防火墙配置堆叠做MAD检测，需要开启BFD的端口需要加入安全域，放通策略吗？

可以不用添加安全域

1.10.2  IRF典型配置举例（BFD MAD检测方式）

1. 组网需求

由于网络规模迅速扩大，当前中心设备（Device A）安全业务处理能力已经不能满足需求，现在需要另增一台设备Device B，将这两台设备组成一个IRF（如图1-15所示），并配置BFD MAD进行分裂检测。

2. 组网图

图1-15 IRF典型配置组网图（BFD MAD检测方式）

‌

3. 配置步骤

(1)     配置Device A

# 配置IRF中成员编号为1的设备的优先级为32。

<DeviceA> system-view

[DeviceA] irf member 1 priority 32

# 配置IRF端口1/2，并将它与物理端口Ten-GigabitEthernet1/0/1绑定，并保存配置，然后激活IRF端口下的配置。

[DeviceA] interface ten-gigabitethernet 1/0/1

[DeviceA-Ten-GigabitEthernet1/0/1] shutdown

[DeviceA-Ten-GigabitEthernet1/0/1] quit

[DeviceA] irf-port 1/2

[DeviceA-irf-port1/2] port group interface ten-gigabitethernet 1/0/1

[DeviceA-irf-port1/2] quit

[DeviceA] interface ten-gigabitethernet 1/0/1

[DeviceA-Ten-GigabitEthernet1/0/1] undo shutdown

[DeviceA-Ten-GigabitEthernet1/0/1] quit

[DeviceA] save

[DeviceA] irf-port-configuration active

(2)     配置Device B

# 将Device B的成员编号配置为2，并重启设备使新编号生效。

<DeviceB> system-view

[DeviceB] irf member 1 renumber 2

Warning: Renumbering the member ID may result in configuration change or loss. Continue? [Y/N]:y

[DeviceB] quit

<DeviceB> reboot

# 参照配置组网图进行物理连线。

# 重新登录到设备，配置IRF端口2/1，并将它与物理端口Ten-GigabitEthernet2/0/1绑定，并保存配置，然后激活IRF端口下的配置。

<DeviceB> system-view

[DeviceB] interface ten-gigabitethernet 2/0/1

[DeviceB-Ten-GigabitEthernet2/0/1] shutdown

[DeviceB-Ten-GigabitEthernet2/0/1] quit

[DeviceB] irf-port 2/1

[DeviceB-irf-port2/1] port group interface ten-gigabitethernet 2/0/1

[DeviceB-irf-port2/1] quit

[DeviceB] interface ten-gigabitethernet 2/0/1

[DeviceB-Ten-GigabitEthernet2/0/1] undo shutdown

[DeviceB-Ten-GigabitEthernet2/0/1] quit

[DeviceB] save

[DeviceB] irf-port-configuration active

(3)     Device A和Device B间将会进行主设备竞选，竞选失败的一方（Device B）将重启，重启完成后，IRF形成。

(4)     配置BFD MAD检测

# 创建三层聚合接口3。

[DeviceA] interface route-aggregation 3

[DeviceA-Route-Aggregation3] quit

# 分别将Device A（成员编号为1）上的接口Ten-GigabitEthernet1/0/2和Device B（成员编号为2）上的接口Ten-GigabitEthernet2/0/2加入聚合组3中。

[DeviceA] interface ten-gigabitethernet 1/0/2

[DeviceA-Ten-GigabitEthernet1/0/2] port link-aggregation group 3

[DeviceA-Ten-GigabitEthernet1/0/2] quit

[DeviceA] interface ten-gigabitethernet 2/0/2

[DeviceA-Ten-GigabitEthernet2/0/2] port link-aggregation group 3

[DeviceA-Ten-GigabitEthernet2/0/2] quit

# 开启BFD MAD功能，并配置三层聚合接口3的MAD IP地址。

[DeviceA] interface route-aggregation 3

[DeviceA-Route-Aggregation3] mad bfd enable

[DeviceA-Route-Aggregation3] mad ip address 192.168.2.1 24 member 1

[DeviceA-Route-Aggregation3] mad ip address 192.168.2.2 24 member 2

[DeviceA-Route-Aggregation3] quit

(5)     请参考组网图中的规划，配置安全域和安全策略，对Intranet网络与IP network网络之间交互的报文进行安全控制。

4. 验证配置

·     IRF链路正常情况下查看相关配置

# 查看IRF相关信息，可见IRF成功建立，且DeviceA为主设备。

[DeviceA] display irf

MemberID    Role    Priority  CPU-Mac         Description

 *+1        Master  32        487a-da95-93b5  ---

   2        Standby 1         3897-d6a8-1b1a  ---

--------------------------------------------------

 * indicates the device is the master.

 + indicates the device through which the user logs in.

 The bridge MAC of the IRF is: 487a-da95-93b3

 Auto upgrade                : yes

 Mac persistent              : no

 Domain ID                   : 0

# 查看BFD MAD状态，状态正常。

[DeviceA] display mad verbose

Multi-active recovery state: No

Excluded ports (user-configured):

Excluded ports (system-configured):

  Ten-GigabitEthernet1/0/1

  Ten-GigabitEthernet2/0/1

MAD ARP disabled.

MAD ND disabled.

MAD LACP disabled.

MAD BFD enabled interface: Route-Aggregation3

  MAD status                 : Normal

  Member ID   MAD IP address       Neighbor   MAD status

  1           192.168.2.1/24       2          Normal

  2           192.168.2.2/24       1          Normal

·     IRF链路异常情况下查看相关配置

# 查看BFD MAD状态，状态异常，表示IRF分裂。

[DeviceA] display mad verbose

Excluded ports (user-configured):

Excluded ports (system-configured):

  Ten-GigabitEthernet1/0/1

MAD ARP disabled.

MAD ND disabled.

MAD LACP disabled.

MAD BFD enabled interface: Route-Aggregation3

  MAD status                 : Faulty

  Member ID   MAD IP address       Neighbor   MAD status

  1           192.168.2.1/24       2          Faulty

# 查看Device B，可以看到Device B上的非保留端口全部被置为Down，显示信息略。