两台防火墙作为出口设备，主备部署采用什么方式？
- 2关注
- 0收藏，925浏览
问题描述：
现网6台设备，出口两台防火墙，下联两台核心，核心下联两台汇聚。两台汇聚采用irf堆叠虚拟成一台，与两台核心做vrrp+mstp，两台核心与两台防火墙三层互联，运行ospf 区域0，两台防火墙分别连接移动和电信出口专线。现在防火墙这边还如何部署，能够实现移动链路正常时候所有流量走移动，故障走电信，华三文档RBM联动vrrp ，在这个拓扑中是不是还在增加isp 交换机？感觉不太适用在这里面
- 2023-01-24提问
- 举报
-
(0)
最佳答案
1、这种场景目前出口建议还是用RBM+VRRP实现主备，需要在出口防火墙上端加一个小交换机，运营商线路先接入小交换机，由小交换机再出两根线分别接到主备防火墙上。如果有多条运营商线路，在交换机上只用把相同运营商的三个接口划分到同一个vlan，不同运营商使用不同vlan即可。比如移动vlan 10，电信vlan 11，这里的vlan编号无所谓，自己定义就行。
2、如果运营商就给了一个公网ip，比如是1.1.1.1/24，那么配vrrp的时候，防火墙物理接口的ip地址可以自定义，跟内网别冲突就行，比如配置192.168.1.1，最后把虚拟ip地址配置成运营商给的就行，注意配置虚拟ip的时候要带上掩码，这里配置的掩码就是运营商给的地址的实际掩码，比如主设备配置：vrrp vrid 1 virtual-ip 1.1.1.1 255.255.255.0 active
3、对下的ospf可以参考rbm+ospf主备的方式来配置，实现正常的时候内网流量上到主设备，这个时候移动电信都能用，故障的时候，rbm切，下端ospf的cost也切，内网流量也会同步上到备机处理，也是移动和电信都可以用
- 2023-01-24回答
- 评论(1)
- 举报
-
(0)
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
你好，先谢谢大佬，大佬新年快乐，那么等于只需要在墙和新添加的isp 交换机上跑rbm 联动vrrp ，墙对下核心只需要跑rbm 联动ospf ，在墙上出现vrrp 主备切换的同时，根据墙上ospf 发布路由修改开销，核心进行路由选路切换到备链路即可，这样理解对的吧？还有个问题就是防止新添加的交换机上行链路出现故障，墙会不会无法感知，需要再配置nqa 联动静态路由吧？