问
F1000RBM主备透明模式部署
19小时前提问
- 0关注
- 0收藏，112浏览
F1000 RBM 透明主备 + 下联 IRF 堆叠交换机 选路机制完整解答
组网前提梳理
- 两台 F1000 防火墙做RBM 透明主备（Active-Standby），二层串接，同一 VLAN 透传；
- 下联 IRF 堆叠交换机，两个独立物理上行聚合组：
- Agg1：连接主防火墙 FW-A
- Agg2：连接备防火墙 FW-B
- 需求：IRF 交换机自动识别主墙，流量仅走 Agg1，Agg2 端口阻塞 / 不转发。
一、IRF 交换机判断主防火墙的 2 套核心机制（官方标准方案）
方案 1：LACP 动态聚合 + 成员端口优先级（最常用，推荐）
原理
两台防火墙下联口分别接入 IRF 交换机同一个二层动态聚合组 Bridge-Aggregation X，依靠 LACP 协商端口优先级区分主备链路：
- 主防火墙下联端口 LACP 优先级设更低（数值越小越优先选中）；
- 备防火墙下联端口 LACP 优先级设更高；
- IRF 交换机收到两端 LACP 报文，自动把低优先级端口置为
Selected转发，高优先级端口置为Unselected阻塞； - RBM 主备切换时，备机接管业务，其下联端口 LACP 状态变为可转发，交换机自动切换选中端口。
关键配置示例
防火墙侧（透明模式二层口）
plaintext
# 主FW-A下联口
interface GigabitEthernet 1/0/2
port link-mode bridge
port trunk permit vlan all
lacp port-priority 10 # 低优先级，优先选中
# 备FW-B下联口
interface GigabitEthernet 1/0/2
port link-mode bridge
port trunk permit vlan all
lacp port-priority 100 # 高优先级，默认不选中
下联 IRF 交换机聚合配置
plaintext
interface Bridge-Aggregation 10
link-aggregation mode dynamic
port link-type trunk
port trunk permit vlan all
# 接入主FW的口
interface GigabitEthernet 1/0/1
port link-aggregation group 10
# 接入备FW的口
interface GigabitEthernet 2/0/1
port link-aggregation group 10
验证
display link-aggregation verbose Bridge-Aggregation 10- 主墙端口状态：
S(Selected) - 备墙端口状态：
U(Unselected)，流量只走主墙链路。
方案 2：STP 生成树阻断备防火墙链路（无聚合场景 / 静态聚合）
若你分开两个独立聚合组（主墙 Agg1、备墙 Agg2，不是同一个聚合），依靠 STP 识别主备：
- RBM 主防火墙发送 BPDU 桥优先级更低，成为二层根桥；
- 下联 IRF 交换机收到备防火墙侧 BPDU 优先级更高，自动将备墙上行聚合端口置为 Discarding 丢弃状态；
- 流量仅转发至根桥（主防火墙）链路。
配置要点
plaintext
# 主FW配置更低STP优先级
stp instance 0 root primary
# 备FW配置更高STP优先级
stp instance 0 root secondary
关键限制
RBM 透明主备场景官方要求：必须配合 RBM track vlan，保证主备切换时 VLAN 转发状态同步，否则 STP 无法快速收敛，产生环路H3C。
二、RBM 底层联动逻辑（防火墙侧同步状态给交换机）
- 正常主备状态：
- 主 FW：业务 VLAN 转发状态为
Active，持续发送低优先级 LACP/BPDU； - 备 FW：业务 VLAN 转发状态为
Inactive，虽然接口 UP，但二层转发逻辑关闭，BPDU/LACP 协商权重更高；
- 主 FW：业务 VLAN 转发状态为
- 主 FW 故障整机 / 链路 Down： RBM 组切换，备机变为 Active，VLAN 转发打开，LACP/BPDU 协商优先级反转，IRF 交换机自动切换流量至备墙聚合组。
三、两种组网区分（你当前组网匹配哪一种）
场景 A（推荐单聚合组，LACP 优先级区分）
IRF 交换机一个聚合口同时包含主、备防火墙物理口，靠 LACP port-priority 选主链路，无环路、收敛快，是 RBM 透明标准方案。
场景 B（双独立聚合组，STP 阻断）
IRF 交换机两个分开聚合组（Agg1 接主，Agg2 接备），依靠 STP 根桥优先级阻塞备聚合链路，适合带宽需求大、分开布线场景。
四、常见误区澄清
- 交换机无法通过 RBM 报文识别主备 RBM 私有报文仅在两台防火墙之间同步会话、主备状态，不会透传给下联交换机；交换机只能通过标准二层协议 LACP/STP 判断主链路，没有专门 RBM 识别字段。
