FW SW

核心结论
可以对接通，但交换机侧不能直接用三层聚合，必须标准 M-LAG 二层聚合 + 三层 VLANIF；防火墙侧用设备内三层聚合（Route-Aggregation），交叉互联 RBM 主备 FW 完全可行，是官方标准高可用组网。


RBM+M-LAG交叉互联拓扑
一、组网结构说明（你说的交叉方式）
防火墙：FW1、FW2 做 RBM 主备，各自创建设备内三层聚合 RAGG
FW1 RAGG10：上联 SW1 (M-LAG-A)
FW2 RAGG10：上联 SW2 (M-LAG-B)
交换机：SW1、SW2 组成 M-LAG（DRNI）
SW1、SW2 各创建二层聚合 BAGG10，加入同一个 M-LAG 组
SW1-BAGG10 接 FW1；SW2-BAGG10 接 FW2（交叉布线）
三层网关：交换机 M-LAG 侧在 VLANIF 配置网段 IP+VRRP，防火墙三层聚合配置同网段实 IP，建立静态 / OSPF 路由互通。
二、关键硬性限制（不遵守会不通、丢包、震荡）
1）交换机 M-LAG 侧禁止三层聚合
M-LAG 所有外联接口必须是二层 Bridge-Aggregation，不能在聚合口直接配 IP（Route-Aggregation）：
若交换机用三层聚合，两台交换机各自独立三层口，FW 会同时和两台交换机建三层邻居，形成三角路由、来回路径不一致、防火墙会话频繁断流；
M-LAG 的跨设备 MAC/ARP 同步、端口隔离防环路机制失效，极易二层广播风暴。
2）防火墙三层聚合统一规范
FW1、FW2 三层聚合编号必须完全一致（都 RAGG10），LACP 动态聚合，同网段 IP；RBM 会联动聚合口状态做主备切换。
3）M-LAG peer-link 必配关键命令
两台交换机 peer-link 聚合下关闭源 MAC 静态校验，否则跨设备三层转发不通：
bash
运行
interface Bridge-Aggregation1
port m-lag peer-link 1
undo mac-address static source-check enable
三、完整最简配置示例
1、交换机 SW1/SW2（M-LAG）
bash
运行
# 全局M-LAG
m-lag system-number 1
m-lag keepalive enable
# peer-link聚合
interface Bridge-Aggregation1
port link-type trunk
port trunk permit vlan 10
port m-lag peer-link 1
undo mac-address static source-check enable
# 对接FW的M-LAG二层聚合
interface Bridge-Aggregation10
port link-type trunk
port trunk permit vlan 10
link-aggregation mode dynamic
port m-lag group 10
# 三层网关
vlan 10
interface Vlan-interface10
ip address 10.0.0.2 255.255.255.0
vrrp vrid 1 virtual-ip 10.0.0.1
SW2 仅修改 system-number=2，其余 BAGG10、VLANIF10 配置完全一致。
2、防火墙 FW1/FW2（RBM 三层聚合）
bash
运行
# 创建三层聚合
interface Route-Aggregation10
port link-mode route
ip address 10.0.0.10 255.255.255.0
link-aggregation mode dynamic
# 加入物理口
interface GigabitEthernet1/0/1
port link-aggregation group 10
# RBM主备
rbm group 1
priority 100
interface Route-Aggregation10 track interface Route-Aggregation10
# 路由指向交换机VRRP
ip route-static 0.0.0.0 0 10.0.0.1
FW2 RAGG10 同网段 IP，RBM 优先级调低做备。
四、互通与高可用保障逻辑
正常：流量从主 FW 三层聚合→SW1 M-LAG 二层聚合，交换机通过 peer-link 同步 MAC 表，两台交换机对外逻辑一台；
链路故障：FW 上联端口 down → RBM 切换备 FW；交换机单侧链路 down，M-LAG 自动跨 peer-link 转发，无断流；
三层可达：FW 三层聚合 IP 与交换机 VLANIF 同网段，ARP 正常交互，静态 / OSPF 邻居稳定。
五、常见不通排查点
交换机聚合口配成 route 模式 → 改为 port link-mode bridge；
peer-link 未关闭 undo mac-address static source-check enable → 跨设备三层报文丢弃；
防火墙三层聚合与交换机 VLAN 不在同一 VLAN → 聚合 trunk 放行业务 VLAN；
LACP 聚合模式静态，两端协商失败 → 统一 mode dynamic；
RBM 未 track 聚合口，故障不切换，流量黑洞。
极简总结
组网可行：FW RBM 三层聚合 + SW M-LAG 二层聚合交叉对接是标准方案；
核心红线：交换机对接 FW 的聚合必须是二层 BAGG，严禁三层聚合；
必配优化：peer-link 关闭源 MAC 校验、两端 LACP 动态聚合、RBM 跟踪聚合口实现故障自动切换。

可以