口，但在大流量场景下，会话备份数据量大，混在一起会互相干扰。我一般会规划两个心跳口，一个跑VGMP状态检测，一个跑HRP数据同步，物理上分开。

2.3 三层组网还是二层组网

防火墙HA对接的上下游设备，要么是三层路由口，要么是二层交换口，这直接影响HA的切换机制。

如果防火墙和核心交换机之间是三层接口互联，那么HA切换时靠的是虚拟IP地址的漂移。VGMP组会维护一个虚拟IP，平时绑在主设备接口上，切换后绑定到备设备接口上，下游核心交换机只需要写一条指向虚拟IP的静态路由即可，不需要做额外配置。

如果是二层组网，防火墙接口工作在透明模式或作为网桥接在交换机之间，那HA切换时靠的是MAC地址漂移。这时候需要注意：下游交换机可能会因为MAC地址变化触发MAC地址学习，切换过程中有短暂丢包是正常的，但会话保持可以让业务快速恢复。

我自己习惯的做法是：能走三层就尽量走三层，管理简单，排障方便。如果网络里必须做二层透明模式，记得在交换机端口上关闭MAC地址飘移保护，或者配置快速MAC迁移，否则交换机会把防火墙的MAC地址漂移当成环路攻击来处理，端口直接被shutdown。

3. 配置拆解：VGMP、HRP、接口和路由的联动逻辑

3.1 基础配置：先保证两台设备能互相通信

在配置HA之前，两台USG6525E必须满足以下条件：

• 软件版本一致。我踩过版本不一致的坑，主设备软件版本比备设备新，结果VGMP组始终协商不起来，排查了很久才定位到是版本匹配问题。华为防火墙的HA要求主备设备软件版本必须完全一致，补丁版本也要一致，否则直接不协商。
• 两台设备的主机名、接口规划完全独立配置，先各自把业务配置好，最后再开启HRP配置同步。
• 时间要同步，否则日志和会话时间戳对不上，排障时很痛苦。

先配置心跳接口的IP地址。假设使用GE0/0/0和GE0/0/1作为心跳口，GE0/0/0走VGMP，GE0/0/1走HRP数据同步。心跳接口不需要加安全区域，也不需要在接口上配置业务策略，仅作为HA报文传输通道：

# 主设备 interface GigabitEthernet0/0/0 ip address 10.10.10.1 255.255.255.252 interface GigabitEthernet0/0/1 ip address 10.10.11.1 255.255.255.252 # 备设备 interface GigabitEthernet0/0/0 ip address 10.10.10.2 255.255.255.252 interface GigabitEthernet0/0/1 ip address 10.10.11.2 255.255.255.252

然后配置业务接口。以典型的出口场景为例，GE0/0/2接核心交换机（内网），GE0/0/3接运营商线路（外网），两台设备的接口IP完全一致：

# 主设备 interface GigabitEthernet0/0/2 ip address 192.168.1.1 255.255.255.0 interface GigabitEthernet0/0/3 ip address 100.64.0.1 255.255.255.0 # 备设备，IP地址和主设备完全一致 interface GigabitEthernet0/0/2 ip address 192.168.1.1 255.255.255.0 interface GigabitEthernet0/0/3 ip address 100.64.0.1 255.255.255.0

注意，这里两台设备的接口IP相同，原理上两台设备不会同时开启这些接口的转发功能，所以不会产生IP冲突。这个一致性的作用是为了VGMP切换后，主设备故障时虚拟IP和虚拟MAC整体漂移到备设备，接口配置不需要任何变更。

3.2 开启HA：VGMP组和HRP配置

先做主设备配置：

hrp interface GigabitEthernet0/0/0 remote 10.10.10.2 hrp interface GigabitEthernet0/0/1 remote 10.10.11.2 hrp enable