- 不能依靠 ARP/MAC 区分 透明模式下两台防火墙无三层网关 IP，MAC 同步无差异，无法作为选路依据。
- 禁止同一聚合组同时跨两台 RBM 防火墙做负载分担 RBM 透明主备只能单设备转发，双选中会产生二层环路、业务不通，聚合必须限制单端口转发。
五、故障切换验证命令
交换机侧
plaintext
# 查看聚合组选中端口，确认主墙链路S、备墙U
display link-aggregation verbose
# 查看STP端口状态，备墙链路Discarding
display stp brief
防火墙侧
plaintext
# 查看RBM主备角色
display remote-backup-group status
# 查看透明模式VLAN转发状态
display rbm track vlan
六、最简落地总结
- 最优方案：单动态聚合组 + LACP 端口优先级，交换机依靠 LACP 协商识别主防火墙链路，流量优先转发；
- 若分开两个独立聚合上行，使用 STP 根桥优先级阻断备防火墙聚合链路；
- 交换机本身不感知 RBM 私有协议，仅依靠标准二层 LACP/STP 完成主备链路选路。
不能聚合到两台设备，分别聚合到一台，然后防火墙只有主会转发
要让下行堆叠交换机自动识别主防火墙，并让流量优先走主墙，有两种官方推荐的方案。考虑到你提到下联是“聚合组”，方案一（LACP动态聚合）是更标准和推荐的做法。
方案一：LACP动态聚合 + 端口优先级（最推荐）
这个方案的核心思路是：将两台防火墙的下联口和交换机的两个上联口，统统划入同一个动态聚合组。然后通过调整LACP的端口优先级，让交换机自动选择主墙一侧的链路进行转发。
判断依据：IRF交换机通过LACP协议报文中的端口优先级来判断。主墙端口的优先级数值更小（优先级更高），会被选为
Selected（选中）状态并转发流量；备墙端口优先级数值更大，会被置为Unselected（非选中）状态，成为备份链路。流量走向：流量只会从
Selected状态的主墙链路转发。当RBM主备切换后，新的主设备端口LACP状态会变为可转发，交换机自动完成切换。
配置示例
在主防火墙（FW-A）的下联口，设置一个较低的LACP优先级（数值小，更优先）：
interface GigabitEthernet 1/0/2 port link-mode bridge port trunk permit vlan all lacp port-priority 10 # 低优先级，优先选中text在备防火墙（FW-B）的下联口，设置一个较高的LACP优先级（数值大，默认不选中）：
interface GigabitEthernet 1/0/2 port link-mode bridge port trunk permit vlan all lacp port-priority 100 # 高优先级，默认不选中text
创建一个动态二层聚合组，并将两个上联物理口加入其中：
interface Bridge-Aggregation 10 link-aggregation mode dynamic # 必须为动态模式 port link-type trunk port trunk permit vlan all # 接入主墙FW-A的物理口 interface GigabitEthernet 1/0/1 port link-aggregation group 10 # 接入备墙FW-B的物理口 interface GigabitEthernet 2/0/1 port link-aggregation group 10text
验证结果:
在交换机上执行display link-aggregation verbose Bridge-Aggregation 10，你会看到主墙端口为S(Selected)，备墙端口为U(Unselected)。
方案二：STP生成树协议阻断（备选方案）
如果你的场景无法使用动态聚合（例如是两个独立的静态聚合组），可以考虑用STP（生成树协议）来阻断备墙链路。
⚠️ 关键注意事项：必须配置 track vlan
无论采用哪种方案，都必须配合RBM的track vlan功能。track vlan让RBM能监控VLAN接口的状态，并在主备切换时，通知下游交换机的STP或LACP快速响应，避免因状态不同步导致流量中断或环路。
配置方法：在RBM视图下，将上下行接口Trunk所允许的所有VLAN都加入track。
[H3C] remote-backup group [H3C-remote-backup-group] track vlan 10 [H3C-remote-backup-group] track vlan 20 [H3C-remote-backup-group] track vlan 30 # ... 将所有透传的VLAN都配置上text
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明