F1000-AI系列防火墙HA主备坑点

1. HA主备后不能使用easy ip源地址转换方式（因为会导致备机回包）

RBM吗，不会的啊

2. HA联动VRRP，上下层是二层聚合口，然后vlanif当三层口的话，不能配置使用监控口。

手册都有相关说明

3. HA联通VRRP，NAT后地址是vrrp网段的必须绑定vrrp备份组，不让你就会在交换机看到2个防火墙的mac地址。

手册都有相关说明

4. HA联通VRRP公网IP要至少3个？？？？，比如.1和.2作为vlanif接口ip，然后.3是vrrp虚拟ip才行。我也是服气。

不需要。可以用私网地址的

1. HA主备后不能使用Easy IP源地址转换
您的理解是正确的。因为在HA主备场景下，如果直接使用接口IP（即Easy IP方式）做NAT，当主设备故障切换到备设备后，备设备会以自身的接口IP作为转换后的源地址。此时，上行交换机/路由器上缓存的ARP表项还是指向原主设备的MAC地址，就可能导致回程流量被错误地送到已经失效的原主设备上，从而造成业务中断。这种模式下无法通过VRRP虚拟MAC来保证ARP表项的正确性。

2. HA联动VRRP，且上下层为二层聚合口+VLANIF时，不能配置监控接口
这个限制主要源于VLANIF接口的特性。在二层聚合口上创建的VLANIF接口，其物理链路状态由聚合组内所有成员接口共同决定。在这种组网下，如果配置了针对单个物理口的监控，可能会导致HA状态误判。例如，监控的物理口down了，但聚合组整体仍处于up状态（因为还有其他成员口），这会造成HA误切换或脑裂风险。官方建议在这种桥接场景下，应依靠VRRP本身的状态或上层交换机的联动机制来检测故障，而不是依赖防火墙接口的物理状态。

3. HA联动VRRP，NAT转换后地址与VRRP同网段必须绑定VRRP备份组
这是确保ARP应答一致性的关键配置。根据 H3C SecPath F5000-AI160防火墙配置指导中的“功能简介”所述：当HA组网中VRRP的虚拟IP与NAT转换后的IP处于同一网段时，如果不做绑定，两台设备都可能回应ARP请求。执行绑定操作后，只有Master设备会使用VRRP备份组的虚拟MAC来回应ARP，从而保证上行三层设备（如交换机）的ARP表项唯一且正确，避免流量黑洞或负载不均。这正是您在第3点中提到的“不绑定会在交换机看到2个防火墙MAC地址”问题的官方解释和解决方案。

4.虚拟地址用公网，实际地址用私网就行

1. 为什么HA主备模式下不能用 Easy-IP？

• 底层原理：Easy-IP 是直接拿防火墙出接口的物理 IP 作为 NAT 转换后的公网 IP。在主备模式下，如果主设备故障，外部用户发往该公网 IP 的回程报文到达上行交换机时，由于 ARP 表中依然指向原主设备的 MAC 地址，回包会被直接丢弃，备设备根本收不到回包，导致业务中断。
• 正确做法：HA 场景下必须使用 NAT 地址池（NAPT）。主备设备需配置相同的 NAT 地址池，且地址池中的 IP 不能是防火墙本身的接口 IP。这样当主设备故障时，备设备接管流量后，依然有能力处理这些公网 IP 的回包。

2. 关于“VLANIF 三层口不能配置监控口”

• 底层原理：当上下行是二层聚合口（Eth-Trunk），上层通过 VLANIF 接口做三层路由时，防火墙的 HA 状态实际上是通过 VGMP（VRRP Group Management Protocol）来统一管理的。此时，HA 的故障切换触发器应该绑定在 VGMP 组上（例如 hrp track vlan 或 hrp track interface），而不是直接去监控 VLANIF 接口本身。直接监控 VLANIF 可能会导致状态机判断逻辑冲突。

3. NAT 地址池必须绑定 VRRP 备份组（解决 ARP 冲突）

• 底层原理：这是双机热备结合 NAT 时最经典的坑。如果不绑定，当外部路由器请求 NAT 地址池中某个公网 IP 的 MAC 地址时，主备两台防火墙都会响应 ARP，导致交换机学习到两个 MAC 地址，引发严重的流量路径异常（时而走主，时而走备，甚至丢包）。
• 正确做法：必须将 NAT 地址池与 VRRP 备份组进行绑定（例如防火墙A的地址池绑定 VRRP 组3，防火墙B绑定 VRRP 组4）。绑定后，只有处于 Master 状态的防火墙才会响应这些公网 IP 的 ARP 请求，且使用的是 VRRP 虚拟 MAC 地址，从而确保返程流量路径绝对一致。

4. 为什么公网 IP 至少要 3 个？

• 底层原理：这是 VRRP 协议的硬性规范。VRRP 的虚拟 IP（VIP）绝对不能与参与 VRRP 备份组的设备物理接口 IP 相同。
• 正确做法：因此，在同一个网段内，您必须规划：防火墙A物理IP（如 .1） + 防火墙B物理IP（如 .2） + VRRP虚拟IP（如 .3）。这三者必须互不相同，且处于同一子网。

 补充：Web 手册没写清的“隐藏坑点”

• 必须直连：两台防火墙的 HA 接口必须用网线/光纤直接相连，中间绝对不能经过任何交换机。
• 强烈建议做聚合：单根心跳线存在单点故障风险。标准最佳实践是使用 2 个（或 4 个）万兆光口做 Eth-Trunk 聚合，然后将这个聚合口指定为 HA 链路。这不仅能提供带宽冗余，还能极大缩短海量会话表项的同步时间。

• 如果您配置了双上行链路（两个独立的 VRRP 组），当其中一条链路 Down 掉时，如果不配置全局 Track，RBM 可能不会触发整机主备切换，导致流量“去程走主墙，回程走备墙”的非对称路径，最终引发 TCP 会话断开。
• 避坑指南：在 RBM 联动 VRRP 时，必须配置 track 分别监控两条业务接口，并在 RBM 视图中关联这些 Track，确保“任意一条链路异常即触发整机切换”。同时，千万不要在 VRRP 接口上再手工配置 priority 或 track interface，这会被 RBM 的 Active/Standby 模式覆盖并导致切换逻辑紊乱。

• 主备设备的型号必须完全一致。
• 软件版本必须完全一致（包括次要版本号和补丁号，如 R8860P12 必须对应 R8860P12）。版本差异是导致 HA 配置无法同步、会话表项丢失的最常见元凶。

• HA 默认会自动同步配置和会话表，但静态路由默认不同步。如果主备设备的出接口不同，需要在 CLI 下手动开启静态路由同步（hrp auto-sync config static-route）。
• 如果开启了 DPI（深度包检测）等应用安全功能，且处于非对称路径组网中，必须在应用安全的高级配置中开启“支持双机热备”功能，否则切换后可能出现报文无法识别的问题。