防火墙rbm双主不通

您好！您遇到的现象非常典型，诊断结论也完全准确。
在 RBM（双机热备）“双主”模式下，带源地址 6.6.6.6 ping 8.8.8.8 不通，根本原因就是防火墙的状态检测机制（Session State Machine）拦截了“来回路径不一致”的报文。
以下是详细的原理剖析和针对华三防火墙的优化配置方案：
一、 为什么“双主”模式会不通？（原理剖析）
在防火墙的“双主”（Dual-Active）模式中，两台防火墙同时处于活跃状态，各自独立处理业务流量。
出方向（请求报文）：带源地址 6.6.6.6 的 Ping 请求报文到达防火墙（假设是主墙 F1090_3），主墙生成一个新的 ICMP 会话表项，并将其封装进 GRE 隧道，发送给外网交换机 S6850_1，最终到达 8.8.8.8。
入方向（响应报文）：8.8.8.8 回复的 ICMP Echo Reply 报文，根据路由表的等价路由策略，有 50% 的概率会被发送到备墙（F1090_1）。
会话表不同步导致丢包：备墙 F1090_1 收到这个回复报文时，它本地的会话表中并没有关于这个 ICMP 请求的记录（因为请求是主墙处理的，虽然 RBM 可以同步会话，但在双主并发场景下，跨设备的非对称流量很难完美同步）。默认情况下，防火墙为了安全，会直接丢弃没有匹配到会话表的报文。
结论：您关闭一台防火墙后，流量强制走单一路径，自然就不会出现来回路径不一致的问题，所以就通了 。
二、 拓扑与配置层面的优化建议
除了在防火墙上开启特定功能外，您的网络架构本身也存在一些容易导致路径错乱的设计隐患：
核心交换机（S6850_4）的等价路由隐患：
您在 S6850_4 上配置了对 8.8.8.8 的两条等价静态路由，分别指向两台防火墙。这意味着，去程流量虽然可能固定走某一台防火墙，但回程流量（从 8.8.8.8 回来）有 50% 的概率走另一台。
建议：如果业务流量不需要在防火墙上做负载分担，强烈建议去掉其中一条等价路由，强制回程流量走同一台防火墙，从根本上消除非对称路由 。
GRE 隧道的源地址配置：
请检查两台防火墙的 GRE 隧道配置。通常情况下，GRE 隧道的源地址应该使用 VRRP 虚拟 IP（如 1.1.1.1 和 2.2.2.1），而不是直接使用物理接口 IP（如 GE_0/0 的真实 IP）。使用物理 IP 在多路径环境下更容易导致路由混乱。
三、 华三防火墙“双主”非对称路径修复配置
如果您的网络架构必须保持双主双活且存在多路径，请在两台防火墙的系统视图下，依次添加以下关键配置来放行非对称流量：
1. 开启非对称路径支持（核心开关）
这是解决双主模式下非对称流量最核心的命令。它会允许防火墙在会话表不匹配的情况下，尝试根据报文的其他特征（如 NAT 映射）来放行跨设备的非对称流量 。
bash
hrp asymmetric enable
2. 开启会话快速备份
开启此功能后，防火墙会在 TCP 首包（SYN 报文）建立会话的瞬间，立即将会话信息同步给对端设备。这可以极大地降低因为同步延迟导致的丢包概率 。
bash
hrp mirror session enable
3. 确保基础的热备同步已开启
请确保您的 RBM 基础配置中已经包含了会话和配置的同步（通常在 remote-backup group 视图下） 。
bash
remote-backup group
backup-mode dual-active
hot-backup enable
session sync enable
configuration sync enable
quit
4. （可选）配置 ASP 增强功能
如果您的防火墙软件版本较新，建议开启 ASP（Application Specific Packet Filter）功能，它能进一步优化非对称路径下的会话匹配和处理 。
bash
session asp
⚠️ 实施建议与安全提示
配置前备份：在进行任何 HA（双机热备）相关配置变更前，请务必使用 save 命令保存当前配置，并导出配置文件备份。
维护窗口操作：修改 RBM 配置（尤其是开启 hrp asymmetric enable）可能会导致短暂的会话中断或丢包，建议在业务低峰期或维护窗口内执行。
安全权衡：开启非对称路径支持在一定程度上会降低防火墙的状态检测严格性。请确保您的网络边界没有其他复杂的 IPS/IDS 深度检测需求，或者在实施后重新进行安全扫描验证 。

你描述的“关闭一台防火墙接口才能通”现象，根源在于流量“非对称”：请求从防火墙A出去，但应答却从防火墙B回来。防火墙作为有状态设备，会因找不到匹配的会话而丢弃报文。

🔍 为什么会“非对称”？

在RBM双主+VRRP的组网中，两台防火墙都“活跃”，但VRRP是“一主一备”的。

• 流量走向：去程流量可能因哈希等原因，被送到VRRP的备墙（防火墙B）。

• 设备状态：防火墙B作为VRRP备，处理去程报文时会创建会话。

• 回程问题：回程流量到达网关后，根据路由可能被送到VRRP的主墙（防火墙A）。防火墙A的会话表里没有这条流的信息，因此会丢弃报文。

• 结果：你关掉一台设备后，流量路径变得对称，问题暂时消失。

🛠️ 解决方案

解决的核心是确保“来回路径一致”。按以下顺序尝试，通常能解决问题。

方案一：启用 ip last-hop hold（首选方案）

此功能强制回程流量严格遵循来时的路径返回，是解决此类问题的首选。

1. 登录两台防火墙，进入系统视图。

2. 进入连接外网的接口（如 GigabitEthernet1/0/1）。

3. 执行命令：

   text

   ip last-hop hold

4. 在连接内网的接口上重复此操作。

方案二：调整会话状态机模式（备选方案）

如果方案一无果，可尝试调整防火墙的会话检查机制。

• 在主备组网中，使用 session state-machine mode loose（宽松模式）。

• 在双主组网中，使用 session state-machine mode compact（简化模式）。

注意：此方案会降低安全检测强度，请评估风险后谨慎使用。

✅ 验证与进一步排查

配置后，按以下步骤验证：

1. 检查会话同步：确保RBM双主模式下会话正常同步。

   text

   display remote-backup-group status

2. 查看会话表项：检查特定流的会话表。

   text

   display session table ipv4 source-ip x.x.x.x destination-ip y.y.y.y verbose

3. 检查路由：确保路由配置合理，避免去程和回程指向不同设备。

4. 检查配置一致性：确保两台防火墙的RBM配置、接口IP、路由和安全策略完全一致