问

FW做IRF堆叠透明部署，外部访问不正常，有点像是来回路径不一致

1天前提问

0关注
0收藏，97浏览

加加钱

加加钱三段

粉丝：1人关注：0人

问题描述：

AK防火墙做的IRF堆叠，核心6口一聚合组，防火墙26口一个聚合组，27口一个聚合组，业务交换机26口一个聚合组都是trunk all 互联现在是外部网络访问不正常，有点像是来回路径不一致？？？

因为业务链路都是千兆，好像不太合适做主备。RBM双主的话，不确定会话问题一样？

3 个回答

按时间按赞数

已采纳

刘浩存

刘浩存九段

粉丝：22人关注：1人

在AK防火墙做IRF堆叠且采用透明部署的场景下，外部访问异常且疑似“来回路径不一致”，通常是由哈希极化（Hash Polarization）或跨板卡限制叠加导致的。针对您提到的千兆链路不适合做主备，以及RBM双主模式下的会话问题，以下是详细的分析与解决方案：

1. 故障根因分析

哈希极化与跨框流量：核心交换机与防火墙之间的聚合链路基于哈希算法（如源目IP/MAC）进行负载分担。当流量被哈希到备框（Backup）时，如果备框上缺乏对应的会话记录或不满足板卡一致性要求，就会导致回程流量被丢弃，表现为部分客户端正常、部分异常。
跨板卡限制：在Comware V9平台的IRF堆叠中，NAT Hairpin等特定功能要求相关接口必须在同一接口板上，否则无法正常工作。跨框流量会直接触发此底层限制。

2. 关于RBM双主模式的解答

您担心的“RBM双主是否也会有同样的会话问题”是准确的。

会话同步的局限性：虽然开启会话同步可以解决纯转发流量的非对称路径问题，但对于涉及 NAT、VPN 等复杂业务时，依然可能会出现异常。
官方最佳实践：H3C官方明确建议，防火墙堆叠最好使用冗余口/冗余组替代 IRF双主+聚合口的方式。如果条件允许，推荐将防火墙调整为 RBM（主备冗余组）模式，通过 redundancy group 和 redundancy interface 进行配置，结合NQA检测上联状态，这是最稳妥的组网方式。

3. 当前IRF双主架构下的解决方案

如果您目前必须维持IRF双主+聚合的架构，可以通过以下方案解决来回路径不一致及跨板卡问题（按推荐优先级排列）：

方案一：指定统一流量处理板卡（推荐）
在防火墙的聚合口下，使用 service chassis 命令，强制指定所有成员口的流量都由同一个框的同一块板卡来处理，从而避免跨板卡和跨框问题。

配置示例：interface Route-Aggregation X -> service chassis <chassis-number> slot <slot-number>
注意：需同时关闭聚合口的本地优先转发：undo link-aggregation load-sharing mode local-first。

方案二：调整接口物理位置
将NAT Hairpin内网口与NAT Outbound出接口调整到同一物理接口板上，从根本上绕过跨板卡限制。

方案三：开启会话宽松模式（临时缓解）
如果上述方案暂时无法实施，可以临时在防火墙上开启会话宽松模式（如华三设备的 session state-machine mode loose），允许非对称路径通过。

注意：此方法会降低防火墙的状态检测能力，仅建议作为排查或过渡手段，长期仍需优化组网。

zhiliao_Lh5zHV

zhiliao_Lh5zHV 四段

粉丝：0人关注：1人

RBM双主会话也是可以同步的；一般建议做主备模式

回复加加钱:

