组网及说明
两台防火墙F1070组成IRF，做冗余主备，并配置BFD MAD 进行分裂检测。业务在deviceA上跑，若deviceA上下行链路故障，则切换到deviceB
先要求在业务中断最短的情况下，堆叠主备防火墙从域间策略的软件版本升级至安全策略的软件版本
现有版本为 Release R9345P14
升级版本为
Release
R9333P35
配置步骤
1 收集与备份：
<F1070>dir
<F1070>display version
<F1070>display irf
<F1070>display mad verbose
<F1070>save //ftp备份starup.cfg
2 查看剩余空间，上传升级版本，复制升级版本（主备），指定为下次启动文件：
<F1070>dir
<F1070>dir slot1#flash:/
<F1070>dir slot2#flash:/
<F1070>delete //删除多余文件
<F1070>reset recycle-bin //清空回收站
ftp上传版本文件
<F1070>copy flash:/ xxx.ipe slot1#flash:/
<F1070>copy flash:/ xxx.ipe slot2#flash:/
<F1070>boot-load file flash:/xxx.ipe slot 1 main //指定重启加载版本文件
<F1070>boot-load file flash:/xxx.ipe slot 2 main
<F1070>display boot-loader
3 关闭MAD检测口，shutdown主框的业务口，确认业务切换到备框， 业务测试正常后，保存配置（之后割接过程中不再保存配置）：
[F1070]interface Route-Aggregation 3
[F1070-Route-Aggregation3]undo mad bfd enable
[F1070]int range g 1/0/6 to g 1/0/7
[F1070-if-range]shutdown
[F1070]save
[F1070]display redundancy group aaa
[F1070]display reth int reth 2
[F1070]dis reth int reth 2
4 断开堆叠线路，建议通过拔线方式，使堆叠分裂；
<F1070>display irf
<F1070>display irf link
<F1070>display irf configuration
5 确认业务正常后，重启主框:
[F1070]display redundancy group aaa
[F1070]display reth int reth 2
[F1070]display reth int reth 2
<F1070>reboot slot 1 （主框）
6 通过display system stable state确认主框板卡正常后，通过 security-policy switch-from object-policy startup.cfg xx.cfg实 现对象策略转换为安全策略，再次重启设备；
<F1070>display device
<F1070>display sys stable state
[F1070]security-policy switch-from object-policy startup.cfg security-startup.cfg
<F1070>reboot slot 1
7 通过display system stable state确认主框板卡正常后， shutdown 备框业务口，同时undo shutdown主框业务口，测试业务；
<F1070>display version
<F1070>display sys stable state
<F1070>display security-policy ip
[F1070]interface range g 2/0/6 to g 2/0/7 （备框）
[F1070-if-range]shutdown （备框）
[F1070]interface range g 1/0/6 to g 1/0/7 （主框）
[F1070-if-range]undo shutdown （主框）
[F1070]display redundancy group aaa
[F1070]display reth int reth 1
[F1070]display reth int reth 2
[sw1]ping 2.2.2.1
8 业务正常后，重启备框。重启过程中，恢复堆叠链路，备框重启完成后，自动加入堆叠；
<F1070>reboot slot 2
注意：不要保存配置
<F1070>display device
<F1070>display irf
<F1070>display irf link
<F1070>display irf configuration
[F1070]display redundancy group aaa
[F1070]display reth int reth 1
[F1070]display reth int reth 2
9 测试业务正常后，恢复MAD线路，保存查看配置
[F1070]interface Route-Aggregation 3
[F1070-Route-Aggregation3]mad bfd enable
[F1070-Route-Aggregation3]mad ip add 192.168.2.1 24 member 1
[F1070-Route-Aggregation3]mad ip add 192.168.2.2 24 member 2
[F1070-Route-Aggregation3]quit
[F1070]display mad verbose
[F1070]save
<F1070>display version
实验数据与结果
查看剩余空间
<F1070>dir
1048576 KB total (745584 KB free)
<F1070>dir slot1#flash:/
1048576 KB total (745584 KB free)
<F1070>dir slot2#flash:/
1048576 KB total (735772 KB free)
查看版本文件
<F1070>dis boot-loader
Software images on slot 1:
Current software images:
flash:/f1000fw-cmw710-boot-R9345P14.bin
flash:/f1000fw-cmw710-system-R9345P14.bin
Main startup software images:
