rbm防火墙作为出口防火墙时nat outbound怎么绑定vrrp

1.19  配置HA与其他特性配合使用

1.19.1  HA支持NAT

在HA组网环境中，当需要在的设备上使用NAT功能时，必须将NAT相关配置与VRRP备份组进行绑定，否则NAT无法正常工作。例如使用动态NAT、内部服务器NAT、端口块NAT和静态NAT时，必须将这些NAT方式与VRRP备份组绑定。有关NAT的详细介绍，请参见“NAT配置指导”中的“NAT”。

本节内容仅以HA主备模式中的动态NAT为例，其他方式的NAT及其HA双主模式中的NAT与此类似。

1. 背景介绍

缺省情况下，若NAT设备接收到的ARP报文请求的目标IP地址与NAT接口的IP地址在同一网段，则NAT设备使用NAT接口的物理MAC地址应答此ARP请求报文。

如图1-13所示，在HA组网环境中配置动态NAT功能后，NAT与VRRP备份组没有绑定的情况下，内网访问外网的报文被处理的流程如下：

(1)     当内网访问外网的报文到达Device A后，报文的源地址会被转换成NAT地址池中的IP地址，然后被Device A转发给Router。

(2)     若NAT地址池中的IP地址与Device A的上行接口VRRP备份组1的虚拟IP地址在同一网段，则外网返回的报文到达Router后，因为目的IP地址是直连路由所以Router会广播ARP报文请求NAT地址池中IP地址对应的MAC地址，而不是请求VRRP备份组1虚拟IP地址对应的MAC地址。

(3)     当Device A和Device B接收到此ARP请求报文后，因为两台Device上有相同的NAT地址池配置，所以两台Device都会将自身上行接口的物理MAC地址应答给Router。

(4)     在这种情况下，Router就会时而以Device A上行接口的MAC地址来封装报文，将报文送到Device A；时而以Device B上行接口的MAC地址来封装报文，将报文送到Device B，从而影响业务的正常运行。

在HA网络环境中，为了解决上述NAT部署的问题，必须将NAT与VRRP备份组绑定。

https://www.h3c.com/cn/d_202206/1628473_30005_0.htm#_Toc106722932