这条配置的意思是：指定HRP报文走的接口和对端接口的IP地址，然后启用HRP。启用后，防火墙会通过心跳接口和对端协商VGMP组状态。

然后配置VGMP组。USG6525E的VGMP组分为三种：

• VGMP组0：管理口所在组，一般不用于业务
• VGMP组1：对应业务口GE0/0/2和GE0/0/3
• 负载均衡场景下还可以创建VGMP组2、组3

对于主备模式，只需要把业务口加入同一个VGMP组即可。配置方式是在业务接口视图下开启HRP备份：

# 在主设备上执行 interface GigabitEthernet0/0/2 hrp backup interface interface GigabitEthernet0/0/3 hrp backup interface

hrp backup interface的意思是把该接口加入HRP备份，接口的配置和状态会同步到备设备。同时，该接口所属的VGMP组会自动创建并参与主备协商。

主备设备之间谁成为主设备，取决于VGMP组的优先级。默认优先级是100，可以通过命令调整。两台设备同时启动时，优先级高的先成为主；优先级相同则比较设备MAC地址，MAC地址大的成为主。

我在实际部署时会显式把主设备的VGMP优先级调高，避免每次重启后主备角色不确定：

# 在主设备上执行（假设VGMP组为1） hrp vgmp 1 priority 110

备设备保持默认优先级100即可。这样无论设备启动顺序如何，主设备始终优先成为Active。

配置完成后，在备设备上应该能看到HRP状态已经协商成功。用这条命令验证：

display hrp state

正常情况下主设备显示：

2024-xx-xx xx:xx:xx HRP State: Active

备设备显示：

2024-xx-xx xx:xx:xx HRP State: Standby

看到两边状态一主一备，说明VGMP协商成功，HRP通道也通了。

3.3 配置同步策略：哪些配置会自动同步，哪些必须手工维护

HRP的配置同步不是所有配置都同步，这个很多人会误解。**同步的对象主要是：接口配置、安全策略、NAT策略、路由策略、认证策略，以及会话表项。**不同步的包括：系统时间、主机名、管理密码、日志配置等设备本地属性。

实际部署中，我一般这样区分：

• 安全策略：在主设备上配置，HRP会自动同步到备设备，备设备上不需要重复配置。
• 静态路由：必须手动确认同步情况。虽然HRP会同步路由表，但有些特殊路由（比如通过动态路由协议学习到的）在备设备上默认不启用，需要额外配置路由备份。
• NAT策略：自动同步，不需要手工干预。

有一个细节需要特别注意：默认路由的优先级。在主备模式下，主设备的默认路由是Active状态，备设备的默认路由是Standby状态。如果业务流量走到备设备了，备设备不会直接转发出去，而是会将流量转发给主设备处理，除非配置了“路由备份”且备设备接管了业务。

我在做双出口线路时，通常会在两台设备上都配置两条默认路由，分别指向两个运营商，然后用不同的优先级来控制路由切换。比如：

# 主设备 ip route-static 0.0.0.0 0.0.0.0 100.64.0.254 preference 10 ip route-static 0.0.0.0 0.0.0.0 100.65.0.254 preference 20 # 备设备同样配置，但配合HRP，备设备默认路由不生效 ip route-static 0.0.0.0 0.0.0.0 100.64.0.254 preference 10 ip route-static 0.0.0.0 0.0.0.0 100.65.0.254 preference 20

这样主设备正常情况下走首选运营商线路，首选线路故障时自动切到备用运营商，同时HRP会同步路由状态变化。主设备整体故障时，备设备接管虚拟IP，路由表完整可用。

3.4 会话备份模式的选择

HRP支持两种会话备份方式：备份所有会话和只备份指定会话。默认配置下备份所有会话，但大流量环境下全量备份会占用心跳带宽，可能影响VGMP报文传输。

华为防火墙提供了按需备份命令：

hrp session sync-rule name sync-http match destination-ip 10.1.1.0 255.255.255.0 match service http

这个配置适用于只关心某些关键业务的场景，比如只备份访问核心业务服务器的会话，其他普通上网流量不备份。切换后，普通流量虽然断了但用户可以重新发起请求，核心业务会话保持不中断。

但说实话，我在大多数项目里还是选择全量备份，因为USG6525E的心跳接口是GE口，带宽足够，普通企业流量几百Mbps以内，全量备份占用不了多少心跳带宽。只有在流量持续超过1Gbps，或者心跳链路比较紧张时才考虑按需备份。

