TAM双机热备部署方案有么？

直接IMC+TAM双机，参考：

https://www.h3c.com/cn/d_202502/2356665_30005_0.htm

实现 TAM 的高可用，本质上就是部署 iMC 平台的双机热备。当前环境下，最推荐的是投入产出比最高的“双机冷备”方案，而非传统的双机热备。

 两种主流方案对比

 推荐方案：iMC 双机冷备 配置思路

对于大多数环境，双机冷备是更明智的选择，核心在“设备侧的双机配置”。

1. 环境准备：准备好主、备两台服务器，安装相同版本的 iMC 平台和 TAM 等组件。在主服务器上完成 TAM 的所有业务配置（设备、用户、策略）。

2. 部署 DBMAN 工具：分别在主、备服务器上部署 iMC 自带的“自动备份与恢复工具 (DBMAN)”，实现主服务器到备服务器的数据库自动备份与恢复。

3. 设备侧双机配置（冷备核心）：冷备时主备 iMC 的 IP 不同，因此需要在所有被管理的网络设备上，将备 iMC 的 IP 配置为第二 TACACS+ 认证服务器。以 H3C 交换机为例：

   # 创建HWTACACS方案

   hwtacacs scheme imc_tam primary authentication 192.168.1.10 # 主IMC的IP primary authorization 192.168.1.10 primary accounting 192.168.1.10 secondary authentication 192.168.1.20 # 备IMC的IP secondary authorization 192.168.1.20 secondary accounting 192.168.1.20当主 iMC 宕机，设备会自动尝试与备 iMC 通信，无需人工干预。

4. 故障切换：主服务器故障时，手动或自动将备服务器（及数据库）启用，接管认证业务。

一、方案概述

二、组网规划（核心）

1. 设备与接口规划（两台 TAM，型号 / 版本 / 授权一致）

2. 物理连接

• 上下行：TAM1/TAM2 内网口接核心交换机，外网口接出口路由器 / 防火墙；核心 / 路由器侧配置静态路由指向虚拟 IP。
• 心跳线：TAM1 与 TAM2 的心跳口（如 eth5）直连（二层互通，无中间设备）。
• 数据同步线：TAM1 与 TAM2 的同步口（如 eth6）直连（独立链路，避免抢占带宽）。

3. 组网拓扑简图

三、前提条件（必须满足）

1. 两台 TAM硬件型号一致、软件版本一致（建议同版本升级）、授权一致（含双机授权）。
2. 心跳口 / 同步口未配置业务 IP、无 VLAN 划分、直连互通（30 位掩码，仅两个可用 IP）。
3. 基础网络连通：主机 / 备机内网 / 外网物理 IP 可互通，虚拟 IP 未被占用。
4. 配置时机：先配置主机基础网络与策略，再配置备机，最后启用双机热备。

四、详细配置步骤（Web 界面，深信服 TAM 7.0 + 通用）

步骤 1：主机（TAM1）基础配置

1. 网络接口：配置内网口（10.1.1.2/24）、外网口（202.100.1.2/24）、心跳口 eth5（192.168.100.1/30）、同步口 eth6（192.168.200.1/30），接口均为三层模式。
2. 路由配置：默认路由指向外网网关，内网路由指向核心交换机。
3. 策略配置：配置上网行为管理策略、认证策略、审计策略等（主机策略后续自动同步到备机）。

步骤 2：主机（TAM1）双机热备配置

1. 进入系统 → 高可用性 → 双机热备，勾选启用双机热备。
2. 运行模式：选择主备备份。
3. 心跳配置：
   • 心跳接口：选择 eth5
   • 本端 IP：192.168.100.1
   • 对端 IP：192.168.100.2
4. 数据同步配置（可选但推荐）：
   • 同步接口：选择 eth6
   • 本端 IP：192.168.200.1
   • 对端 IP：192.168.200.2
5. 组 0 配置（主备优先级）：
   • 优先级：100（数值越大优先级越高，默认 100）
   • 抢占开关：启用（主机恢复后抢占回主角色）
   • 抢占延时：60 秒（避免链路震荡频繁切换）
6. 虚拟 IP 配置：
   • 内网虚拟 IP：接口选内网口，IP 填 10.1.1.1/24
   • 外网虚拟 IP：接口选外网口，IP 填 202.100.1.1/24
7. 接口监视：勾选内网口、外网口（接口 Down 时触发切换）。
8. 保存配置，主机双机配置完成。

步骤 3：备机（TAM2）基础配置

1. 网络接口：配置内网口（10.1.1.3/24）、外网口（202.100.1.3/24）、心跳口 eth5（192.168.100.2/30）、同步口 eth6（192.168.200.2/30），三层模式，无策略配置（后续同步主机策略）。
2. 路由配置：同主机，默认路由指向外网网关。

步骤 4：备机（TAM2）双机热备配置

1. 进入系统 → 高可用性 → 双机热备，勾选启用双机热备。
2. 运行模式：选择主备备份。
3. 心跳配置：
   • 心跳接口：选择 eth5
   • 本端 IP：192.168.100.2
   • 对端 IP：192.168.100.1
4. 数据同步配置：
   • 同步接口：选择 eth6
   • 本端 IP：192.168.200.2
   • 对端 IP：192.168.200.1
5. 组 0 配置：
   • 优先级：90（低于主机，默认备机）
   • 抢占开关：启用
   • 抢占延时：60 秒
6. 虚拟 IP 配置：同主机（内网 10.1.1.1、外网 202.100.1.1）。
7. 接口监视：勾选内网口、外网口。
8. 保存配置，备机双机配置完成。

步骤 5：双机同步与状态确认

1. 配置同步：主机配置自动同步到备机，同步时间约 1-3 分钟（取决于配置量）。
2. 状态查看：进入系统 → 高可用性 → 双机热备，查看状态：
   • 主机：角色Active（主），心跳状态正常，同步状态已同步
   • 备机：角色Standby（备），心跳状态正常，同步状态已同步
     

五、验证测试（必做）

1. 连通性测试：内网终端 ping 虚拟 IP（10.1.1.1），长 ping 无丢包。
2. 故障切换测试：
   • 拔主机内网 / 外网网线：秒级切换，备机接管虚拟 IP，长 ping 无中断。
   • 恢复主机网线：60 秒后主机抢占回主角色，业务无影响。
3. 配置同步测试：主机新增 / 修改策略，备机自动同步，配置一致。
4. 会话同步测试：主机在线用户会话，切换后备机保持会话，无需重新认证。

六、关键注意事项

1. 双机热备期间禁止修改备机配置，所有配置在主机操作，自动同步。
2. 心跳口 / 同步口禁止配置 NAT/ACL，放行所有流量。
3. 版本升级：先升级备机，再升级主机，避免版本不一致导致同步失败。
4. 日志备份：双机同步日志，建议定期导出审计日志，避免故障丢失。
5. 避免来回路径不一致：确保内网 / 外网流量均经过虚拟 IP，防止会话表不匹配丢包。

七、常见问题排查

1. 心跳不通：检查直连网线、接口 IP、掩码（30 位）、是否放通心跳流量。
2. 配置不同步：检查版本一致、授权有效、同步口连通、主机配置是否正确。
3. 切换失败：检查接口监视是否开启、抢占延时配置、虚拟 IP 是否冲突。