两台防火墙作HA联动VRRP三层主备组网，切换主备后，虚拟ip无法访问的问题

一、先解读你截图里异常现状

1. 本机角色：从管理设备，但当前运行在主用状态，角色逻辑错乱；
2. 两条 VRRP 异常：
   • 10.220.75.194：Initialize（初始化状态，故障），本该为 Backup；
   • 172.16.3.236：当前变成 Master，本该是 Backup；
3. 现象：
   切备机→虚拟 IP 正常通；切回原主机→VIP 不通；备机上 VRRP 条目标红但业务正常，属于典型 VRRP 与 RBM 主备状态不同步。

二、核心故障根本原因

1、RBM（防火墙 HA）主备状态 和 VRRP 角色脱节（最主要）

• RBM 主机 = 所有 VRRP 组自动成为 Master；
• RBM 备机 = 所有 VRRP 组强制为 Backup。
  你现在出现：
  RBM 已经切回主机，但是对应 VRRP 组没有跟着切换成 Master，VRRP 停留在 Initialize/Backup，虚拟 IP 不生效，VIP 无法访问。
  触发诱因：

1. 手工强制切换 RBM 主备时，VRRP 进程同步延迟、VRRP 抢占计时器卡死；
2. VRRP 配置了抢占时间过长，RBM 切回主机后，VRRP 迟迟不抢成 Master；
3. 部分 VRRP 接口 Down、链路不通，VRRP 持续卡在 Initialize 初始化状态，虚拟 IP 不生效。

2、备机上 VRRP 显示红色告警属于正常现象

3、衍生次要诱因

1. VRRP 抢占时间过长（比如设置 60s、120s），RBM 切回主机后，VRRP 迟迟不抢占 Master，VIP 无法启用；
2. VRRP 所在物理接口 GE1/0/1、GE1/0/2 存在间歇性闪断，VRRP 进入 Initialize 状态；
3. 双机配置未同步：防火墙配置一致性从未校验，两台防火墙 VRRP 优先级、抢占模式配置不一致；
4. 会话备份正常，但VRRP 配置没有跟随 RBM 联动切换。

三、完整排查步骤（按顺序执行）

步骤 1：同步两台防火墙配置

步骤 2：规范 VRRP+RBM 联动（关键修复）

1. 进入 VRRP 接口，删除手动设置的 vrrp vrid X priority xx 优先级；
2. 开启 RBM 联动 VRRP，由 HA 主备统一管控 VRRP 状态：

步骤 3：缩短 VRRP 抢占延时，避免切回主机后 VRRP 迟迟不上线

步骤 4：检查 VRRP 接口链路状态

步骤 5：修正 RBM 角色错乱问题

1. 两台防火墙重启 RBM 心跳进程，或者整机依次重启（业务窗口操作）；
2. 检查 RBM 心跳链路是否稳定，心跳断连会造成双主、状态错乱。

四、为什么切换备机能用、切回主机 VIP 不通

1. 切至备防火墙：RBM 备机接管业务，防火墙会强制拉起 VRRP Master 角色，VIP 生效，可以正常 ping 通；
2. 切回原主机：RBM 状态切回主机，但 VRRP 因为抢占延迟 / 联动失效，没有切换成 Master，VRRP 停留在 Initialize/Backup，虚拟 IP 不生效，因此无法访问 VIP；
3. 备机 VRRP 标红：备机 HA 机制屏蔽 VRRP 协商报文，监控探测不到 VRRP 协商，页面告警变红，属于防火墙固有机制，不影响业务。

五、最终标准化优化配置（杜绝复现）

1. 开启 RBM 联动 VRRP：rbm switchover vrrp enable，交由 HA 统一管控 VRRP 角色；
2. 所有 VRRP 删除手动优先级，仅保留抢占延时 2s；
3. 开启配置自动备份、定期配置一致性校验；
4. 流量回切延迟保持 1 分钟即可；
5. 保证 RBM 心跳链路独立、稳定，不要和业务共用接口。

六、快速验证修复效果

1. 手动切换 RBM 主备；
2. 观察 VRRP 状态跟随 RBM 同步切换 Master/Backup；
3. 无论切主机还是备机，VIP 均可正常连通，故障解决。