F1000-920-AI两台防火墙做堆叠

您好，请知：

以下是F1000-AI系列IRF的配置举例及链接：

https://www.h3c.com/cn/d_202106/1417778_30005_0.htm#_Toc74911865 

1.10.2  IRF典型配置举例（BFD MAD检测方式）

1. 组网需求

由于网络规模迅速扩大，当前中心设备（Device A）安全业务处理能力已经不能满足需求，现在需要另增一台设备Device B，将这两台设备组成一个IRF（如图1-15所示），并配置BFD MAD进行分裂检测。

2. 组网图

图1-15 IRF典型配置组网图（BFD MAD检测方式）

‌

3. 配置步骤

(1)     配置Device A

# 配置IRF中成员编号为1的设备的优先级为32。

<DeviceA> system-view

[DeviceA] irf member 1 priority 32

# 配置IRF端口1/2，并将它与物理端口Ten-GigabitEthernet1/0/1绑定，并保存配置，然后激活IRF端口下的配置。

[DeviceA] interface ten-gigabitethernet 1/0/1

[DeviceA-Ten-GigabitEthernet1/0/1] shutdown

[DeviceA-Ten-GigabitEthernet1/0/1] quit

[DeviceA] irf-port 1/2

[DeviceA-irf-port1/2] port group interface ten-gigabitethernet 1/0/1

[DeviceA-irf-port1/2] quit

[DeviceA] interface ten-gigabitethernet 1/0/1

[DeviceA-Ten-GigabitEthernet1/0/1] undo shutdown

[DeviceA-Ten-GigabitEthernet1/0/1] quit

[DeviceA] save

[DeviceA] irf-port-configuration active

(2)     配置Device B

# 将Device B的成员编号配置为2，并重启设备使新编号生效。

<DeviceB> system-view

[DeviceB] irf member 1 renumber 2

Warning: Renumbering the member ID may result in configuration change or loss. Continue? [Y/N]:y

[DeviceB] quit

<DeviceB> reboot

# 参照配置组网图进行物理连线。

# 重新登录到设备，配置IRF端口2/1，并将它与物理端口Ten-GigabitEthernet2/0/1绑定，并保存配置，然后激活IRF端口下的配置。

<DeviceB> system-view

[DeviceB] interface ten-gigabitethernet 2/0/1

[DeviceB-Ten-GigabitEthernet2/0/1] shutdown

[DeviceB-Ten-GigabitEthernet2/0/1] quit

[DeviceB] irf-port 2/1

[DeviceB-irf-port2/1] port group interface ten-gigabitethernet 2/0/1

[DeviceB-irf-port2/1] quit

[DeviceB] interface ten-gigabitethernet 2/0/1

[DeviceB-Ten-GigabitEthernet2/0/1] undo shutdown

[DeviceB-Ten-GigabitEthernet2/0/1] quit

[DeviceB] save

[DeviceB] irf-port-configuration active

(3)     Device A和Device B间将会进行主设备竞选，竞选失败的一方（Device B）将重启，重启完成后，IRF形成。

(4)     配置BFD MAD检测

# 创建三层聚合接口3。

[DeviceA] interface route-aggregation 3

[DeviceA-Route-Aggregation3] quit

# 分别将Device A（成员编号为1）上的接口Ten-GigabitEthernet1/0/2和Device B（成员编号为2）上的接口Ten-GigabitEthernet2/0/2加入聚合组3中。

[DeviceA] interface ten-gigabitethernet 1/0/2

[DeviceA-Ten-GigabitEthernet1/0/2] port link-aggregation group 3

[DeviceA-Ten-GigabitEthernet1/0/2] quit

[DeviceA] interface ten-gigabitethernet 2/0/2

[DeviceA-Ten-GigabitEthernet2/0/2] port link-aggregation group 3

[DeviceA-Ten-GigabitEthernet2/0/2] quit

# 开启BFD MAD功能，并配置三层聚合接口3的MAD IP地址。

[DeviceA] interface route-aggregation 3

[DeviceA-Route-Aggregation3] mad bfd enable

[DeviceA-Route-Aggregation3] mad ip address 192.168.2.1 24 member 1

[DeviceA-Route-Aggregation3] mad ip address 192.168.2.2 24 member 2

[DeviceA-Route-Aggregation3] quit

(5)     请参考组网图中的规划，配置安全域和安全策略，对Intranet网络与IP network网络之间交互的报文进行安全控制。