SecPath F1070

V7盒式防火墙做了IRF之后，下联设备不能做聚合，会产生跨框流量的。建议方案：

1.冗余组+冗余口实现主备；

配置要点：

1、两台F50X0组成IRF，与上下游设备可全交叉互联，也可单臂互联。对任意一侧流量，全交叉互联需要配置多个冗余口，单臂互联需配置一个冗余口。

2、冗余口成员接口可以是物理口、聚合口、物理子接口、聚合子接口（必须是三层接口）

3、由于冗余口是通过控制ARP响应来实现主备，要求对端设备必须使用二层口作互联口，三层使用vlan-interface组网

4、两台F50X0配置冗余组，冗余组成员为冗余口，Track项配置如下：

5、该组网可以保证业务流量同一时刻只在主设备设备，适用于NAT和FW场景。热备可选开启。

冗余切换：

2.冗余组+路由方式实现主备；

配置要点：

1、两台F50X0组成IRF，与上下游设备可全交叉互联，也可单臂互联。路由模式，每一互联链路都需要配置独立的互联地址

2、互联链路可以是物理链路、聚合链路、子接口、vlan-interface，需保证两台设备分别配置不同的互联地址

3、F50X0配置冗余组，将本框各互联接口加入冗余组作为Node Member，保证一个接口故障时联动其他接口shutdown以实现整体切换，冗余组Track各成员接口（另一种方案是Track NQA，关联故障口为NQA探测报文发送出接口）

4、上下游设备通过路由优先级实现流量只上主设备：静态路由需要手工配置非等价形式，动态路由根据路由协议实现非等价形式

5、F50X0可配置等价路由，但必须同时配置路由本地优先转发，保证流量从接收设备本地发出

6、该组网适用于NAT和FW场景，正常情况下同一条流只走单边，故障恢复期间会有临时非对称流量，热备可选

7、冗余切换：

1）端口故障，不涉及HA批备。可以设置为不回切或者立即回切

2）整机故障重启：涉及HA批备。设置为立即回切时，在系统启动过程中，除故障口外的其他接口会被冗余组down，当故障口UP时触发回切，但如果会话未备份完毕，可能会出现业务中断，因此不建议立即回切