组网描述:
1、防火墙堆叠,上行使用的reth接口分别对应两个物理接口。 下行使用两个接口划入vlan100与行为管理互联。防火墙的上行口与下行口做了接口联动组,上行端口down则下行端口同步down掉。
2、两台行为管理是透明部署的,行为管理的上行口与下行口也做了接口联动组,上行端口down则下行端口同步down掉。
3、核心交换机上行使用两个接口分别划入vlan100与防火墙两台行为管理互联
4、核心-防火墙桥通过静态路由互通
问题描述:
1、当fw1的reth主接口down掉后,reth主接口切换到fw2上,同时触发端口联动组将fw1的下行端口同步down掉,行为管理也会触发端口联动把他和核心互联的端口down掉,此时业务流量走向为核心-行为管理2-防火墙2-出公网。 核心上看1.1.1.1的arp表是从2/0/0/1口学上来的。
2、当fw1连接公网的接口恢复后,reth主接口自动回切到fw1上,同时触发端口联动,防火墙的下行接口、行为管理的上下行接口会同步UP。
3、UP之后从核心上看1.1.1.1的arp表还是从2/0/0/1口学上来的。
4、reth回切之后,核心上与防火墙的互联地址1.1.1.1始终是从2/0/0/1学到的,并不是正常情况下从1/0/0/1口学到的。 所以导致内网去往公网的流量走向为核心-行为管理2-fw2-fw1-出公网。 存在流量横穿情况,导致业务异常。
请问有无相关技术手段能够使reth主接口回切后,使业务流量也回切到fw1?
(0)
最佳答案
1、在防火墙上设置ARP缓存定时清理,保证ARP表及时更新。
2、在防火墙回切时,手动清空ARP缓存,以确保ARP表及时更新。
3、检查防火墙的接口联动组设置是否正确,确保联动组状态正常,不会造成流量异常。
4、在核心交换机上设置静态ARP条目,以确保流量走向正确。
(0)
暂无评论
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
抄袭了我的内容
×
原文链接或出处
诽谤我
×
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论