虚拟化环境中的防火墙虚拟机是否也需要双机HA ?

现在有很多的产品，比方说Router, Firewall，它有虚拟化的产品，就是直接部署在虚拟化环境里边的一台虚机。
在传统网络里边, 我们会部署2台做HA高可用， 那么虚拟化环境里边是否还要做两台虚机做HA？

核心结论是：虚拟化环境里的网络设备虚机，依然建议做两台主备 HA，不能只靠虚拟化平台自身 HA。
因为平台 HA 是主机 / 存储级重启，会有启动延迟、会话丢失；而网络设备虚机的 HA 是应用级切换，能同步配置和会话，故障时秒级接管。比如 NSX Edge、虚拟防火墙都要求主备虚机分散在不同物理主机，配合平台 HA 做双重冗余。如果是测试环境、非核心业务，只开平台 HA 能凑合用，但生产核心网络流量，必须两台虚机组主备，和传统物理设备逻辑一致，只是载体变成虚机。