防火墙f1000 ak1160 镜像模式对接堆叠核心交换机

一、先理清拓扑角色

1. 防火墙两台 F1000-AK1160：RBM 镜像模式（一台主、一台备用，配置完全同步，故障自动切换）；
2. 下方核心交换机两台做 IRF 堆叠，逻辑是一台逻辑交换机。

二、为什么不能共用同一个聚合口对接主备防火墙

1. 防火墙 RBM 镜像模式机制

• 正常：主墙上联接入核心聚合口，流量通行；
• 主墙故障切换：备墙业务接口 UP，承接流量。

2. 共用同一个 Eth-trunk 聚合口的致命问题

1. 链路状态冲突、聚合组震荡
   同一个聚合组内，一根链路通（主墙）、一根链路长期 Down（备墙常态），IRF 核心的 Eth-trunk 会频繁校验成员链路状态，出现聚合抖动、丢包。
2. 防火墙切换时极易出现环路 / 断流
   主墙故障切换瞬间，备墙端口快速 UP，同一聚合组内两条链路同时 UP，防火墙上下行架构极易产生二层环路，触发核心 STP 阻塞端口，全网断网。
3. 故障隔离失效
   主防火墙发生端口短路、风暴故障时，故障流量会灌入整个聚合组，连带备墙链路一同受影响，防火墙冗余设计失去意义。
4. 镜像模式防火墙本身就要求主、备各自独立上行链路，厂商设计规范禁止共用上联聚合。

三、标准合规对接方案（IRF 核心 + 防火墙 RBM 镜像）

方案架构

• Eth-Trunk 1：对接 主防火墙 内网接口；
• Eth-Trunk 2：对接 备用防火墙 内网接口；
  两台防火墙的心跳链路单独互联，不经过核心。

端口布线（IRF 两台交换机）

1. 主防火墙内网分别接 IRF 交换机 A、交换机 B 各 1 个端口，加入 Eth-Trunk 1；
2. 备防火墙内网分别接 IRF 交换机 A、交换机 B 各 1 个端口，加入 Eth-Trunk 2；
3. 防火墙之间单独拉 2 条 RBM 心跳线，做配置同步与故障检测。

组网逻辑

1. 正常运行：只有主墙的 Trunk1 链路转发流量，Trunk2 成员端口因备墙端口 Down，不会参与转发；
2. 主墙故障 → RBM 切换，备墙内网端口 UP，Trunk2 激活承接流量；
3. 两组聚合互相独立，无环路、无聚合震荡，切换平稳。

四、补充两种可行变体

变体 1：如果现场端口紧张，不想做两组聚合

• IRF 任意两个端口接主防火墙内网；
• IRF 另外两个空闲端口接备防火墙内网；
  核心配置静态路由，去往互联网下一跳为主防火墙 IP，配合路由联动探测 NQA，主墙故障自动切换下一跳至备墙。

变体 2：如果是防火墙「负载模式 RBM」

五、额外优化建议（贴合你完整拓扑）

1. 防火墙主→主 ICG、防火墙备→备 ICG 一一对应串联；
2. ICG 两台 HA 也分别使用独立聚合上行至 IRF 核心，全程端到端冗余对应，避免单点故障。

六、总结

1. 镜像模式 RBM 防火墙：严禁共用核心同一个聚合口上联主备两台墙；
2. 最优：核心新建两组独立 Eth-Trunk，分别对接主防火墙、备防火墙；
3. 核心 IRF + 防火墙 RBM 整套冗余链路遵循「一一对应」原则，才能保证切换 0 丢包、无环路。