flash:/f1000fw-cmw710-boot-R9333P35.bin
flash:/f1000fw-cmw710-system-R9333P35.bin
Backup startup software images:
None
Software images on slot 2:
Current software images:
flash:/f1000fw-cmw710-boot-R9345P14.bin
flash:/f1000fw-cmw710-system-R9345P14.bin
Main startup software images:
flash:/f1000fw-cmw710-boot-R9333P35.bin
flash:/f1000fw-cmw710-system-R9333P35.bin
Backup startup software images:
None
关闭主框业务，确认切换业务到备框
[F1070-if-range]dis redundancy group aaa
Redundancy group aaa (ID 2):
Node ID Slot Priority Status Track weight
1 Slot1 100 Secondary -255
2 Slot2 50 Primary 255
Preempt delay time remained : 0 sec
Preempt delay timer setting : 60 sec
Remaining hold-down time : 0 sec
Hold-down timer setting : 1 sec
Manual switchover request : No
Member interfaces:
Reth1 Reth2
Node 1:
Track info:
Track Status Reduced weight Interface
1 Negative 255 GE1/0/7
2 Negative(Faulty) 255 GE1/0/6
Node 2:
Track info:
Track Status Reduced weight Interface
3 Positive 255 GE2/0/7
4 Positive 255 GE2/0/6
[F1070-if-range]dis reth int reth 1
Reth1 :
Redundancy group : aaa
Member Physical status Forwarding status Presence status
GE1/0/7 DOWN(redundancy down) Inactive Normal
GE2/0/7 UP Active Normal
[F1070-if-range]dis reth int reth 2
Reth2 :
Redundancy group : aaa
Member Physical status Forwarding status Presence status
GE1/0/6 DOWN Inactive Normal
GE2/0/6 UP Active Normal
通过display system stable state确认主框板卡正常
<F1070>dis sys stable state
System state : Stable
Redundancy state : No redundance
Slot CPU Role State
1 0 Active Stable
通过display system stable state确认主框板卡正常后， shutdown
备框业务口，同时undo shutdown主框业务口，测试业务；
[F1070]dis redundancy group aaa
Redundancy group aaa (ID 1):
Node ID Slot Priority Status Track weight
1 Slot1 100 Primary 255
2 Slot2 50 Secondary 255
Member interfaces:
Reth1 Reth2
Node 1:
Track info:
Track Status Reduced weight Interface
1 Positive 255 GE1/0/7
2 Positive 255 GE1/0/6
Node 2:
Track info:
Track Status Reduced weight Interface
3 Positive 255 GE2/0/7
4 Positive 255 GE2/0/6
[F1070]dis reth int reth 1
Reth1 :
Redundancy group : aaa
Member Physical status Forwarding status Presence status
GE1/0/7 UP Active Normal
GE2/0/7 UP Inactive Normal
[F1070]dis reth int reth 2
Reth2 :
Redundancy group : aaa
Member Physical status Forwarding status Presence status
GE1/0/6 UP Active Normal
GE2/0/6 UP Inactive Normal
配置关键点
升级前准备：
升级过程中：
升级完成后：
细节补充：
1、为什么拆堆叠升级前要关掉mad检测
BFD来检测网络中是否存在多个IRF，IRF分裂后，通过分裂检测机制IRF会检测到网络中存在其它处于正常工作状态的IRF。对于LACP MAD和BFD MAD检测，冲突处理会先比较两个IRF中成员设备的数量，数量多的IRF继续工作，数量少的迁移到Recovery状态（即禁用状态）。如果成员数量相等，则主设备成员编号小的IRF继续工作，其它IRF迁移到Recovery状态。这样会使得备框迁移到Recovery状态，主备框都无业务口运行，造成业务中断
2、为什么备框重启前不要保存配置
更正：是堆叠分裂状态下所有单框重启时都不要保存配置：单框下重启保存时都会丢失堆叠状态下单独配置在其他框的配置，再堆叠同步时就会丢失。堆叠断裂前，保存配置，主备框配置都会保存在starup文件中，接着堆叠分裂状态下单框重启时一定不要保存配置，那样最后堆叠重新启动调用starup的时候就是正常的配置。
3、Reth 口mac地址是否相同，为什么要相同
相同，在上、下行设备看来，与其连接的是以太网冗余接口，学习到的是以太网冗余接口的MAC地址。成员接口的激活状态发生变化，不会影响上、下行设备
该案例暂时没有网友评论
编辑评论
✖
案例意见反馈
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作