还有一种常见的配置是开启会话表快速备份：

hrp fast backup enable

这个命令的作用是：会话建立后立即备份，而不是等会话老化或定期批量备份。开启后切换时丢包率更低，但对心跳链路带宽消耗更大。我的经验是：**关键业务场景一定要开，普通场景可不开。**开启后配合备设备的会话表，切换时候基本能做到零丢包。

4. 联动配置与故障场景实测：验证高可用真正可用

4.1 链路故障检测：单纯设备故障不算完整的HA

HA不只是设备之间互为备份，出口链路本身也可能故障。比如运营商线路断开、光模块异常、光电转换器故障等，此时设备本身是正常的，VGMP不会自动触发切换，业务照样中断。

要解决这个问题，需要用到链路检测功能。USG6525E支持通过监视业务接口的状态来调整VGMP优先级。配置方法：

# 在主设备上执行 interface GigabitEthernet0/0/3 hrp interface track enable

这样配置后，如果GE0/0/3接口Down掉，该接口所在VGMP组的优先级会自动降低，备设备就会接管业务。**注意：接口物理Down才能检测到，如果只是运营商线路光信号异常但接口状态没有Down，接口检测也不生效。**这种情况下需要借助BFD或者NQA来探测对端IP的连通性。

我做过一个项目，客户运营商线路做了光功率劣化但没有完全断掉，接口状态一直是Up，结果主设备还在转发，丢包严重。后来加了NQA探测：

nqa test-instance user link-probe test-type icmp destination-address ipv4 100.64.0.254 frequency 5 probe-count 3 timeout 2

然后关联到HRP：

hrp track nqa user link-probe

这样NQA检测到运营商网关不可达时，会降低VGMP优先级，触发切换。这一步一定不要省，接口物理检测只是兜底，线路质量检测才是真正保障业务连续性的手段。

4.2 手动切换测试：验证主备切换是否顺畅

配置完成后，不能直接扔到生产环境就完事，必须做测试。测试最核心的一条就是手动触发主备切换。

在主设备上执行：

hrp standby

这条命令会把主设备强制切换为备用状态。正常情况下，备设备应该立刻变成主设备，业务IP随即漂移过去，已建立的会话不断。

切换后观察以下几点：

• display hrp state检查角色是否互换
• 内网Ping外网网关，确认业务没有长时间中断
• 查看会话表display firewall session table，确认原主设备上的会话已经在备设备上存在

我在测试时还习惯用display hrp packet statistics查看心跳报文是否正常，如果报文有丢包，说明心跳链路质量有问题。

测试完毕，手动切回：

undo hrp standby

主设备恢复为Active，备设备回到Standby。

4.3 真实故障演练：拔线、断电、重启一样一样来

手动切换只是验证配置逻辑，**真正要做的模拟演练是拔线、断电、重启。**这些动作才能在最大程度上暴露问题。

我推荐按顺序做这几种测试：

1. 拔掉主设备的心跳口网线，观察备设备是否认为主设备失效并接管业务。此时主备两台设备之间心跳中断，主设备还处于Active状态，备设备会等待心跳超时后切换。**这个测试能验证心跳超时时间是否合理。**USG6525E默认心跳超时时间约3秒（可调整），拔线后业务中断3秒左右是正常的。

2. 直接给主设备断电，这是模拟硬件故障。断电后备设备应该立即接管，业务中断时间应该很短。注意：如果主备之间配置了VGMP快速切换，断电切换时间一般在1秒以内。

3. 拔掉主设备的业务接口网线，模拟链路故障。这时如果配置了接口track，备设备应该接管；如果没有配置，不会切换，业务一直中断。

4. 重启主设备，模拟设备升级时重启。重启过程中备设备接管，重启完成后主设备回来，会自动协商角色。

每种测试都要记录业务中断时间。正常情况下，断电切换应该在1~3秒内完成，配置了BFD快速探测的场景下甚至可以做到毫秒级。

我当时做的一个项目，第一次做断电测试时业务中断了5秒多，原因是备设备上有些会话没有同步过来，内网大量TCP连接被重置。排查后发现是会话备份模式没有开fast backup，流量高峰期会话建立太快，普通备份模式跟不上。开启fast backup后，再次测试中断时间降到了1秒以内。

