根据你提供的配置和拓扑描述,核心问题在于:两台防火墙的VRRP状态都显示为Master,这通常意味着VRRP心跳报文没有正常交互,导致备防火墙无法感知主的存在。结合整体组网,还存在几个关键配置隐患。
可能原因:
二层隔离:防火墙之间VLAN1001的广播/组播报文被阻断,VRRP通告(组播224.0.0.18)无法到达对端。
安全策略未放行VRRP:虽然你放行了Trust-Trust区域的所有IP流量,但VRRP是独立于IP的协议(协议号112),需要明确放行。
聚合接口状态异常:防火墙的聚合口Bridge-Aggregation1可能未正常选中成员端口,导致底层链路不通。
VRRP配置不一致:FW-01配置了active关键字和priority 200,FW-02配置了standby,但两者virtual-ip相同。active/standby是非标准参数(Comware V7中通常用vrrp vrid 100 priority和vrrp vrid 100 preempt-mode),可能导致状态机异常。
修复步骤:
检查聚合链路状态
在两台防火墙上执行:
Selected状态。如果为空,检查物理连线及交换机侧M-LAG配置。放行VRRP协议
在安全策略中添加明确规则(如果已放通Trust-Trust所有IP,VRRP仍需单独放行,因为它不是IP报文):
验证VRRP报文互通
在FW-01上执行:
ping 172.17.100.5 -vlan 1001)。简化VRRP配置(推荐)
移除active/standby关键字,使用标准写法:
你采用了“防火墙VRRP + 交换机M-LAG”的混合模式,虽然可行,但需注意以下几点:
| 组件 | 当前配置问题 | 风险说明 |
|---|---|---|
| 防火墙聚合组 | 未配置undo link-aggregation load-sharing mode,默认负载分担 | 可能将部分流量哈希到故障链路,建议改为主备模式以匹配VRRP主备切换:link-aggregation selected-port maximum 1 |
| 交换机M-LAG | m-lag mad exclude interface Vlan-interface1001已配置,但未配置m-lag system-number和system-mac | M-LAG协商可能失败,检查display m-lag summary确认状态正常 |
| 防火墙安全域 | FW-02的security-zone name Trust中错误导入了Vlan-interface100(应为1001) | 导致接口不在安全域内,流量被丢弃:undo import interface Vlan-interface100import interface Vlan-interface1001 |
| RBM(未配置) | 拓扑图中有RBM,但配置中缺失 | 如果希望防火墙间配置同步和会话热备,必须启用RBM(Remote Backup Management),而不是VRRP。VRRP仅提供网关冗余,不会同步会话表,切换时会导致业务中断。 |
根据你的实际需求(防火墙双机热备),建议二选一:
修复上述VRRP双主问题。
在防火墙聚合口启用主备模式(selected-port maximum 1),确保上下行路径一致。
缺点:主备切换时,已建立的会话会中断(除非应用层具备重连机制)。
禁用VRRP,配置RBM(支持Active-Standby或Active-Active)。
RBM会自动同步会话表、NAT映射、路由等,实现业务无感知切换。
参考配置:
暂无评论
# FW-02 Trust域配置错误:把Vlan-interface1001写成了Vlan-interface100
security-zone name Trust
import interface Vlan-interface100 # ❌ 错误!应该是Vlan-interface1001
import interface HundredGigE0/2/1 vlan 1001
import interface HundredGigE0/2/2 vlan 1001
trust-trust规则存在语法错误(source-zone t),规则未生效,可能导致同域内 VRRP 报文被拦截# FW-02 执行以下命令,修正VLAN接口归属
system-view
security-zone name Trust
undo import interface Vlan-interface100 # 删除错误配置
import interface Vlan-interface1001 # 正确加入Vlan1001
# 修正trust-trust规则的语法错误
security-policy ip
rule 7 name trust-trust
undo source-zone t # 删除错误配置
source-zone Trust
destination-zone Trust
display security-zone name Trust 确认 Vlan-interface1001 已加入 Trust 域display security-policy ip rule 7 确认规则语法正确、状态为 active# SW-01 修正聚合组配置,仅允许FW-01接入
interface bridge-aggregation 101
port m-lag group 101
port link-type trunk
undo port trunk permit vlan 1
port trunk permit vlan 1001
# 禁止FW-02的链路接入SW-01的聚合组101
interface HundredGigE1/2/2 # 原连接FW-02的端口
shutdown # 或改为其他用途,禁止接入VLAN1001
# SW-02 修正聚合组配置,仅允许FW-02接入
interface bridge-aggregation 102
port m-lag group 102
port link-type trunk
undo port trunk permit vlan 1
port trunk permit vlan 1001
