VRRP 口字型组网讨论

两台核心是**一组 M-LAG 双活系统**，peer-link 是 M-LAG 的跨设备同步链路；上行分别独立连线到主、备防火墙，防火墙侧是**VRRP 主备（只有一台 FW 是 Master 转发流量）**，客户拓扑固定不能改动。

>
> 重点：FW VRRP 是【单活】，同一时刻只有一台 FW 转发；M-LAG 核心本身是【双活】。这是三个方案矛盾的根源。

---

## 方案 1：两台核心 Vlanif10 配置独立不同 IP，FW 分别写两条静态路由（推荐备选）

>
> 配置：
> CoreA Vlanif10：10.0.0.1/24；CoreB Vlanif10：10.0.0.2/24
> FW 主、备都配置静态路由：内网段 下一跳同时指向 10.0.0.1、10.0.0.2（两条等价路由）

✅优点

1. **最稳妥、无协议冲突**，完全符合 M-LAG 标准三层对接模型，没有同 IP 冲突、VRRP 在 M-LAG 内异常的坑；
2. 路由收敛简单，M-LAG 两台核心三层独立，各自和 FW 建立路由邻居 / 静态路由；
3. 链路故障感知天然独立：CoreA 到 FW 主的链路断，只消失这一条下一跳，另外一条路由保留；
4. peer-link 只用来承载 M-LAG 二层同步，三层路由报文不会依赖 peer-link 转发。

❌缺点

1. FW 上需要两条等价静态路由；FW 切换 VRRP 主备的时候，FW 侧路由本身不变，**无法做到 “FW 主备切换” 和 “核心侧上行链路联动绑定”**；
2. 流量：FW Master 会同时把流量发给两台核心，而核心本身 M-LAG 双活没问题，但是客户想要 “口字型双向联动切换” 的需求这个方案满足不了；
3. 维护：FW 配置路由条目是两个下一跳。

>
> 坑点：peer-link 虽然允许 VLAN10，**不要依赖 peer-link 传递三层路由报文**，H3C M-LAG 最佳实践不建议跨 peer-link 做三层转发。

## 方案 2：两台核心 Vlanif10 配置**完全相同 IP + 相同虚拟 MAC**（M-LAG 双活三层网关方案）

>
> 也就是 M-LAG 的【跨设备三层双活 SVI】方案，H3C 官方原生支持这个模式，不是 VRRP。两台 Core 同一个 IP、同一个虚 MAC，对 FW 来说看起来是一台设备。

✅优点

1. 对防火墙透明：FW 只需要一条静态路由，下一跳写这个唯一 IP，配置最简单；
2. 天然双活，任意一台核心上联链路断，对 FW 无感知；
3. 下行汇聚 M-LAG 本身就是双活，上下模型统一。

❌缺点（非常关键，这个是该场景最大短板）

1. **没有联动能力！无法监控上行到 FW 的链路故障，无法和 FW 的 VRRP 主备联动**。
举例：CoreA 上联到【主 FW】的网线断了，但 CoreA、CoreB 这个 Vlanif10 的 IP/MAC 依旧 UP，FW 的路由不会消失；流量到达 CoreA 之后，只能跨 peer-link 绕行到 CoreB 转发，**流量走 peer-link 绕行，形成次优路径，peer-link 被业务流量挤占**；
2. 风险：peer-link 一旦中断，M-LAG 进入双主检测，两个交换机拥有同一个三层 IP，**全网三层 ARP 风暴、路由混乱**，故障影响巨大；
3. 不满足客户想要的【双向联动切换】需求，它只是对 FW 隐藏两台核心。

>
> ⚠️重要提醒：这个方案是 M-LAG 双活 SVI，**不是 VRRP**，和方案 3 完全是两套技术；H3C 要求这种同 IP SVI 场景，配合 M-LAG MAD 双主检测，并且尽量避免业务流量大量绕行 peer-link。

## 方案 3：两台核心 Vlanif10 配置 VRRP 备份组，联动上行链路，实现和 FW VRRP 双向切换（客户想要的联动方案）

>
> 配置：CoreA、CoreB 在 VLAN10 上创建同一个 VRRP 组，配置 vrrp track 监控上联到 FW 的物理链路；上联链路 down，自动降低本端 VRRP 优先级，实现 VRRP Master 切换。目标：FW 主备切换的时候，核心 VRRP 跟着联动。

