配置案例（MSR36-20、F1090、S6850）

AR可以做 vrrp，防火墙做RBM,SW1和SW2交换机做IRF

接入层：MSR36-20（JR1/JR2）下联 PC，上行 S6850 核心
核心层：两台 S6850 做IRF 堆叠，10G XGE 互联，三层 VRRP 做网关冗余
防火墙层：两台 F1090 做HRP 主备，上下行三层对接核心与出口路由器
出口层：MSR36-20 AR1/AR2 双出口，NQA 链路质量探测，浮动静态路由选路，双上联 ISP
冗余逻辑：
接入网关 VRRP 冗余；
核心交换机 IRF 堆叠；
防火墙 HRP 双机热备；
出口路由器 NQA + 浮动路由实现多出口故障切换
一、设备规划 IP 地址（标准化规划，可直接套用）
1. 业务终端网段（VRRP 网关）
PC 网段：192.168.1.0/24
VRRP 虚拟网关：192.168.1.254
JR1 (MSR36-20) GE0/3：192.168.1.1/24
JR2 (MSR36-20) GE0/3：192.168.1.2/24
2. 接入 MSR ↔ 核心 S6850 三层互联
JR1 GE0/1：10.0.1.1/30 ↔ SW1 GE0/4：10.0.1.2/30
JR2 GE0/2：10.0.2.1/30 ↔ SW2 GE0/5：10.0.2.2/30
3. 核心 S6850 IRF 三层互联 FW 防火墙
SW1 GE0/1：10.1.1.1/30 ↔ FW1 GE0/2：10.1.1.2/30
SW2 GE0/2：10.1.2.1/30 ↔ FW2 GE0/2：10.1.2.2/30
FW1/FW2 内网 VRRP：10.1.0.254/24
4. 防火墙 ↔ 出口路由器三层互联
FW1 GE0/0：10.2.1.1/30 ↔ AR1 GE0/1：10.2.1.2/30
FW2 GE0/1：10.2.2.1/30 ↔ AR2 GE0/2：10.2.2.2/30
FW 外网 VRRP：10.2.0.254/24
5. 出口路由器 AR1/AR2 ↔ ISP
AR1 GE0/0：203.0.1.1/24
AR2 GE0/0：203.0.2.1/24
ISP 侧网关：203.0.1.254 / 203.0.2.254
6. 核心 S6850 IRF 堆叠 10G 链路
SW1 XGE0/49、XGE0/50 堆叠口；SW2 XGE0/49、XGE0/50 堆叠口
分设备完整配置（Comware V7）
第一部分：接入路由器 JR1 MSR36-20（PC1 网关，VRRP 主）
plaintext
# 1. 基础系统
system-view
sysname JR1-MS3620
# 关闭不必要服务
undo info-center enable
# 下联PC接口
interface GigabitEthernet 0/3
port link-mode route
ip address 192.168.1.1 255.255.255.0
# 上行核心SW1三层口
interface GigabitEthernet 0/1
port link-mode route
ip address 10.0.1.1 255.255.255.252
# 2. VRRP 业务网关
interface GigabitEthernet 0/3
vrrp vrid 1 virtual-ip 192.168.1.254
vrrp vrid 1 priority 120
vrrp vrid 1 preempt-mode
# 3. 静态路由指向核心堆叠
ip route-static 0.0.0.0 0 10.0.1.2 preference 60
# 4. NQA探测上行链路（故障自动切换备用JR2路径）
nqa entry admin test
type icmp-echo
destination ip 10.0.1.2
frequency 1000
reaction 1 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only
nqa schedule admin test start-time now lifetime forever
# 绑定路由探测
ip route-static 0.0.0.0 0 10.0.2.2 preference 70 track nqa entry admin test

JR2 MSR36-20（PC2 网关，VRRP 备）
plaintext
system-view
sysname JR2-MS3620
# 下联PC
interface GigabitEthernet 0/3
port link-mode route
ip address 192.168.1.2 255.255.255.0
# 上行SW2
interface GigabitEthernet 0/2
port link-mode route
ip address 10.0.2.1 255.255.255.252
# VRRP备
interface GigabitEthernet 0/3
vrrp vrid 1 virtual-ip 192.168.1.254
vrrp vrid 1 priority 100
vrrp vrid 1 preempt-mode
# 静态路由
ip route-static 0.0.0.0 0 10.0.2.2 preference 60
# NQA探测上行SW2
nqa entry admin test
type icmp-echo
destination ip 10.0.2.2
frequency 1000
reaction 1 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only
nqa schedule admin test start-time now lifetime forever
# 备用路由走JR1
ip route-static 0.0.0.0 0 10.0.1.2 preference 70 track nqa entry admin test

