agentsclimarketplace

Ha hrp

Skill nanxiaoyao/network-huawei-skills/ha-hrp

Huawei network device (USG firewall + S/CE switch) CLI skills pack for OpenClaw AI agent — also usable as a standalone cheatsheet.

Install
npx -y skills add nanxiaoyao/network-huawei-skills --skill ha-hrp

Assembled from the repository path, not quoted from the project. Check it against their README if it does not work.

One thing to look at

  • 0 stars0 stars. Stars are a popularity signal and not a quality one, but at this level it is likely that nobody has read this closely except its author, and you would be relying on your own review.

What its author says it does

Copied from the file, not written here

This skill should be used when the user asks to configure or troubleshoot Huawei USG6000E firewall hot-standby (HRP/VGMP/VRRP) dual-system backup. Covers active/standby, load-balancing, layer-2 transparent, mirror-mode, and virtual-system HA scenarios. Applicable platforms USG6000E V600R007C20+ and USG6000/USG9500/NGFW Module V500R005C20+ (CLI syntax identical between versions).

SKILL.md

7.1 KB, ~2.5k tokens by cl100k_base, as published. Nobody here has run it

华为 USG 双机热备配置技能 (ha-hrp)

适用平台 USG6000E 系列 适用版本 V600R007C20+ 文档来源 HUAWEI USG6000E V600R007C20 产品文档 (案例编号 sec_case_ha_0001-0030)

USG 双机热备由 VGMP+HRP+VRRP 三者协同实现 VGMP 管理状态 HRP 备份配置和会话 VRRP 对外提供虚拟网关 任一台 FW 故障 业务秒级切换

触发场景

  • 双机主备备份 active-standby 部署
  • 双机负载分担 load-balancing 部署
  • 防火墙二层透明接入主备
  • 旁挂交换机 静态路由引流双机
  • 镜像模式双机
  • 虚拟系统双机
  • 配置不同步 主备状态异常
  • HRP 心跳通道异常 备份链路抖动
  • 业务切换不丝滑 切换丢包多

三层组件协作模型

┌──────────────────────────────────────────────┐
│  VRRP   对外虚拟 IP   终端网关无感知切换       │
├──────────────────────────────────────────────┤
│  VGMP   组管理   决定整机主备   防止脑裂       │
├──────────────────────────────────────────────┤
│  HRP    配置/会话备份   心跳链路心跳           │
└──────────────────────────────────────────────┘

VGMP 是核心 VRRP 备份组加入 VGMP 管理 整机主备状态由 VGMP 决定 不再由单个 VRRP 自行选举

主流组网类型 选型表

组网适用上下行设备关键技术
三层主备直连交换机最经典 出口防火墙交换机VRRP + VGMP
三层主备连路由器ISP 给单 IP路由器VRRP + VGMP
三层 OSPF 主备上联路由器跑动态路由路由器OSPF cost 调整 + VGMP
二层透明主备防火墙不当网关上下交换机VLAN + VGMP
三层负载分担流量大 双活交换机双 VRRP 互为主备
旁挂静态路由不改原有组网交换机引流静态路由 + VGMP
虚拟系统 HA多租户隔离同上vsys + 独立 VRRP
镜像模式抢救流量不丢任意镜像配置 + 会话同步

配置六步走 标准范式

1 接口 IP 与安全区域

两台 FW 业务接口规划相同 IP 不同 例如 GE0/0/1 主 10.2.0.1 备 10.2.0.2

2 配置 VRRP 备份组

上下行业务接口都要配 VRID 区分 主侧 active 备侧 standby

interface GigabitEthernet 0/0/1
 vrrp vrid 1 virtual-ip 1.1.1.1 24 active   # 主
 vrrp vrid 1 virtual-ip 1.1.1.1 24 standby  # 备