1.23.6 HA透明双主直路组网典型配置举例 1. 组网需求如图1-24所示，某公司以Device作为网络边界安全防护设备，连接公司内部网络和Internet，Device的上、下行业务接口均为二层接口。为提高业务稳定性，使用两台Device进行HA组网，同时需要两台Device同时处理业务，提高业务处理能力。但是当Device A或其链路发生故障时，Device B可以接替Device A继续工作，保证业务不会中断。 2. 组网图图1-24 HA透明双主直路组网图 ‌ 3. 配置步骤 (1) 确保主备设备的软硬件环境一致 # 在配置HA功能之前，请先保证主/备设备的硬件环境和软件环境的一致性。 (2) 配置Router A # 在Router A上配置OSPF功能使流量可以到达Internet和内网主机，同时保证Router A到达内网主机的流量可以在两条链路上进行负载分担。 (3) 配置Router B # 在Router B上配置OSPF功能使流量可以到达Internet和内网主机，同时保证Router B到达Internet的流量可以在两条链路上进行负载分担。 (4) 配置Device A a. 配置VLAN # 使接口GigabitEthernet1/0/1和GigabitEthernet1/0/2工作在二层模式，具体配置步骤如下。 <DeviceA> system-view [DeviceA] interface range gigabitethernet 1/0/1 to gigabitethernet 1/0/2 [DeviceA-if-range] port link-mode bridge [DeviceA-if-range] quit # 根据组网图中规划的信息，创建VLAN 10，并将接口加入VLAN，具体配置步骤如下。 [DeviceA] vlan 10 [DeviceA-vlan10] port gigabitethernet 1/0/1 [DeviceA-vlan10] port gigabitethernet 1/0/2 [DeviceA-vlan10] quit b. 配置接口IPv4地址 # 根据组网图中规划的信息，配置各接口的IPv4地址，具体配置步骤如下。 [DeviceA] interface gigabitethernet 1/0/3 [DeviceA-GigabitEthernet1/0/3] ip address 10.2.1.1 255.255.255.0 [DeviceA-GigabitEthernet1/0/3] quit c. 配置接口加入安全域。 # 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。 [DeviceA] security-zone name untrust [DeviceA-security-zone-Untrust] import interface gigabitethernet 1/0/1 vlan 10 [DeviceA-security-zone-Untrust] quit [DeviceA] security-zone name trust [DeviceA-security-zone-Trust] import interface gigabitethernet 1/0/2 vlan 10 [DeviceA-security-zone-Trust] quit d. 配置安全策略，允许所需的业务报文通过此部分安全策略只需在主管理设备配置，HA组网完成后，从管理设备会自动同步这些安全策略配置信息。 # 配置名称为trust-untrust的安全策略规则，使10.1.1.0/24网段的内网用户可以主动访问Internet，但是Internet上的用户不能访问内网，具体配置步骤如下。 [DeviceA] security-policy ip [DeviceA-security-policy-ip] rule name trust-untrust [DeviceA-security-policy-ip-3-trust-untrust] source-zone trust [DeviceA-security-policy-ip-3-trust-untrust] destination-zone untrust [DeviceA-security-policy-ip-3-trust-untrust] source-ip-subnet 10.1.1.0 24 [DeviceA-security-policy-ip-3-trust-untrust] action pass [DeviceA-security-policy-ip-3-trust-untrust] quit # 配置安全策略规则，允许OSPF协议报文通过，保证OSPF邻居的建立和路由的学习。 [DeviceA-security-policy-ip] rule name ospf1 [DeviceA-security-policy-ip-4-ospf1] source-zone trust [DeviceA-security-policy-ip-4-ospf1] destination-zone untrust [DeviceA-security-policy-ip-4-ospf1] service ospf [DeviceA-security-policy-ip-4-ospf1] action pass [DeviceA-security-policy-ip-4-ospf1] quit [DeviceA-security-policy-ip] rule name ospf2 [DeviceA-security-policy-ip-5-ospf2] source-zone untrust [DeviceA-security-policy-ip-5-ospf2] destination-zone trust [DeviceA-security-policy-ip-5-ospf2] service ospf [DeviceA-security-policy-ip-5-ospf2] action pass [DeviceA-security-policy-ip-5-ospf2] quit [DeviceA-security-policy-ip] quit e. 配置高可靠性本举例仅用以太网接口作为控制通道和数据通道接口使用。对于设备同时拥有HA接口和以太网接口的情况，建议使用HA接口作为控制通道和数据通道接口使用，这样能够更好地保护设备的安全性和稳定性。HA接口不能作为业务接口使用。 # 使用两台Device进行HA组网，需要两台Device同时处理业务，提高业务处理能力。但是当Device A或其链路发生故障时，Device B可以接替Device A继续工作，保证业务不会中断。 [DeviceA] remote-backup group [DeviceA-remote-backup-group] remote-ip 10.2.1.2 [DeviceA-remote-backup-group] local-ip 10.2.1.1 [DeviceA-remote-backup-group] data-channel interface gigabitethernet 1/0/3 [DeviceA-remote-backup-group] device-role primary RBM_P[DeviceA-remote-backup-group] backup-mode dual-active RBM_P[DeviceA-remote-backup-group] hot-backup enable RBM_P[DeviceA-remote-backup-group] configuration auto-sync enable RBM_P[DeviceA-remote-backup-group] configuration sync-check interval 12 RBM_P[DeviceA-remote-backup-group] delay-time 1 # 配置HA监控接口GigabitEthernet1/0/1和GigabitEthernet1/0/2的状态。 RBM_P[DeviceA-remote-backup-group] track interface gigabitethernet 1/0/1 RBM_P[DeviceA-remote-backup-group] track interface gigabitethernet 1/0/2 RBM_P[DeviceA-remote-backup-group] quit f. 配置安全业务 # 以上有关HA的配置部署完成后，可以配置各种安全业务。对于HA支持配置信息备份的功能模块仅需要在此主管理设备上（Device A）进行配置即可。 (5) 配置Device B a. 配置VLAN # 使接口GigabitEthernet1/0/1和GigabitEthernet1/0/2工作在二层模式，具体配置步骤如下。 <DeviceB> system-view [DeviceB] interface range gigabitethernet 1/0/1 to gigabitethernet 1/0/2 [DeviceB-if-range] port link-mode bridge [DeviceB-if-range] quit # 根据组网图中规划的信息，创建VLAN 10，并将接口加入VLAN，具体配置步骤如下。 [DeviceB] vlan 10 [DeviceB-vlan10] port gigabitethernet 1/0/1 [DeviceB-vlan10] port gigabitethernet 1/0/2 [DeviceB-vlan10] quit b. 配置接口IPv4地址 # 根据组网图中规划的信息，配置各接口的IPv4地址，具体配置步骤如下。 [DeviceB] interface gigabitethernet 1/0/3 [DeviceB-GigabitEthernet1/0/3] ip address 10.2.1.2 255.255.255.0 [DeviceB-GigabitEthernet1/0/3] quit c. 配置接口加入安全域。 # 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。 [DeviceB] security-zone name untrust [DeviceB-security-zone-Untrust] import interface gigabitethernet 1/0/1 vlan 10 [DeviceB-security-zone-Untrust] quit [DeviceB] security-zone name trust [DeviceB-security-zone-Trust] import interface gigabitethernet 1/0/2 vlan 10 [DeviceB-security-zone-Trust] quit d. 配置高可靠性本举例仅用以太网接口作为控制通道和数据通道接口使用。对于设备同时拥有HA接口和以太网接口的情况，建议使用HA接口作为控制通道和数据通道接口使用，这样能够更好地保护设备的安全性和稳定性。HA接口不能作为业务接口使用。 # 使用两台Device进行HA组网，需要两台Device同时处理业务，提高业务处理能力。但是当Device A或其链路发生故障时，Device B可以接替Device A继续工作，保证业务不会中断。 [DeviceB] remote-backup group [DeviceB-remote-backup-group] remote-ip 10.2.1.1 [DeviceB-remote-backup-group] local-ip 10.2.1.2 [DeviceB-remote-backup-group] data-channel interface gigabitethernet 1/0/3 [DeviceB-remote-backup-group] device-role secondary RBM_S[DeviceB-remote-backup-group] backup-mode dual-active RBM_S[DeviceB-remote-backup-group] hot-backup enable RBM_S[DeviceB-remote-backup-group] configuration auto-sync enable RBM_S[DeviceB-remote-backup-group] delay-time 1 RBM_S[DeviceB-remote-backup-group] configuration sync-check interval 12 # 配置HA监控接口GigabitEthernet1/0/1和GigabitEthernet1/0/2的状态。 RBM_S[DeviceB-remote-backup-group] track interface gigabitethernet 1/0/1 RBM_S[DeviceB-remote-backup-group] track interface gigabitethernet 1/0/2 RBM_S[DeviceB-remote-backup-group] quit (6) 配置Host # 配置Host的默认网关为10.1.1.1。