✅优点

1. 满足客户需求：**可以做到链路故障联动切换**；对 FW 只提供一个 VRRP 虚 IP 作为下一跳；
2. 可以实现口字型联动：CoreA 上联 FW 主断 → CoreA VRRP 优先级降低 → VRRP Master 切到 CoreB；配合 FW 侧 VRRP track，做到两边主备同步。

❌缺点（**这个是该场景最大雷区，非常不推荐直接上**）

1. H3C M-LAG 组内两台交换机跑 VRRP，**VRRP 通告报文（Advertisement）默认无法跨 peer-link 可靠协商**！
peer-link 是二层通道，但 M-LAG 机制对协议报文有隔离优化，M-LAG 两台设备之间的 VRRP 协商报文容易丢，经常出现**两台 Core 同时变成 VRRP Master（双主），IP 冲突、ARP 混乱**，属于经典坑；
>
> H3C 文档明确：M-LAG 内部 VRRP 需要额外开启`vrrp synchronize enable`同步机制，并且不推荐在 M-LAG 上行 SVI 部署 VRRP，推荐下行用户网关使用；
2. 故障逻辑复杂，两套 VRRP 嵌套（FW 一套 VRRP + 核心 M-LAG 内部一套 VRRP），排障难度高；
3. 切换时序很难对齐：FW VRRP 切换、Core VRRP track 切换，计时器如果配合不好，容易来回震荡、流量断流；
4. 一旦 peer-link 断开，M-LAG 双主 + VRRP 双主叠加，故障爆炸。

>
> 一句话总结：技术上能实现，但是**稳定性差，属于非常规非标方案，不建议生产首选**。

---

# 选型建议（结合你的场景）

### 优先级排序

1. ✅ **首选方案 2（M-LAG 同 IP 同 MAC 三层双活 SVI）**—— 如果客户没有强联动要求，只要求拓扑不变、简化 FW 配置、正常冗余。
>
> 配套补强方案：在 FW 侧做**BFD 静态路由**！FW 到核心这个下一跳开启 BFD 检测，解决 “链路断但是接口 UP（单通）” 的盲点。弥补它不能 track 链路的短板，规避绕行 peer-link 问题。
> 这是 H3C M-LAG 对接边界防火墙的官方推荐标准方案。
2. ✅ 次选方案 1（两个独立 Vlanif IP，FW 配置两条静态等价路由 + BFD），适合运维人员不想用 M-LAG 同 IP SVI、担心双主风险的场景。
3. ⚠️ 方案 3（M-LAG 内部跑 VRRP）：**尽量不选**，只在客户硬性强制要求 “双向联动切换、必须两边 VRRP 绑定”，并且你充分吃透 vrrp synchronize、BFD、track 计时器，做好充分割接测试才考虑，属于非标方案。

### 额外优化补充（推荐加到方案 2 里面）

防火墙 VRRP 本身开启 `vrrp track` 监控 FW 下联到核心的链路；FW 静态路由开启 BFD 检测下一跳（核心虚 IP）。

- FW 侧：下一跳不可达，路由消失；FW VRRP 切换主备；
- 核心侧：M-LAG 双活 SVI，不跑 VRRP，简单稳定。
这套组合，是兼顾【口字型冗余】+【稳定】的最优解，不需要在 M-LAG 核心内部嵌套 VRRP。

### 补充一个更好的优化思路（不改拓扑）

>
> 能不能把两台 FW 分别做 M-LAG 聚合接入两台核心？
> 但是客户明确说了防火墙是 VRRP 主备模式，强制不能改成双活，所以这个方案客户不接受。

---

# 一句话极简对比

表格

| 方案 | 核心技术 | 联动能力 | 稳定性 | FW 路由 | 风险点 |
| --- | --- | --- | --- | --- | --- |
| 1 | 独立三层 SVI，双下一跳等价路由 | 弱（只能 BFD 感知） | 最高 | 2 条静态路由 | FW 路由条目多，无法绑定 FW 主备切换 |
| 2 | M-LAG 跨设备双活 SVI（同 IP 同 MAC） | 弱（靠 BFD 补强） | 高 | 1 条静态路由 | 链路单通时流量绕行 peer-link，peer-link 断则双主 |
| 3 | M-LAG 内部署 VRRP+track | 强，可以双向联动 | 低、非标 | 1 条 VRRP 虚 IP 路由 | VRRP 双主风险、协商报文容易异常、震 |

如果是口字型，交换机直接配置irf更靠谱

MLAG的情况下，交叉互联你才能做跨设备链路聚合，不然你做一堆这检测那检测

方案三，防火墙rbm+vrrp组网的话，交换机上不用track的，主的上行挂了，走横穿到另一台防火墙就行了