防火墙公网出接口配置私网IP是什么意思？

背景：

企业客户XX购买华为IP解决方案来取代现有的C-Vendor网络，并完成了完全冗余的设计。

1-      网关路由器：ADSL 和专线上行链路终止于 Mushroom 网关路由器。

2-       DMZ 交换机：由于蘑菇路由器上的端口数量较少，我们在防火墙和蘑菇路由器之间使用了两个堆叠交换机以实现完全冗余。

3-      防火墙：使用两台防火墙通过 VRRP 提供完全冗余。

4-      核心交换机：CSS 中使用两个核心交换机来提供完全冗余的核心。

5-      接入交换机：使用具有 10 G 上行链路的接入交换机。

技术挑战：

我们建议在防火墙之间使用 VRRP 和 HA 来提供主动/备份防火墙。但在实施时，我们只为防火墙提供了一个公共 IP，尽管我们需要三个公共 IP 来运行 VRRP。根据 Hedex 和 Universal 标准，对于 VRRP，虚拟 IP 和物理 IP 应位于同一子网中。

因此，当仅提供一个公共 IP 用于网关路由器和防火墙通过 DMZ 交换机之间的互连时，如何运行 VRRP 是一个挑战

最终解决方案：

我们做了一些实验，效果非常好。我们为物理 IP 使用不同的子网，为虚拟 IP 使用公共 IP，如下所述，

主动防火墙：

防火墙之间也实现了HA。

#

接口Vlanif999

 IP地址 10.10.10.1 255.255.255.0

 vrrp vrid 99 虚拟 IP 213.42.235.5 255.255.255.240 活动

#

备份防火墙：

#

接口Vlanif999

 IP地址 10.10.10.2 255.255.255.0

 vrrp vrid 99 虚拟 IP 213.42.235.5 255.255.255.240 待机

#

结论

我们可以在 VRRP 中使用不同子网的虚拟 IP，尤其是在 IP 地址受到限制的情况下。