zhiliao_Lh5zHV 发表时间：1天前 更多>>

主要客户原来是核心-接入模式，trunk放通，网关都在核心上，不太好改核心和接入配置。而且链路是千兆的，业务是超融合业务，做主备的话，怕链路带宽不够。RBM双主二层口能对接吗，一般都是三层口对接

加加钱发表时间：1天前

回复加加钱:

zhiliao_Lh5zHV 发表时间：1天前

zhiliao_GeOM0O

zhiliao_GeOM0O 九段

粉丝：16人关注：2人

一、故障根因精准定位（你的拓扑天生会产生不对称流量）

1. 拓扑流量转发逻辑

上下层均为双机 IRF 堆叠 + 跨设备 LACP 聚合：核心交换机 IRF（6 口聚合）↔ AF 两台 IRF（27 口聚合）↔ 业务交换机 IRF（26 口聚合）
交换机聚合基于源目 MAC 哈希分担流量：请求报文走 AF-A，回程报文极可能哈希到 AF-B，形成非对称往返路径
AF 是状态检测防火墙：首包在 AF-A 生成会话表，回包到达 AF-B 无对应会话，直接丢弃，表现为外部访问卡顿、丢包、时通时断，完全匹配你描述的现象深信服

2. IRF 堆叠≠自动解决会话同步误区

深信服 AF 两台做 IRF 堆叠，跨框聚合场景默认不会自动同步会话。IRF 仅统一管理界面，上下行交叉聚合的不对称流量仍会丢包，必须配套专属功能修复。

二、两种部署方案对比（解决来回路径不一致）

方案 A：保留 IRF 堆叠，开启【双机聚合】（推荐，千兆链路负载均衡）

适合你现状：现有 IRF 不改动，千兆链路全部同时承载流量，不浪费带宽，根治不对称丢包

核心原理

开启双机聚合后，两台 AF 间建立专用同步通道：

首包在 AF-A 创建会话，回包哈希到 AF-B 时，AF-B 通过同步通道把报文转发回 AF-A 原路返回，保证往返同路径；
实时双向同步完整会话表，任意设备收到回程报文均可识别已有连接，不再丢弃

配置步骤

确认版本：AF 标准版本≥8.0.9 才支持双机聚合功能
搭建独立心跳 / 数据同步口（建议单独千兆电口，不要复用业务聚合口），两端互联
双机热备→模式选择双主模式，开启：会话完整同步、接口联动、BPDU 透传
关键：勾选双机聚合功能（解决跨框聚合非对称流量核心开关）
上下行所有聚合组（26 口、27 口聚合）LACP 协商模式与对端交换机严格统一（静态 LACP，哈希算法统一源目 MAC+IP）
所有互联 Trunk 只放行业务 VLAN，关闭多余广播抑制，避免同步通道拥塞

优缺点

✅ 优势：两条千兆链路同时负载，带宽翻倍，单台 / 单链路故障自动切换，无业务中断

⚠️ 缺点：同步口会占用少量带宽，大流量场景建议单独千兆口做同步通道

方案 B：RBM 主备模式（仅单链路工作，不推荐千兆链路场景）

你顾虑 “千兆链路做主备浪费带宽” 完全成立：

主备模式下只有一台 AF 承载全部流量，另一台闲置，两条千兆链路一条跑业务、一条冷备，带宽利用率仅 50%
仅主设备生成会话，备机同步会话，不会出现来回路径不一致，但千兆链路资源严重浪费
适用场景：带宽充足、不追求负载分担，仅需简单冗余的场景，不符合你当前链路条件

补充：纯 RBM 双主不开启双机聚合（绝对不推荐）

只开双主、不开双机聚合，依然会出现来回路径不一致丢包：

双主仅实现两台设备同时新建会话，但跨聚合不对称回程报文无法匹配会话，必须搭配双机聚合才能彻底解决；且纯双主会话同步开销更大，DPI 应用识别性能下降明显

三、临时验证手段（快速确认是非对称丢包）

直通测试：AF 全局开启直通模式，关闭状态检测，业务立即恢复 = 确认是会话不对称导致丢包
抓包对比
- 内网服务器抓包：能收到外部请求报文
- AF-A 抓上行：存在客户端请求报文
- AF-B 抓下行：存在客户端回程响应报文，但 AF 会话表无对应条目，设备日志打印会话丢弃记录
聚合哈希测试：修改核心 / 业务交换机聚合哈希算法为源目IP+端口，小幅降低不对称概率，但无法彻底根除

