双机热备必须通过hrp协议实现会话、server-map、arp等表项实时同步，并配置物理隔离的独立心跳链路及vgmp统一管理，确保切换时连接不中断、策略不乱、流量不绕路。
关键业务对网络中断零容忍，双机热备不是“有就行”，而是要确保切换时会话不丢、策略不乱、流量不绕路。核心在于主备协同机制必须覆盖状态、配置、检测三个层面，不能只靠VRRP“换IP”了事。
必须启用HRP协议实现会话级同步
仅配VRRP只能切换网关IP，但防火墙的会话表（Session）不会自动复制。用户正在视频会议或大文件上传时主设备宕机，备机因无会话上下文，连接直接中断。HRP协议解决这个问题：
- 实时同步动态会话表：TCP/UDP连接的源目IP、端口、序列号、状态等全部镜像到备机
- 同步Server-Map表：NAT Server、端口映射、ASPF关联表项一并同步，外网访问内部服务器不中断
- 同步ARP、黑名单、白名单等动态表项，避免切换后地址解析失败或策略误判
心跳链路必须物理隔离且独立规划
心跳线是主备决策的“神经中枢”，不能复用业务接口或走交换机中转：
- 使用专用物理接口（如GigabitEthernet1/0/6），直连两台防火墙，禁用中间设备
- 分配独立网段（如10.10.0.0/30），严禁与业务、管理、DMZ等任何网段重叠
- 接口需加入相同安全区域（如trust），并放行HRP协议（默认UDP 10241）和VGMP协议
- 建议配置双心跳链路（主备各一条），防止单点链路故障引发误切换
VGMP统一管理避免状态分裂
防火墙通常有多个三层接口（外网、内网、DMZ），若每个接口单独运行VRRP，可能主设备外网口升主、内网口却降备，造成“流量黑洞”。VGMP协议将整机视为一个逻辑单元：
- VGMP组统一控制所有VRRP组的状态切换，保证整机角色一致
- 通过优先级+抢占模式设定主备关系，主设备故障时，备设备VGMP组优先级自动升高并接管全部VRRP组
- 配置中需确保两台设备VGMP组ID相同、心跳参数一致，否则无法形成有效组
验证必须覆盖真实业务流场景
配置完成后不能只看“State: Master/Slave”，要模拟真实压力：
- 在内网发起持续HTTP下载、SSH长连接、VoIP通话，再手动关闭主防火墙电源
- 观察客户端是否感知中断（ping丢包≤1个、TCP连接未重置、视频画面无卡顿）
- 登录备机执行display hrp state确认同步状态为“Standby Ready”，display firewall session table verbose比对关键会话是否存在
- 检查回切逻辑：主设备恢复后是否按配置自动回主，或保持备机继续承载（避免频繁震荡）
