防火墙链路聚合

宽带叠加不了,

通过链路聚合将两条千兆专线捆绑，可以提升监控业务的带宽并实现链路冗余；再配合主备路由或NQA/BFD检测，就可以在ERP专线故障时，让业务自动切换到聚合链路上。

这个方案的核心配置思路是：“一聚，二切”。

• 一聚（两条千兆线）：把两个物理端口聚合成一个逻辑端口，带宽叠加、互为备份。

• 二切（五百兆备线）：让ERP流量默认走自己的专线，并通过链路检测技术，在该专线故障时自动将路由切换到聚合链路上。

下面是具体的配置步骤，你可以参考。

1. 配置两条千兆专线的链路聚合

首先，在防火墙上创建一个三层聚合接口，并把连接两条千兆专线的物理口加入其中。

1. 创建聚合接口：进入系统视图，创建一个三层聚合接口（例如聚合组1）。

   <H3C> system-view

   [H3C] interface Route-Aggregation 1 [H3C-Route-Aggregation1] ip address 100.1.1.2 24 # 配置聚合口的IP地址 [H3C-Route-Aggregation1] quit

2. 将物理端口加入聚合组：把连接两条千兆专线的物理端口（比如GigabitEthernet1/0/1和G1/0/2）加入到刚才创建的聚合组1中。注意：请根据实际情况替换端口编号。

   [H3C] interface GigabitEthernet 1/0/1

   [H3C-GigabitEthernet1/0/1] port link-mode route [H3C-GigabitEthernet1/0/1] port link-aggregation group 1 [H3C-GigabitEthernet1/0/1] quit [H3C] interface GigabitEthernet 1/0/2 [H3C-GigabitEthernet1/0/2] port link-mode route [H3C-GigabitEthernet1/0/2] port link-aggregation group 1 [H3C-GigabitEthernet1/0/2] quit

配置完成后，可以用 display link-aggregation summary 命令查看聚合组的状态，确认两个成员端口都是“S” (Selected) 状态，才表示聚合成功。

2. 配置主备路由及链路检测

这部分实现ERP流量默认走自己的专线（500M），并在它故障时切换到聚合链路（2G）。

1. 配置默认路由：配置两条默认路由。第一条优先级高，指向ERP专线；第二条优先级低，指向聚合链路。正常情况下，所有流量（包括ERP）都走ERP专线。

   # 主路由：指向ERP专线的下一跳（假设对端IP是200.1.1.1），优先级默认60

   [H3C] ip route-static 0.0.0.0 0 200.1.1.1 # 备路由：指向聚合接口的下一跳（假设对端IP是100.1.1.1），设置优先级比主路由低（例如80） [H3C] ip route-static 0.0.0.0 0 100.1.1.1 preference 80

2. 配置NQA或BFD进行链路检测：仅配置静态路由无法快速感知链路故障。需要配置NQA（网络质量分析）或BFD（双向转发检测）来持续检测主链路（ERP专线）的健康状况，一旦检测到故障，就自动让主路由失效，触发备份路由。

   • 配置NQA测试：对ERP专线的下一跳IP地址（200.1.1.1）进行ICMP探测。

     [H3C] nqa entry admin erp_test # 创建NQA测试组

     [H3C-nqa-admin-erp_test] type icmp-echo [H3C-nqa-admin-erp_test-icmp-echo] destination ip 200.1.1.1 [H3C-nqa-admin-erp_test-icmp-echo] frequency 3000 # 每3秒探测一次 [H3C-nqa-admin-erp_test-icmp-echo] probe count 2 # 每次探测发送2个包 [H3C-nqa-admin-erp_test-icmp-echo] quit [H3C] nqa schedule admin erp_test start-time now lifetime forever # 启动测试

   • 关联NQA与静态路由：将之前配置的主路由和这个NQA测试关联起来。当NQA检测到ERP专线不通时，这条路由会自动失效。

     [H3C] ip route-static 0.0.0.0 0 200.1.1.1 track nqa admin erp_test

带宽无法叠加，华三没有这个说法和功能。只能负载均衡

一、方案架构与前提

1. 接口规划（示例）

• 监控聚合链路（主）：
  • GE1/0/1、GE1/0/2 → 加入 Bridge-Aggregation 1（BAGG1）
  • 逻辑带宽：2G
  • 网关：10.0.1.1/30
• ERP 专线（主）：
  • GE1/0/3（500M）
  • 网关：10.0.2.1/30
• 内网接口：
  • GE1/0/4 → Trust 域，内网网段 192.168.1.0/24

2. 核心思路

1. 监控流量：默认走 BAGG1（2G）
2. ERP 流量：默认走 GE1/0/3（500M）
3. 冗余切换：
   • 用 Track 检测 GE1/0/3 物理 / 连通性
   • 当 GE1/0/3 故障，ERP 流量自动切到 BAGG1

二、配置步骤（命令行，V7 版本）

1. 配置链路聚合（BAGG1）

2. 配置 ERP 专线接口

3. 配置内网接口

4. 配置安全域与策略（必做）

5. 配置 Track 检测（监控 ERP 专线状态）

6. 配置策略路由（PBR）实现分流与切换

7. 配置默认路由（兜底）

三、验证与排查

1. 查看聚合状态

2. 查看 Track 状态

3. 查看策略路由应用

4. 测试切换

• 断开 GE1/0/3 或 shutdown 接口
• 查看 display ip routing-table，ERP 流量应切换到 10.0.1.1

四、关键注意事项

1. 链路聚合要求：
   • 两个物理口必须同速率、同双工、同模式
   • 对端设备（如运营商路由器）也需配置 LACP 或静态聚合
2. 带宽限制：
   • 聚合后逻辑带宽为 2G，但受防火墙整机转发能力限制
3. 业务隔离：
   • 建议用 ACL / 安全策略 限制监控与 ERP 流量互访
4. NAT 配置：
   • 若需上网，在 Untrust 域配置 出方向 NAT

五、Web 界面配置（可选）

1. 链路聚合：
   • 网络 → 接口 → 聚合接口 → 新建 Bridge-Aggregation
   • 添加 GE1/0/1、GE1/0/2，配置 IP
2. 策略路由：
   • 网络 → 路由 → 策略路由 → 新建
   • 匹配源地址，设置主 / 备下一跳并关联 Track