四、配套优化避坑要点

1. LACP 聚合统一配置（上下游交换机 + AF 必须一致）

聚合模式：动态 LACP（active-active），禁止静态聚合
负载分担策略：统一配置src-dst-mac + src-dst-ip哈希，减少跨设备分流概率
聚合成员端口速率全千兆，避免速率不一致引发哈希异常

2. 会话同步优化

同步口独立布线，不要和业务聚合共用链路，防止业务流量挤占同步带宽
开启完整会话同步（不要仅同步 TCP 半连接，UDP/ICMP 业务必须全同步）
关闭不必要的特征库实时同步，降低同步通道压力

3. 二层拓扑防环路

IRF 堆叠全网开启 MSTP，AF 透明模式放行 BPDU，聚合口边缘端口关闭 STP，避免环路导致流量漂移加剧不对称问题

4. 日志定位丢包

查看 AF 安全日志：会话不存在丢弃、非对称流量阻断日志，确认是往返路径不一致丢包；开启双机聚合后该类日志消失。

五、最终落地建议

最优方案：保留现有 AF IRF 堆叠，切换 RBM 为双主模式 + 开启双机聚合，充分利用两条千兆链路负载分担，彻底解决来回路径不一致丢包；
不建议切主备：两条千兆链路一主一备浪费 50% 带宽，业务高峰期存在性能瓶颈；
实施顺序：先单独部署同步心跳口→配置双主 + 双机聚合→统一全网 LACP 哈希算法→直通测试验证后关闭直通，业务上线。

编辑答案

分享扩散:

➤

网站相关: 关于我们; 服务条款; 隐私政策; 帮助中心; 经验与权限; 积分规则

联系我们: 联系我们; 建议反馈

常用链接: 标杆的神器下载

关注我们: H3C官网; 新华三服务公众号; 安仔远程运维服务; 新华三商城

内容许可: 除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1 浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定

✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

侵犯我的权益 >

对根叔社区有害的内容 >

辱骂、歧视、挑衅等（不友善）

侵犯我的权益

泄露了我的隐私 >

侵犯了我企业的权益 >

抄袭了我的内容 >

诽谤我 >

辱骂、歧视、挑衅等（不友善）

骚扰我

泄露了我的隐私

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。

1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
3. 是哪家企业？（营业执照，单位登记证明等证件）
4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

原文链接或出处

诽谤我

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

垃圾广告信息

色情、暴力、血腥等违反法律法规的内容

政治敏感

不规范转载 >

辱骂、歧视、挑衅等（不友善）

骚扰我

诱导投票

不规范转载

举报说明

产品线		搜索取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式	默认策略匹配全词匹配整句

FW做IRF堆叠透明部署，外部访问不正常，有点像是来回路径不一致

问题描述：

1. 故障根因分析

2. 关于RBM双主模式的解答

3. 当前IRF双主架构下的解决方案

一、故障根因精准定位（你的拓扑天生会产生不对称流量）

1. 拓扑流量转发逻辑

2. IRF 堆叠≠自动解决会话同步误区

二、两种部署方案对比（解决来回路径不一致）

方案 A：保留 IRF 堆叠，开启【双机聚合】（推荐，千兆链路负载均衡）

核心原理

配置步骤

优缺点

方案 B：RBM 主备模式（仅单链路工作，不推荐千兆链路场景）

补充：纯 RBM 双主不开启双机聚合（绝对不推荐）

三、临时验证手段（快速确认是非对称丢包）

四、配套优化避坑要点

1. LACP 聚合统一配置（上下游交换机 + AF 必须一致）

2. 会话同步优化

3. 二层拓扑防环路

4. 日志定位丢包

五、最终落地建议

编辑答案

提出建议