如果要两台FW工作在主备备份模式，需要将一台FW的所有VRRP备份组状态都配置为active，另一台FW的所有VRRP备份组状态都配置为standby。
如图1所示，FW_A的所有VRRP备份组状态都被配置成active，FW_B的所有VRRP备份组状态都被配置成standby。正常情况下，两台FW的VGMP组状态都是load-balance，VRRP备份组的运行状态由配置决定。因此，FW_A的VRRP备份组运行状态都是Master，FW_B的VRRP备份组运行状态都是Backup。
由于内部网络中主机的网关都被设置成了VRRP备份组2的虚拟IP地址10.0.0.1，这些主机在访问外部网络时，会广播一个ARP请求报文，请求10.0.0.1的MAC地址。FW_A的VRRP备份组1状态为Master，会响应内网主机的ARP请求。FW_B的VRRP备份组1状态为Backup，不会响应内网主机的ARP请求。FW_A响应的ARP报文会刷新交换机的MAC地址表和主机的ARP缓存表，使主机发往外部网络的流量都被引导到FW_A上处理。
同理，路由器R1和R2到内部网络路由的下一跳地址被设置成了VRRP备份组1的虚拟IP地址10.0.1.1。外部网络发往内部网络的流量也被引导到FW_A上处理。
表1 上图中的VRRP备份组配置
| FW_A | FW_B |
|---|---|
|
|
如图2所示，FW_A的上行业务接口故障，FW_A的VRRP备份组1的状态变为Initialize。同时，FW_A和FW_B的VGMP组状态也发生了变化。FW_A的VGMP组状态变为standby，FW_B的VGMP组状态变为active。FW_A和FW_B基于VGMP组状态对VRRP备份组状态进行调整。FW_A上VRRP备份组2的状态被调整为Backup。FW_B上VRRP备份组1和2的状态都被调整为Master。
FW_B上VRRP备份组状态由Backup变为Master时会广播免费ARP报文，报文中携带VRRP备份组的虚拟IP地址和接口的MAC地址（开启接口虚MAC地址功能时，携带虚MAC地址）。免费ARP报文会刷新交换机的MAC地址表、主机和路由器的ARP缓存表。这样，内外部网络之间的流量都会被引导到FW_B上转发。
图2 基于VRRP实现主备备份（FW_A故障）
综上所述，正常情况下，只有FW_A在处理内外部网络之间的流量，FW_B没有处理流量。FW_A和FW_B之间形成主备备份模式的双机热备，FW_A为主机，FW_B为备机。当FW_A故障时，FW_B能自动接替FW_A继续处理内外部网络之间的流量，保证业务不中断。
