防火墙随机SSH远程登录问题业务层面评估

防火墙 RBM 主备 + S125 旁挂，业务组网评估 + 带外 4A SSH 随机登录故障
一、业务组网评估（旁挂 S125，二层透传业务 VLAN，虚墙 VRRP‑VIP+OSPF 回注 S125）
拓扑简述：S125 核心二层透传业务 VLAN 到防火墙；业务网关部署在防火墙虚墙，使用 VRRP‑VIP；防火墙通过 OSPF 把业务网段路由回传给 S125。业务互联使用 30 位互联网段跑 VRRP。
业务层面风险点
业务 VLAN 二层透传至防火墙
S125 将业务 VLAN 二层透传给防火墙虚墙子接口，虚墙子接口参与 VRRP，网关为 VRRP‑VIP，该模式本身可以跑通业务。
注意：S125 上不能同时存在该业务 VLAN 三层接口，否则会产生网关冲突；
VRRP 组要限定在防火墙虚墙互联子接口，不要扩散到 S125；
RBM 主备切换时，VRRP 会跟随 RBM 状态联动切换，主设备抢占 VIP。
OSPF 回注业务网段给 S125
业务网关在防火墙，业务网段直连在虚墙，OSPF 引入直连把业务网段发布进 OSPF 传给 S125，该方式可行，但存在风险：
RBM 切换瞬间，OSPF 邻居震荡，S125 路由短暂抖动；
虚墙如果 shutdown，直连路由撤销，S125 会丢失业务网段；
互联 30 位掩码：防火墙与 S125 三层互联、跑 VRRP，30 位只有 2 个可用 IP，不支持 VRRP（VRRP 需要至少 3 个 IP：主实 IP、备实 IP、VIP）
❗严重错误：30 位掩码不能部署 VRRP。30 位网段仅 2 个可用主机位，只能放两个物理 IP，没有空余 IP 作为 VRRP‑VIP，配置 VRRP 直接报错 / 异常。互联网段至少使用 29 位掩码。
业务侧会不会出现 VRRP‑VIP / 网关不通？
正常 RBM 主备不故障：VRRP‑VIP 稳定在主墙，业务网关正常。
触发异常场景：
RBM 链路故障、心跳断开发生双主，主备墙同时争抢 VRRP‑VIP，会出现 VIP 随机不通、网关震荡；
S125 侧二层透传 VLAN 有环路、STP 抖动，虚墙 VRRP 报文被丢弃，VIP 异常。
二、带外管理 4A 堡垒机 SSH 随机登录故障（核心问题）
背景：MGMT 物理带外口，RBM不同步 MGMT 口配置，主备墙 MGMT 各自独立 IP；带外网段网关配置在业务虚墙 VRRP‑VIP 上；4A 堡垒机访问带外 IP，有时登主、有时登备，有时一台 / 两台都无法 SSH；带外禁 ping。
✅根本原因
物理 MGMT 带外口属于全局根防火墙（根上下文）；而带外网关写的是业务虚墙的 VRRP‑VIP。
主墙场景：带外主机（4A 堡垒机）访问主墙 MGMT 地址，回包网关走虚墙 VIP（主墙），同设备内转发，路由正常，可以正常 SSH 登录。
备墙场景：4A 访问备墙 MGMT 口 IP：
备墙 MGMT 收到 SSH 请求，回包要送到网关（虚墙的 VRRP‑VIP），但 RBM 备机上业务虚墙是 Standby 状态，VRRP‑VIP 不在备墙。
备墙根上下文 MGMT 回包，要跨 RBM 设备把回包转发到主墙虚墙 VIP，跨墙转发路径异常，TCP‑SSH 报文随机丢包；ping 报文同样随机丢，现象就是：随机能登录备墙、有时完全不通，表现为 4A 随机登录主 / 备、偶发无法访问。
关键点：物理 MGMT 带外口，网关绝对不能指向业务虚墙的 VRRP‑VIP。MGMT 属于根上下文，虚墙 VIP 只在主墙生效，备墙没有该 VIP，回包路由断裂。
现象对应
有时登录主墙：主墙回包路径正常，成功；
有时登录备墙：备墙回包需要跨 RBM 转发到主虚墙 VIP，路径不稳定，随机成功 / 失败；
偶尔一台或者两台登不上：跨墙转发、会话同步异常导致 TCP 握手丢包；
禁 ping：ICMP 同样受这条回路由影响，ping 随机不通。
排查步骤
确认 MGMT 带外口属于根上下文，查看主备 MGMT 配置
shell
display interface MGMT 0/0
display ip interface brief
确认：RBM 同步配置不会同步 MGMT 口 IP，主备 MGMT 是两套独立 IP。
查看备墙路由表：备机上查询带外网段的回包路由
shell
display ip routing-table
备机路由表中，下一跳指向虚墙 VRRP‑VIP，但是备机本身没有这个 VIP，没有本地 ARP，回包路由不可达。
RBM 心跳状态检查，防止双主
shell
display rbm status
display rbm peer
重点看 RBM 心跳链路是否稳定，不要出现双主；双主会同时影响业务 VRRP 和带外访问。
测试：在备墙本机 ping 带外网关（虚墙 VIP），备墙本身大概率 ping 不通该 VIP。
修复方案（两种可选，推荐方案 1）
方案 1【推荐】：带外单独三层网关，不要复用业务虚墙 VRRP‑VIP
带外网段独立，在 S125 配置三层 VLANIF 作为带外网关。防火墙 MGMT 口网关指向 S125 的带外网关，不再指向业务虚墙的 VIP。
MGMT 是全局根设备接口，网关交给上游交换机，不依赖虚墙业务组件，不受 RBM 主备切换影响，彻底消除跨墙回包问题。
方案 2：如果必须使用防火墙做带外网关，不能放在业务虚墙
把带外网关配置在根防火墙（全局），不要放在业务虚墙；根上下文配置独立 VRRP 组给带外，不与业务虚墙共用 VRRP。
禁止：MGMT 带外口网关指向子虚墙内的 VRRP‑VIP。
临时验证手段
修改备墙 MGMT 口静态路由，针对 4A 堡垒机网段写静态路由指向 S125，绕过虚墙网关，测试 SSH 是否恢复稳定。
shell
ip route‑static 4A堡垒机网段 掩码 S125带外互联IP
如果配置静态路由后，4A 访问备墙 MGMT 稳定，确认就是回包网关错误导致。
三、风险小结
业务互联不要使用 30 位掩码跑 VRRP，掩码至少 29 位；
业务网关放在虚墙 + OSPF 回注 S125 可以运行，重点监控 RBM 心跳，避免 RBM 双主造成业务 VRRP 双主震荡；
带外 MGMT 物理口网关严禁使用业务虚墙内部 VRRP‑VIP，这是本次 4A 堡垒机 SSH 随机登录故障根源，备墙回包跨 RBM 转发异常，TCP SSH 随机丢包，表现为随机登录成功 / 失败。