第二部分：核心交换机 SW1 S6850（IRF 主设备）
SW1 IRF 堆叠配置（先配堆叠，再上电 SW2）
plaintext
system-view
sysname S6850-IRF-MASTER
# IRF域编号
irf domain 1
# IRF成员1，优先级120为主
irf member 1 priority 120
# 10G堆叠口绑定
interface Ten-GigabitEthernet 1/0/49
irf-port group 1
undo shutdown
interface Ten-GigabitEthernet 1/0/50
irf-port group 1
undo shutdown
irf-port 1/1
port group Ten-GigabitEthernet 1/0/49
port group Ten-GigabitEthernet 1/0/50
# 保存IRF配置后重启交换机
save
reboot

SW2 S6850 IRF 备机
plaintext
system-view
sysname S6850-IRF-SLAVE
irf domain 1
irf member 2 priority 100
interface Ten-GigabitEthernet 2/0/49
irf-port group 2
undo shutdown
interface Ten-GigabitEthernet 2/0/50
irf-port group 2
undo shutdown
irf-port 2/2
port group Ten-GigabitEthernet 2/0/49
port group Ten-GigabitEthernet 2/0/50
save
reboot

IRF 堆叠成功后，统一三层接口 & 路由配置（堆叠后全局配置）
plaintext
# 对接JR1 MSR
interface GigabitEthernet 1/0/4
port link-mode route
ip address 10.0.1.2 255.255.255.252
# 对接JR2 MSR
interface GigabitEthernet 2/0/5
port link-mode route
ip address 10.0.2.2 255.255.255.252
# 上行FW1内网
interface GigabitEthernet 1/0/1
port link-mode route
ip address 10.1.1.1 255.255.255.252
# 上行FW2内网
interface GigabitEthernet 2/0/2
port link-mode route
ip address 10.1.2.1 255.255.255.252
# 内网VRRP（核心去往防火墙网关）
interface Vlan-interface 100
ip address 10.1.0.1 255.255.255.0
vrrp vrid 10 virtual-ip 10.1.0.254
vrrp vrid 10 priority 120
# 回程业务网段静态路由
ip route-static 192.168.1.0 255.255.255.0 10.0.1.1 preference 60
ip route-static 192.168.1.0 255.255.255.0 10.0.2.1 preference 70
# 默认路由指向防火墙VRRP
ip route-static 0.0.0.0 0 10.1.0.254

第三部分：防火墙 FW1 F1090 HRP 主
plaintext
system-view
sysname FW1-F1090-MASTER
# 1. HRP双机热备
hrp enable
hrp interface GigabitEthernet 0/3 remote 10.1.2.2
hrp switch-mode load-balance
# 内网接口对接SW1
interface GigabitEthernet 0/2
port link-mode route
ip address 10.1.1.2 255.255.255.252
# 外网接口对接AR1出口
interface GigabitEthernet 0/0
port link-mode route
ip address 10.2.1.1 255.255.255.252
# 内网VRRP
interface Vlan-interface 10
ip address 10.1.0.2 255.255.255.0
vrrp vrid 10 virtual-ip 10.1.0.254
vrrp vrid 10 priority 120
hrp vrid 10
# 外网VRRP
interface Vlan-interface 20
ip address 10.2.0.2 255.255.255.0
vrrp vrid 20 virtual-ip 10.2.0.254
vrrp vrid 20 priority 120
hrp vrid 20
# 安全域划分
security-zone name trust
import interface GigabitEthernet 0/2
security-zone name untrust
import interface GigabitEthernet 0/0
# 全域放行业务测试安全策略
security-policy ip
rule pass_all
source-zone trust
destination-zone untrust
action pass
# NAT上网策略
nat global-policy
rule nat_out
source-zone trust
destination-zone untrust
action snat easy-ip
# 回程路由指向核心堆叠
ip route-static 192.168.1.0 255.255.255.0 10.1.0.254
# 默认路由指向出口路由器VRRP
ip route-static 0.0.0.0 0 10.2.0.254

FW2 F1090 HRP 备机
plaintext
system-view
sysname FW2-F1090-SLAVE
hrp enable
hrp interface GigabitEthernet 0/3 remote 10.1.1.2
# 对接SW2
interface GigabitEthernet 0/2
port link-mode route
ip address 10.1.2.2 255.255.255.252
# 对接AR2出口
interface GigabitEthernet 0/1
port link-mode route
ip address 10.2.2.1 255.255.255.252
# VRRP备优先级100
interface Vlan-interface 10
ip address 10.1.0.3 255.255.255.0
vrrp vrid 10 virtual-ip 10.1.0.254
vrrp vrid 10 priority 100
hrp vrid 10
interface Vlan-interface 20
ip address 10.2.0.3 255.255.255.0
vrrp vrid 20 virtual-ip 10.2.0.254
vrrp vrid 20 priority 100
hrp vrid 20
# 安全域、安全策略、NAT HRP自动同步，无需重复配置
# 路由自动HRP同步