3 配置心跳口与 HRP

心跳口必须直连 不接安全区域 不配业务路由 走独立接口（如 GE0/0/7）

hrp interface GigabitEthernet 0/0/7 remote 10.10.0.2
hrp enable

启用后命令行出现 HRP_M / HRP_S 提示符

4 同步配置 在主上配 自动同步到备

启用 hrp enable 后 在主侧（HRP_M）配置安全策略 NAT 路由等 自动推到备 显式触发同步：hrp auto-sync config（默认开）

5 安全策略 NAT 等业务配置

注意 全部在主侧 HRP_M 配置 备侧 HRP_S 不要动 否则告警

6 验证与切换演练

拔主侧上行口 看备升主 业务丢包应 <3 秒

命令体系

VRRP

interface <if>
 vrrp vrid <id> virtual-ip <ip> [<mask>] { active | standby }
 vrrp vrid <id> priority <num>            # 优先级
 vrrp vrid <id> preempt-mode timer delay <s>  # 抢占延时

VGMP 与 HRP 核心

hrp enable                                # 启用 HRP
hrp interface <if> [ remote <ip> ]        # 心跳接口
hrp mirror session enable                 # 会话镜像 双活组网需开
hrp track interface <if>                  # 监控接口
hrp standby-device                        # 强制本机为备
hrp preempt [ delay <s> ]                 # 抢占
hrp adjust ospf-cost enable               # 备机自动加 OSPF cost

查看

display vrrp                              # VRRP 状态
display hrp state [ verbose ]             # VGMP 主备角色
display hrp interface                     # 心跳口
display hrp configuration                 # 已同步配置统计
display firewall session table            # 看 Remote 标记 表示会话已备份
display hrp track                         # 监控接口状态

切换与维护

hrp standby-device                        # 强制降备 维护用
undo hrp enable                           # 解除 HRP 关系（谨慎）
hrp auto-sync config enable               # 配置自动同步
hrp auto-sync connection-status enable    # 会话自动同步

经典 CLI 范式 三层主备直连交换机

完整配置脚本（节选自 sec_case_ha_0002）

FW_A 主：

system-view
interface GigabitEthernet 0/0/1
 ip address 10.2.0.1 24
 vrrp vrid 1 virtual-ip 1.1.1.1 24 active
interface GigabitEthernet 0/0/3
 ip address 10.3.0.1 24
 vrrp vrid 2 virtual-ip 10.3.0.3 active
interface GigabitEthernet 0/0/7
 ip address 10.10.0.1 24
firewall zone trust
 add interface GigabitEthernet 0/0/3
firewall zone untrust
 add interface GigabitEthernet 0/0/1
firewall zone dmz
 add interface GigabitEthernet 0/0/7
ip route-static 0.0.0.0 0.0.0.0 1.1.1.10
hrp interface GigabitEthernet 0/0/7 remote 10.10.0.2
hrp enable

FW_B 备：仅 IP 不同（10.2.0.2 / 10.3.0.2 / 10.10.0.2）VRRP 状态改 standby HRP remote 改 10.10.0.1

随后在 HRP_M 提示符下配安全策略与 NAT 自动同步到备：

HRP_M[FW_A] security-policy
HRP_M[FW_A-policy-security] rule name trust_to_untrust
HRP_M[FW_A-policy-security-rule-trust_to_untrust] source-zone trust
HRP_M[FW_A-policy-security-rule-trust_to_untrust] destination-zone untrust
HRP_M[FW_A-policy-security-rule-trust_to_untrust] source-address 10.3.0.0 24
HRP_M[FW_A-policy-security-rule-trust_to_untrust] action permit

验证标志

display hrp state verbose 正常输出

Role: active, peer: standby
Running priority: 45000, peer: 45000
Backup channel usage: 30%

display firewall session table 在备侧能看到带 Remote 标记的会话 表示备份成功

常见陷阱

  • 心跳口配错或没直连 → 双主脑裂 业务异常
  • 备机被手工改了配置 → 出现 HRP_S 与 HRP_M 配置不一致告警 须 hrp auto-sync config enable 并清差异
  • VRRP 备份组 active/standby 写反 → 主备颠倒
  • 没开 hrp mirror session enable → 负载分担场景会话不双向同步 切换大量丢包
  • 监控接口没用 hrp track interface → 上行口断了 整机不切

相关文件

  • references/ha-commands.md 完整命令速查
  • references/ha-troubleshooting.md 故障定位流程

Keep looking

Skills are one crate of 328,083. Ordering is by how many stacks a row turns up in, so the top of any crate is what has actually been picked rather than what has the most stars.