华三防火墙RBM+VRRP主备部署，ipsec主备切换
- 0关注
- 0收藏，70浏览
排查步骤：
1. 查看RBM状态：`display remote-backup group`，确认主备切换正常。
2. 查看VRRP状态：`display vrrp brief`，确认虚拟IP已切换。
3. 检查IPSec SA：`display ipsec sa`，确认备墙未立即建立SA。
优化方案：
1. 启用RBM的IPSec快速切换功能：在RBM配置视图中执行 `ipsec synchronization enable`。
2. 缩短DPD检测时间：在IPSec策略中配置 `dpd interval 10`。
3. 确保VRRP优先级和抢占配置正确，使切换更快。
配置变更前请备份配置。
RBM本身不支持IPsec配置和会话的同步。正常情况下只有主设备和分支建立IPsec SA，备设备上并没有。当主设备故障、业务切换到备设备后，分支设备由于不知道这个变化，仍然使用旧的IPsec SA向已经故障的主设备发送报文，导致业务中断。必须等待分支设备通过DPD（Dead Peer Detection，对等体存活检测）探测到对端失效并超时后，才会触发重新协商。这个等待时间默认可能长达5-10分钟。
解决方案：配置DPD缩短探测周期
要实现快速切换，需要在主备防火墙和分支防火墙上都配置DPD，并设置一个较短的探测间隔。当主备切换后，分支墙会快速检测到原对端（主墙的虚地址）无响应，从而立即触发与新主设备（备墙的虚地址）的重新协商。
配置步骤如下（在主备墙和分支墙上均需配置）：
步骤一：在IKE Profile中开启DPD
在两端防火墙的IKE Profile视图下，添加DPD配置。interval 建议设置为 10秒（可接受范围通常是5-60秒），periodic 表示定期主动探测对端是否存活。
这是一个完整的IPsec/IKE配置示例，包含了DPD关键配置：
| 注意事项 | 说明 |
|---|---|
| IPsec配置需手动同步 | RBM不支持IPsec配置同步，需要手动在主备墙上分别配置完全相同的IPsec配置（使用相同的VRRP虚地址）。 |
| 两端都需配置DPD | 主备墙和分支墙都必须配置DPD，才能快速完成协商。 |
| 使用VRRP虚地址 | IPsec策略中 local-address 必须指定为VRRP虚地址，而不是物理接口地址，这样分支墙感知不到后端的主备切换。 |
| 安全策略放行IKE和IPsec | 确保安全策略放行了 ike 和 ipsec-esp/ipsec-ah 服务，以及VRRP相关报文。 |
配置验证方法
配置完成后，可以通过以下命令验证DPD是否生效：
如果配置后切换仍然慢，可以检查两端DPD配置是否一致，以及 interval 值是否设置过大（建议10秒）。
暂无评论
针对华三防火墙 RBM+VRRP 主备部署下 IPsec 隧道切换延迟的问题，根本原因在于**IPsec 隧道状态未随 VRRP 主备切换而实时同步**，导致备机需重新协商隧道（耗时较长）。
建议采取以下优化方案以缩短切换时间：
1. **启用 IPsec 状态同步（关键）**
在 RBM 配置中确保开启 **IPsec SA 同步** 功能（不同版本命令略有差异，通常为 `ipsec sync enable` 或在 RBM 组中配置 `sync ipsec`）。
* **原理**：主设备将建立的 IPsec SA（安全关联）实时同步至备设备。当主设备故障、VRRP 切换至备设备时，备设备已持有有效的 SA 信息，可直接接管流量，无需重新进行 IKE 协商，从而实现秒级切换。
2. **优化 VRRP 与 RBM 联动机制**
确认 VRRP 与 RBM 的优先级联动配置正确。
* **原理**：当主设备检测到 IPsec 隧道中断或故障时，应主动降低 VRRP 优先级，强制触发 VRRP 切换，避免主设备“假死”导致流量仍指向故障节点。
3. **检查 MAC 地址切换策略**
您提到的“出口 MAC 地址变化导致延迟”通常发生在 VRRP 切换时。
* **建议**：确认设备是否配置了 **虚拟 MAC 地址** 或 **MAC 地址漂移抑制** 功能。确保下游交换机在检测到 MAC 地址变化时能迅速更新转发表（或通过配置 VRRP 抢占模式配合快速收敛），减少二层网络收敛带来的额外延迟。
**总结**：核心解决手段是**配置 IPsec SA 状态同步**，使备机在切换瞬间即具备转发能力，从而避免等待 5-10 分钟的重新协商过程。请检查当前设备软件版本是否支持该特性并立即配置。
暂无评论
华三防火墙 RBM+VRRP 主备 + IPsec VPN 切换慢（5~10 分钟才通）根治方案
先说结论
一、最关键：打开 IPsec 快速主备切换（Fast Failover）
system-view
ike fast-failover enable
ipsec fast-failover enable
- VRRP/RBM 切换一发生，立刻删掉旧 SA，马上重建 IKE/IPsec
- 不等老化、不等 DPD、不等重传
二、调快 DPD（邻居探测），别等太久
ike peer XXX
dpd interval 10
dpd retry 2
dpd on-demand
- 10 秒探测一次
- 丢 2 次判定对方 down
- 立刻拆除旧隧道、触发重建
三、IKE/IPsec 绑定 VRRP 虚拟地址（90% 人踩坑）
ipsec policy XXX isakmp
remote-peer 对端公网
local-address VRRP虚IP
ike peer XXX
local-address VRRP虚IP
四、RBM + VRRP + IPsec 联动绑定（核心）
system-view
rbm group 1
track ipsec all
track vrrp all
vrrp vrid X track rbm
五、关闭僵死会话、缩短会话老化
system-view
firewall session aging-time short
undo firewall session link-state check
display firewall session table
六、分支侧也要配（很多人只配总部）
- 开 DPD
- 开 fast-failover
- 对端写双公网 / 主备域名不然总部切了，分支还傻傻往旧 IP 发。
ike negotiation rekey immediate
七、判断你属于哪种坑（对照一下）
我给你一套 最简落地完整版配置（复制就能用）
system-view
ike fast-failover enable
ipsec fast-failover enable
ike peer xxx
dpd interval 10
dpd retry 2
dpd on-demand
local-address VRRP虚IP
rbm group 1
track ipsec all
track vrrp all
firewall session aging-time short
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论