第四部分：出口路由器 AR1 MSR36-20（主出口，NQA 链路探测）
plaintext
system-view
sysname AR1-MS3620-OUT
# 对接FW1
interface GigabitEthernet 0/1
port link-mode route
ip address 10.2.1.2 255.255.255.252
# 对接ISP互联网
interface GigabitEthernet 0/0
port link-mode route
ip address 203.0.1.1 255.255.255.0
# VRRP出口网关
interface Vlan-interface 20
ip address 10.2.0.1 255.255.255.0
vrrp vrid 20 virtual-ip 10.2.0.254
vrrp vrid 20 priority 120
# NQA探测ISP链路故障
nqa entry admin isp
type icmp-echo
destination ip 203.0.1.254
frequency 1000
reaction 1 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only
nqa schedule admin isp start-time now lifetime forever
# 默认路由走ISP主链路
ip route-static 0.0.0.0 0 203.0.1.254 preference 60 track nqa entry admin isp
# 备用路由切换至AR2出口
ip route-static 0.0.0.0 0 10.2.2.2 preference 80
# 回程内网路由指向防火墙VRRP
ip route-static 192.168.1.0 255.255.255.0 10.2.0.254

AR2 MSR36-20（备用出口）
plaintext
system-view
sysname AR2-MS3620-OUT
interface GigabitEthernet 0/2
port link-mode route
ip address 10.2.2.2 255.255.255.252
interface GigabitEthernet 0/0
port link-mode route
ip address 203.0.2.1 255.255.255.0
# VRRP备
interface Vlan-interface 20
ip address 10.2.0.4 255.255.255.0
vrrp vrid 20 virtual-ip 10.2.0.254
vrrp vrid 20 priority 100
# NQA探测自身ISP链路
nqa entry admin isp
type icmp-echo
destination ip 203.0.2.254
frequency 1000
reaction 1 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only
nqa schedule admin isp start-time now lifetime forever
# 主路由本端ISP，备用切AR1
ip route-static 0.0.0.0 0 203.0.2.254 preference 60 track nqa entry admin isp
ip route-static 0.0.0.0 0 10.2.1.2 preference 80
# 内网回程路由
ip route-static 192.168.1.0 255.255.255.0 10.2.0.254

配套验证 & 排错命令
1. S6850 IRF 堆叠校验
plaintext
display irf
display irf topology
display link-aggregation summary

2. VRRP 网关状态（接入、核心、出口三层 VRRP）
plaintext
display vrrp brief
display vrrp statistics

3. F1090 防火墙 HRP 双机
plaintext
display hrp state
display hrp interface
display security-policy ip statistics

4. MSR NQA 链路探测故障切换
plaintext
display nqa entry all
display ip routing-table protocol static
display track all

5. 全网连通性排查
plaintext
ping 192.168.1.254
ping 10.1.0.254
ping 10.2.0.254
ping 203.0.1.254

组网冗余逻辑总结
接入冗余：两台 MSR36-20 做 VRRP 网关，NQA 探测上联核心，单条上联断网自动切换对端路径；
核心冗余：两台 S6850 通过 10G XGE 做 IRF 堆叠，设备级故障秒级切换；
防火墙冗余：两台 F1090 HRP 热备，内网 / 外网双 VRRP，会话同步无断流；
出口冗余：双 MSR 出口路由器，NQA 探测 ISP 链路质量，互联网链路故障自动切换备用出口；
全程三层冗余，所有单点故障均能自动切换，无业务中断。

  1、ISP 模拟运营商，AR1 通过电信线路连接 ISP，AR2 通过移动线路连接 ISP。

2、AR1 为主，AR2 为备，当 AR1 上下链路或者设备故障时，流量走 AR2 的移动线路，当链路和设备古战恢复时，流量自动走 AR1。

3、FW1 为主，FW2 为备，做主备。当 FW1 上下链路或者设备故障时，流量走 FW2，当链路和设备古战恢复时，流量自动走 FW1。两台防火墙中间有连接线，做 HRP。

4、核心 1 为主，核心 2 为备，做堆叠配置，vlan10 和 vlan20 作为终端网关，开启 DHCP

5、AR 和 ISP 的路由器型号时 MSR36-20，防火墙型号 F1090，核心交换机型号 S6850。接入交换机 S5820v2。这是华三设备，帮我完成相关配置