4.4 会话表一致性验证

会话表备份是否完整，可以用下面的方法验证：

在主设备上建立一条流量，比如从内网PC持续Ping一个外网IP，然后快速执行：

display firewall session table | include 8.8.8.8

记下会话的五元组信息，然后切换到备设备，同样执行：

display firewall session table | include 8.8.8.8

如果备设备上有对应的会话条目，说明会话同步正常。如果没有，说明同步延迟或者同步策略没覆盖该流量。

这里有个很容易踩的坑：**主设备上有些会话老化很快，还没来得及备份就已经消失。**比如DNS查询这类短会话，UDP无状态包，往往还没备份就结束了。这不是故障，是正常现象。真正需要关注的是长连接会话，比如数据库连接、视频流会话，这些必须完整备份。

5. 部署完成后最容易踩的坑：给后来者提醒

5.1 双主脑裂：心跳断了但不切换怎么办

最典型的故障场景就是：心跳线松动或者被误拔，主备设备之间无法通信，但两台设备都认为自己还是主设备，同时转发流量。这时候内网用户会出现间歇性掉线、MAC地址冲突、路由环路等问题。

排查思路：如果发现两台设备同时显示Active状态，立刻检查心跳口物理链路、心跳口IP是否配置正确、心跳口是否被误加了安全域策略导致报文被丢弃。

有一种隐蔽情况：心跳口IP配置错误，比如两台设备的心跳口IP不在同一个网段，VGMP报文发不过去，但业务口配置正常，所以设备能转发业务流量，但双机热备完全失效。这种故障非常隐蔽，因为业务看起来是正常的，只有发生切换时才会发现备设备始终不接管。

我在部署时习惯给心跳口配置独立的VLAN和安全域，并且在安全策略里显式放行心跳报文。华为防火墙在开启HA时默认会放行VGMP报文，但如果你手动改过安全策略，可能把默认放行给覆盖掉，那就需要手动添加：

security-policy rule name hrp-permit source-zone trust destination-zone untrust source-address 10.10.10.0 24 destination-address 10.10.10.0 24 action permit

注意：这条策略本身不一定需要。华为防火墙开启HA后，VGMP报文优先级很高，默认不受安全策略限制。但如果你的配置过程中出现过策略异常，记得检查这条路径。

5.2 主备切换后接口MAC地址问题

USG6525E在HA切换后，虚拟MAC地址会从主设备漂移到备设备。如果下游交换机配置了端口安全、MAC地址绑定等策略，可能会拒绝新MAC地址的报文，导致切换后业务不通。

解决办法：在下游交换机上把防火墙的虚拟MAC地址加入允许列表，或者关闭端口安全中的MAC地址漂移检测。如果是思科交换机，可以在端口下配置switchport port-security mac-address sticky配合允许列表；如果是华为交换机，配置mac-address flapping detection disable即可。

我自己做过的项目，就遇到过华为交换机端口下开启了环路检测，防火墙切换时MAC漂移被判定为环路，端口被shutdown的案例。排查这个问题时，先看交换机端口状态，不要一头扎进防火墙配置里找原因。

5.3 防火墙版本升级涉及HA的注意事项

升级防火墙时，如果设备处于HA状态，必须先升级备设备，再升级主设备，顺序不能反。具体步骤：

1. 在备设备上传新版本系统软件
2. 将备设备重启，确认新版本启动正常
3. 查看display hrp state，确认备设备已经重新加入HA组
4. 在主设备上执行hrp standby，把主设备降级为备
5. 原主设备此时变为备设备，上传新版本并重启
6. 重启完成后，手动或自动切回主设备

有人图省事，两台设备同时升级，结果HA协商失败，业务完全中断。生产环境的防火墙升级，一定按顺序一台一台来，过程无非是多个几分钟，但能杜绝风险。

5.4 版本不一致导致HRP协商失败

前面提过，HRP要求两台设备软件版本完全一致。在升级过程中，如果升级完备设备后还没来得及升级主设备，此时备设备的新版本和主设备旧版本能正常协商吗？华为防火墙的机制是：版本不一致时，HRP协商会失败，设备不会进入Standby状态。

