一、NSRP工作原理
NSRP（NetScreen Redundant Protocol）是Juniper公司基於VRRP協定規範自行開發的設備冗餘協定。防火牆作為企業核心網路中的關鍵設備，需要為所有進出網路的信息流提供安全保護，為滿足客戶不間斷業務訪問需求，要求防火牆設備必須具備高可靠性，能夠在設備、鏈路及互連設備出現故障的情況下，提供網路訪問路徑無縫切換。NSRP冗餘協定提供複雜網路環境下的冗餘路徑保護機制。NSRP主要功能有：1、在高可用群組成員之間同步配置信息；2、提供活動會話同步功能，以保證發生路徑切換情況下不會中斷網路連線；3、採用高效的故障切換算法，能夠在短短几秒內迅速完成故障檢測和狀態切換。
NSRP集群兩種工作模式：
一、Active/Passive模式：通過對一個冗餘集群中的兩台安全設備進行電纜連線和配置，使其中一台設備作為主用設備，另一台作為備用設備。主用設備負責處理所有網路信息流，備用設備處於線上備份狀態。主設備將其網路和配置命令及當前會話信息傳播到備用設備，備用設備始終保持與主用設備配置信息和會話連線信息的同步，並跟蹤主用設備狀態，一旦主設備出現故障，備份設備將在極短時間內晉升為主設備並接管信息流處理。
二、Active/Active模式：在NSRP中創建兩個虛擬安全設備 (VSD) 組，每個組都具有自己的虛擬安全接口(VSI)，通過VSI接口與網路進行通信。設備A充當VSD組1的主設備和VSD 組2的備份設備。設備B充當VSD組2的主設備和VSD組1的備份設備。Active/Active模式中兩台防火牆同時進行信息流的處理並彼此互為備份。在雙主動模式中不存在任何單一故障點。如下圖所示，通過調整防火牆上下行路由/交換設備到網路的路由指向，HostA通過左側路徑訪問ServerA，HostB通過右側路徑訪問ServerB，網路中任一設備或鏈路出現故障時，NSRP集群均能夠做出正確的路徑切換。
NSRP集群技術優勢主要體現於：
1、消除防火牆及前後端設備單點故障，提供網路高可靠性。即使在骨幹網路中兩類核心設備同時出現故障，也能夠保證業務安全可靠運行。
2、根據客戶網路環境和業務可靠性需要，提供靈活多樣的可靠組網方式。NSRP雙機集群能夠提供1、Active-Passive模式Layer2/3多虛擬路由器多虛擬系統和口型/交叉型組網方式；2、Active-Active模式Layer2/3多虛擬路由器多虛擬系統和口型/Fullmesh交叉型組網方式。為用戶提供靈活的組網選擇。
3、NSRP雙機結構便於網路維護管理，通過將流量在雙機間的靈活切換，在防火牆軟體升級、前後端網路結構最佳化改造及故障排查時，雙機結構均能夠保證業務的不間斷運行。
4、結合Netscreen虛擬系統和虛擬路由器技術，部署一對NSRP集群防火牆，可以為企業更多的套用提供靈活可靠的安全防護，減少企業防火牆部署數量和維護成本。
二、NSRP典型結構與配置
1、Layer3 口型A/P組網模式
Layer3 口型A/P組網模式是當前很多企業廣泛採用的HA模式，該模式具有對網路環境要求不高，無需網路結構做較大調整，具有較好冗餘性、便於管理維護等優點。缺點是Netscreen防火牆利用率不高，同一時間只有一台防火牆處理網路流量；冗余程度有限，僅在一側鏈路和設備出現故障時提供冗餘切換。Layer3 口型組網A/P模式具有較強冗餘性、低連線埠成本和網路結構簡單、便於維護管理等角度考慮，成為很多企業選用該組網模式的標準。
配置說明：兩台Netscreen設備採用相同硬體型號和軟體版本，組成Active/Passive冗餘模式，兩台防火牆均使用一致的Ethernet接口編號連線到網路。通過雙HA連線埠或將2Ethernet接口放入HA區段，其中控制鏈路用於NSRP心跳信息、配置信息和Session會話同步，數據鏈路用於在兩防火牆間必要時傳輸數據流量。
2、Layer3 Fullmesh A/P組網模式
Layer3 Fullmesh連線A/P組網使用全交叉網路連線模式，容許在同一設備上提供鏈路級冗餘，發生鏈路故障時，由備用鏈路接管網路流量，防火牆間無需進行狀態切換。僅在上行或下行兩條鏈路同時發生故障情況下，防火牆才會進行狀態切換，Fullmesh連線進一步提高了業務的可靠性。該組網模式在提供設備冗餘的同時提供鏈路級冗餘，成為很多企業部署關鍵業務時的最佳選擇。
3、Layer3 Fullmesh連線A/A組網模式
Layer3 Fullmesh連線A/A結構提供了一種更為靈活的組網方式，在保證網路高可靠性的同時提升了網路的可用性。A/A結構中兩台防火牆同時作為主用設備並提供互為線上備份，各自獨立處理信息流量並共享連線會話信息。一旦發生設備故障另一台設備將負責處理所有進出網路流量。Fullmesh連線A/A組網模式對網路環境要求較高，要求網路維護人員具備較強技術能力，防火牆發生故障時，接管設備受單台設備容量限制，可能會導致會話連線信息丟失，採用A/A模式組網時，建議每台防火牆負責處理的會話連線數量不超過單台設備容量的50％，以確保故障切換時不會丟失會話連線。
配置說明：定義VSD0和VSD1虛擬安全設備組(創建Cluster ID時將自動創建VSD0)，其中NS-A為VSD0主用設備和VSD1備用設備，NS-B為VSD1主用設備和VSD0備用設備；創建冗餘接口實現兩物理接口動態冗餘；配置交換機路由指向來引導網路流量經過哪個防火牆。
