m-lag双活+多vpn实例隔离+防火墙主备旁挂组网时，主备防火墙故障时，路由逃生问题

一、 核心设计原则

1. 路由优先级的“阶梯”设计：必须利用管理距离（Preference）构建明确的优先级：策略路由 (PBR) > 静态路由 (连接防火墙) > OSPF外部路由 (逃生)。
2. 链路状态感知 (Track/NQA)：静态路由必须与链路状态联动，确保物理/协议Down时路由立即撤销，触发Peer-link绕行。
3. 策略路由 (PBR) 的“守门员”作用：PBR用于解决“路由泄露”导致的次优路径问题，强制流量在防火墙存活时“必须”经过防火墙。

二、 具体配置方案与逻辑解析

1. 解决“路由泄露”导致的旁路问题：部署PBR

• 策略逻辑：
  1. 匹配：匹配需要跨VPN访问或访问外网的业务流量（源IP或目的IP）。
  2. 动作：设置下一跳为防火墙的VRRP虚拟IP（或主防火墙物理IP，推荐VRRP以适配主备切换）。
  3. 联动 (关键)：该策略必须绑定 Track 项（通过NQA探测防火墙接口IP或互联链路状态）。
• 故障行为：
  • 正常/单防火墙故障：Track项为Positive，PBR生效，流量强制打给防火墙。
  • 双防火墙故障/链路全断：Track项为Negative，PBR失效。此时流量不再被PBR劫持，交还给路由表查找。

2. 解决“主核心连接主防火墙链路中断”的绕行问题

• 问题点：如果核心上配置的是指向防火墙物理IP的静态路由，且没有Track，当直连链路Down时，路由可能不会立即撤销（取决于接口状态上报），或者如果路由依然有效，流量可能会在Peer-link上形成环路（如果Peer-link允许该VLAN通过且对端有路由）。
• 最佳实践配置：
  • 静态路由 + Track：
    在核心交换机上，配置去往防火墙互联地址的静态路由，并关联Track（监测直连链路或NQA）。
    
    

    1# 示例：配置静态路由，优先级设为60（优于OSPF的150） 2ip route-static vpn-instance <VPN-A> 0.0.0.0 0 <FW_Next_Hop_IP> track 1 preference 60
  • Peer-link绕行机制：
    当主核心的直连链路Down -> Track状态变Negative -> 静态路由撤销。
    此时，流量查找路由表，发现通过OSPF从备核心（Peer-link方向）学来的默认路由（优先级150）。
    于是，流量走 主核心 -> Peer-link -> 备核心 -> 备防火墙。
    注意：这要求M-LAG的Peer-link允许互联VLAN通过，且OSPF在备核心上发布了默认路由。

3. 解决“双防火墙故障”后的逃生问题

• 逃生路由配置：
  在核心交换机上配置一条低优先级的静态默认路由（或者依赖OSPF下发的默认路由），指向公共区域或跨VPN的直连路径。
  • 方案A（推荐）：依赖OSPF。防火墙正常时，核心通过静态路由（优先级60）走防火墙；防火墙全挂后，静态路由消失，核心通过OSPF（优先级150）走Peer-link或对端核心的逃生路径。
  • 方案B（纯静态）：配置一条优先级极低（如200）的静态路由指向逃生接口。
    
    

    1# 只有当优先级60的防火墙路由消失后，这条路由才生效 2ip route-static vpn-instance <VPN-A> 0.0.0.0 0 <Escape_Interface> preference 200

三、 综合故障场景推演表

四、 避坑指南（基于H3C特性）

1. PBR与路由泄露的冲突：
   你提到的“路由泄露导致明细路由大于默认路由”是核心痛点。PBR是唯一解。务必确保PBR应用在流量进入核心交换机的入接口（即连接接入层或服务器的VLAN接口），而不是出接口。
2. Peer-link的带宽瓶颈：
   当一侧链路故障，流量绕行Peer-link时，务必确保Peer-link的带宽足够承载这部分突发流量，否则会造成拥塞丢包。
3. OSPF多进程/VRF隔离：
   如果使用了多VPN实例，确保OSPF进程在对应的VRF下正确引入静态路由或下发默认路由。
   • 配置建议：在核心与防火墙互联的VRF中，不要引入过多的明细路由到OSPF，尽量只下发默认路由，减少LSDB震荡。
4. M-LAG的DF选举与ARP同步：
   在旁挂模式下，确保M-LAG双活的ARP同步功能开启（arp m-lag synchronization enable），防止主备切换时ARP表项不一致导致流量黑洞。