这导致什么问题呢？升级完备设备后，如果备设备无法协商进入Standby，它可能会自己进入Active状态，而主设备也处于Active状态，形成双主。所以正确的操作顺序是：升级备设备前，先通过hrp standby把主设备手动切到备设备，让原备设备成为主设备，再升级原来的主设备，最后再切回来。

如果已经在升级过程中发现协商失败，立刻检查两台设备版本是否一致，用display version对比。如果不一致，把未升级的那台快速升级到相同版本，或者回退已升级设备的版本。

5.5 会话备份对性能的影响

HRP开启后，主设备的会话表会持续备份到备设备，这会消耗主设备的CPU和内存资源，也会占用心跳口带宽。在USG6525E上，如果业务流量很大，全量备份模式可能影响防火墙的转发性能。

我见过一个场景：防火墙吞吐量达到1.5Gbps时，开启fast backup后主设备CPU使用率明显上升，达到70%以上，但关闭fast backup后，CPU下降到40%左右。实际业务有轻微影响，但不至于中断。

如果遇到性能瓶颈，建议这样调整：

• 改用按需备份，只备份关键业务会话
• 关闭fast backup，用普通备份模式
• 增大心跳口MTU，减少报文分片
• 把会话备份数据同步和VGMP报文分到不同心跳口

6. 日常维护：HA状态怎么看、日志怎么查、切换记录怎么留

6.1 状态查看命令

运维阶段，我每周都会例行检查一下HA状态，用这几条命令：

display hrp state display hrp interface display hrp packet statistics display hrp configuration

重点看display hrp state里的角色是否一主一备、display hrp packet statistics里是否有丢弃的报文。如果主备角色频繁切换，说明心跳链路不稳定或者设备负载过重，需要排查。

6.2 日志查看

防火墙的HA事件会记录在系统日志里，查看方式：

display logbuffer | include HRP

重点关注以下日志事件：

• HRP state change：主备切换事件
• HRP packet loss：心跳报文丢包
• HRP configuration synchronize failure：配置同步失败

配置同步失败最常见的原因是备设备上手动修改过配置，导致和主设备配置不一致。解决方法是：直接在备设备上执行undo hrp enable再开启，或者手动把备设备恢复出厂后重新加入HA组。

6.3 切换记录怎么留

我强烈建议每次主备切换后都记录以下信息：切换时间、切换原因、切换后的主设备角色、业务中断时长。这些记录在做故障复盘时非常关键。

我在项目中会做一个简单的表格，记录每次切换事件：

有了这些记录，后续优化HA参数就有据可依。

6.4 定期做切换演练

HA设备最怕的不是硬件故障，而是从没切换过，真到故障时才发现备设备接管不了。我见过不少项目，双机热备部署完了就再也不动它，半年后真的发生故障时，备设备因为配置被某次误操作改坏了，切换失败，业务中断几个小时，比不做HA还惨。

建议每季度做一次主动切换测试，用hrp standby手动切一到两次，验证备设备确实能接管业务。这个操作业务中断时间极短，选择在深夜业务低谷期做，影响可以忽略。

测试完记得把角色切回来，别让主备角色长期处于错位状态。切回来后检查一下display hrp state，确保主设备恢复为Active。

7. 写在最后：一个节省大量排障时间的习惯

最后分享一个我个人的习惯。在任何华为防火墙HA项目交付时，我都会给客户交付一份HA切换记录模板，同时把心跳口、业务口、HRP状态的检查命令整理成一页纸的运维手册。

说实话，HA配置本身不复杂，复杂的是后续运维中各种意外情况。心跳线松了、光纤断了、版本升级失败、配置被误改，每一件都可能触发一次意外切换。只有平时把状态监控和切换演练做扎实，真出问题时才能从容应对。

如果你还没做过USG6525E的HA部署，建议先在测试环境搭一套，把主备切换、会话同步、接口跟踪这些功能全部验证一遍，再上生产。这台设备的HA机制已经非常成熟，按照上面的思路来规划，踩坑的几率会小很多。