# 禁止FW-01的链路接入SW-02的聚合组102
interface HundredGigE1/2/2 # 原连接FW-01的端口
shutdown
# FW-01 配置M-LAG,与SW-01联动
system-view
mlag
m-lag system-mac 0000-1111-2222 # 两台防火墙配置相同的系统MAC
m-lag system-number 1 # FW-01为1,FW-02为2
m-lag system-priority 100 # FW-01优先级高于FW-02
# 配置聚合组为M-LAG成员
interface Bridge-Aggregation1
m-lag group 1
link-aggregation mode dynamic
port link-type trunk
undo port trunk permit vlan 1
port trunk permit vlan 1001
# 配置VRRP跟踪M-LAG状态
interface Vlan-interface1001
vrrp vrid 100 track m-lag 1 reduced 150 # M-LAG故障时,优先级降低150,自动切备
# FW-02 配置M-LAG,与SW-02联动
system-view
mlag
m-lag system-mac 0000-1111-2222 # 与FW-01一致
m-lag system-number 2
m-lag system-priority 50
interface Bridge-Aggregation1
m-lag group 1
link-aggregation mode dynamic
port link-type trunk
undo port trunk permit vlan 1
port trunk permit vlan 1001
interface Vlan-interface1001
vrrp vrid 100 track m-lag 1 reduced 150
# FW-01/FW-02 全局开启RSTP,配置为根桥
system-view
stp global enable
stp mode rstp
stp root primary
# 聚合组接口开启STP
interface Bridge-Aggregation1
stp enable
stp edged-port disable
# FW-01 优化VRRP配置,增加通告时间、抢占模式
interface Vlan-interface1001
vrrp vrid 100 virtual-ip 172.17.100.6 active
vrrp vrid 100 priority 200
vrrp vrid 100 preempt-mode delay 10 # 抢占延迟10秒,避免震荡
vrrp vrid 100 timer advertise 1 # 通告时间1秒(默认1秒,可保持)
vrrp vrid 100 track interface Bridge-Aggregation1 reduced 150 # 跟踪聚合组,故障降优先级
# FW-02 优化VRRP配置
interface Vlan-interface1001
vrrp vrid 100 virtual-ip 172.17.100.6 standby
vrrp vrid 100 preempt-mode delay 10
vrrp vrid 100 timer advertise 1
vrrp vrid 100 track interface Bridge-Aggregation1 reduced 150
# FW-01/FW-02 新增VRRP报文放行规则(兜底)
security-policy ip
rule 10 name permit-vrrp
action pass
logging enable
counting enable
source-zone Local
destination-zone Trust
service vrrp # 直接引用VRRP服务,精准放行
display security-policy ip rule 10 确认规则生效,VRRP 报文计数正常增长。# 防火墙侧:查看VRRP状态,确认一主一备
display vrrp interface Vlan-interface1001 verbose
# 预期:FW-01为Master,FW-02为Backup,VRRP报文收发计数正常
# 防火墙侧:查看安全域与策略
display security-zone name Trust
display security-policy ip rule all
# 交换机侧:查看M-LAG与VRRP状态
display m-lag verbose
display vrrp interface Vlan-interface1001 verbose
# 防火墙侧:查看聚合组状态
display link-aggregation verbose interface Bridge-Aggregation1
| 隐患 | 后果 | 整改方案 |
|---|---|---|
| FW-02 安全域配置笔误 | VRRP 报文被拦截,双主 | 修正 Vlan-interface1001 归属 Trust 域 |
| 二层环路导致 VRRP 报文丢包 | 双主、业务震荡 | 重构拓扑,开启 M-LAG/STP 抑制环路 |
| VRRP 抢占无延迟 | 主备频繁震荡 | 配置preempt-mode delay 10 |
| 安全策略语法错误 | 同域流量被拦截 | 修正 trust-trust 规则,新增 VRRP 放行规则 |
| 防火墙与交换机 M-LAG 不联动 | 上下行主备不一致,流量黑洞 | 防火墙开启 M-LAG,与交换机联动 |
暂无评论
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
抄袭了我的内容
×
原文链接或出处
诽谤我
×
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论