遇到华为防火墙双机热备故障，可以用这份笔记排查就行！

1、为什么原主用防火墙抢占后业务中断

如果主备切换后业务正常，原主用防火墙抢占后业务中断，通常是因为路由尚未收敛，或者会话表备份不完整。另外，某些交换机整机故障后，在重新启动的过程中，接口可能反复Up/Down。如果在此过程中抢占，也会导致业务中断。

请调整原主用防火墙的抢占延时。

2、为什么双机热备反复切换状态

请先检查业务接口状态，如果业务接口反复Down/Up，必然触发双机热备反复切换状态。如果业务接口正常，通常是因为两台防火墙的心跳报文发送间隔不一致，请修改。

3、为什么主备防火墙的配置文件上，相同配置项的顺序不同

通常是因为两台防火墙的初始配置不一致。需要把顺序不同的配置（如安全区域、虚拟防火墙）全部删除，重新配置。

强烈建议使用缺省配置开始配置双机热备。

4、为什么主用防火墙和备用防火墙的会话表不一致

请先检查备份通道状态。如果备份通道故障，主用防火墙的会话不能备份到备用防火墙。

如果关闭了会话自动备份功能，两台防火墙的会话表必然不一致。在开启会话自动备份的情况下，会话也不是实时备份的。只有当会话老化线程扫描到会话、且此会话需要备份，才会备份到备用防火墙上。因此，会话建立一段时间之后才会备份到备用防火墙上。

另外，在开启会话自动备份的情况下，如下类型的会话不备份。

到防火墙自身的会话
未完成3次握手的TCP半连接会话
只有正向单个报文、无后续包命中的UDP会话
在开启会话快速备份的情况下(hrp mirror session enable)，如下类型的会话不备份。

到防火墙自身的会话

5、来回路径不一致组网，为什么启用了会话快速备份TCP业务仍然有时候不通

来回路径不一致组网下，防火墙启动了会话快速备份，如果业务流量很大，需要备份的状态信息比较多。可能会由于备份不及时使部分业务有延时甚至不通。例如，TCP业务的SYN报文由一台防火墙转发，而ACK报文由另一台防火墙转发，若会话表还未备份过来，将导致ACK报文因状态错误被丢弃。

如果对业务的影响较大，可以关闭防火墙的链路状态检测。

6、为什么在主用防火墙上配置的命令没有备份到备用防火墙

如果关闭了配置自动备份功能，则配置命令不会备份。另外，不是所有的命令都备份，如接口和路由相关的配置不会备份。

具体哪些命令可以备份，请参考产品文档。

7、为什么Ping不通VRRP虚拟IP地址

可能原因如下：

VRID冲突。
拟IP地址的Ping开关，以方便监控。此开关默认开启，如被禁用，请执行vrrp virtual-ip ping enable命令开启。

8、为什么双机热备配置一致性检查时，会提示license配置不一致

告警中存在如下信息:
HRPI/1/COCHK:1.3.6.1.4.1.2011.6.122.51.2.2.4 The configurations between active and standby device is different(license).双机热备配置一致性检查时，针对license的检查内容如下，只要任意一项不一致就识别为license配置不一致。
主备FW的License状态是否一致。License状态包含已激活、未激活、失效、紧急状态。
主备FW的License控制项种类是否一致。
主备FW的License资源数量是否一致。
主备FW的入侵防御/反病毒/URL远程查询升级服务器到期时间是否一致。