防火墙RBM主备实IP通虚IP不通问题

您好，参考步骤
防火墙display vrrp verbose，确认 VRRP 是否卡在 Initialize；
查看互联接口实 IP / 虚 IP 网段掩码是否一致；
防火墙查看安全策略是否放行目的为虚 IP 的 ICMP；
M-LAG 两台交换机分别查 ARP 表，确认是否都学习到虚 IP MAC；
检查上联 Trunk 是否允许虚 IP 所属 VLAN，STP 无阻塞端口；
临时替换 VRRP 为 secondary 辅助 IP 验证是否恢复连通。

RBM状态正常后再试试 

RBM 主备、上联 M-LAG 交换机，实 IP 通、虚 IP 不通完整根因排查（H3C SecPath V7 防火墙）
前置场景说明
RBM 双机热备，目前仅单台主防火墙上线，备机未部署；
业务三层接口配置实 IP（接口真实 IP）+ RBM 浮动虚 IP；
防火墙上联两台核心交换机做 M-LAG 聚合；
现象：对端交换机 / 内网设备能 ping 通接口实 IP，无法 ping 通 RBM 虚拟 IP。
一、最高发核心原因（M-LAG 环境特有）
1. M-LAG 交换机未学习到 RBM 虚 IP 对应的浮动 MAC，ARP 无回复
RBM 浮动虚拟 IP 有独立虚拟 MAC，和接口实 IP 的物理 MAC 不同：
ping 实 IP：ARP 请求回复源 MAC 是防火墙物理网卡 MAC，M-LAG 两台交换机均可正常学习 MAC，转发正常；
ping 虚 IP：ARP 请求目标是浮动 MAC，若 M-LAG 两台交换机之间peer-link 对等链路阻断 / 未同步 ARP 表，其中一台交换机无虚 MAC 表项，回程 ARP 报文丢弃，虚 IP 不通。
验证命令（交换机侧）
plaintext
# 查看M-LAG对等链路状态
display m-lag summary
# 查看ARP表，确认是否存在虚IP对应的RBM浮动MAC
display arp | include 虚IP地址
# 查看M-LAG peer-link是否正常转发ARP同步报文
display m-lag peer-link
修复
确保 M-LAG peer-link 链路 UP，允许 ARP、二层控制报文透传；
两台 M-LAG 交换机全局开启 ARP 同步：
plaintext
m-lag arp-sync enable
2. 防火墙 RBM 虚拟 IP 未绑定 Reth 冗余接口（三层 RBM 标准错配）
三层 RBM 主备必须使用Reth 冗余接口承载业务，不能直接在物理接口配置 VRP 虚 IP/RBM 浮动 IP：
物理接口直接配虚 IP：RBM 无法下发浮动 MAC、不会对外发送 ARP，M-LAG 交换机收不到虚 IP 的 ARP 应答；
实 IP 是物理接口真实地址，不受 RBM 管控，ARP 正常，所以能通。
标准正确配置（三层 RBM）
plaintext
# 1. 创建Reth冗余接口
interface Reth0
port link-mode route
ip address 10.0.0.2 255.255.255.0 // 实IP
rbm virtual-ip 10.0.0.1 255.255.255.0 // RBM浮动虚IP
# 2. 物理接口加入Reth
interface GigabitEthernet1/0/0
port link-mode route
reth 0
直接在 G1/0/0 配虚 IP 属于错误配置，单台暂时能看到地址，但二层 MAC 转发异常，M-LAG 环境极易不通。
二、防火墙侧配置问题
3. RBM 全局状态异常，浮动 IP 未激活
备机未上线，单台 RBM 未正确进入Active主用状态，浮动 IP 不对外发送 ARP：
plaintext
# 查看RBM全局状态
display rbm summary
State 不为 Active：RBM 浮动 IP 静默，不响应 ARP；
修复：
plaintext
rbm enable
rbm role master
单台临时部署强制指定为主角色，激活浮动 IP。
4. 安全策略拦截虚拟 IP ICMP/ARP
实 IP、虚 IP 分属同一网段，但安全策略匹配逻辑区分源 / 目的：
内网→防火墙实 IP：策略允许；
内网→防火墙虚 IP：缺少放行本地目的 IP 的域间策略；
plaintext
# 放行内网访问防火墙本地所有IP（含实IP、RBM虚IP）
security-policy interzone trust local
rule permit
local 域代表防火墙本机接口 IP，漏配这条会 ping 不通虚 IP。
5. 浮动 IP 与实 IP 网段掩码不一致
接口实 IP 掩码 24 位，RBM virtual-ip 掩码写错（如 16 位），三层路由识别为不同网段，回程报文丢弃。
三、交换机 M-LAG 二层转发约束
6. M-LAG 上联端口 STP 阻断，虚 IP 回程报文被堵
M-LAG peer-link 正常，但全局 STP 将防火墙上联聚合口置为 Discarding 丢弃状态：
实 IP 流量单播 MAC 已固化，不受 STP 临时阻断影响；
虚 IP 浮动 MAC 无稳定表项，STP 一丢包直接断连通。
修复：M-LAG 聚合接口关闭 STP 或配置边缘端口。
7. M-LAG 聚合接口允许 VLAN 不匹配
防火墙业务 VLAN 在 M-LAG 聚合口未 permit，实 IP 管理 VLAN 放行、业务 VLAN 漏放，虚 IP 属于业务 VLAN 无法转发。
四、快速定位排查步骤（现场操作顺序）
防火墙查看 RBM 状态、确认使用 Reth 冗余接口承载虚 IP
plaintext
display rbm summary
display current-configuration interface Reth
内网设备 ping 虚 IP，同时在防火墙上联口抓包：
收到 ARP 请求、无 ARP 回复 → RBM 未激活浮动 MAC / 安全策略拦截 local 域；
收到 ARP 回复，回程不通 → M-LAG 交换机无虚 MAC ARP 表；
两台 M-LAG 交换机分别查看 ARP 表，对比是否存在虚 IP 对应的浮动 MAC；
交换机开启m-lag arp-sync enable，保证两台 ARP 同步；
防火墙补齐 trust→local 域安全策略，放行 ICMP、ARP；
确认三层业务使用 Reth 接口配置 RBM virtual-ip，不直接在物理接口配置浮动 IP。
极简总结
最常见两点：① 未使用 Reth 冗余接口，物理接口直接配 RBM 虚 IP；② M-LAG 未开启 ARP 同步，对等链路不同步浮动 MAC；
实 IP 不受 RBM 管控，物理 MAC 正常转发，所以能通；虚 IP 依赖 RBM 浮动 MAC+M-LAG ARP 同步，任一环节缺失直接不通；
兜底检查：防火墙放行 trust→local 本地域策略、RBM 强制 master 激活浮动 IP。