旧网络架构优化

事业单位旧网络架构改造问题复盘
现状：C3925 边界路由器，两台 F1050 防火墙，S7503E 核心，ACG1000‑M，两台 S5800 汇聚，20 余台 S5130S 接入；两条专线 200M、100M；原有有线办公、游客 WiFi 物理隔离，门户网站服务器，便携式家用 WiFi 路由器，有安全攻击通报，无新增设备经费。
一、你的整体方案可行性分析
规划：C3925 路由器，新增一台二层交换机下联两台 F1050；F1050 做 VRRP 负载分担；有线、无线网分别走不同专线出口；防火墙透传下联 ACG1000‑M（桥接透传），再下联 S7503E 核心；VLAN 网关全部部署在 S7503E 核心；S5800 做汇聚，S5130S 接入做接入安全。
大体思路方向可行，但是有几处重大风险点，不能直接照搬执行：
❗F1050 不要直接裸用 VRRP 做负载分担，H3C 防火墙双机优先使用RBM（HRP+VGMP）双机热备，而不是单纯手工配置多组 VRRP 实现负载分担。
单纯配置 VRRP，没有 VGMP 管控，会出现上行 VRRP 主、下行 VRRP 备，上下行状态不一致；切换之后会话不同步，业务大量断流；负载分担场景 F1050 支持 RBM 负载分担模式，自带会话表、策略同步，比手工 VRRP 可靠得多。
❗C3925 只有 3 个物理口，增加一台交换机下联两台 F1050，这台新增交换机属于外网域，要做好安全，不能随便用普通内网交换机。
❗ACG1000‑M 透传（桥接模式）：桥接模式可以透传二层流量，但OSPF 三层路由协议不能直接透传过 ACG 桥接接口；桥接模式下 ACG 不参与三层路由，边界路由器、防火墙、核心之间跑 OSPF 会受限。
❗现有网络存在便携式家用 WiFi 路由器，这是重大安全隐患，改造第一要务要全网清理私接小路由器，否则会产生网关冲突、DHCP 欺骗，也是被通报攻击的来源之一。
回答你的提问：F1050 可以先单台把业务调通，再接入第二台防火墙组建双机 RBM，这是推荐的割接实施步骤，减少一次性改动风险。
二、OSPF 能不能在边界路由器、防火墙、核心上面运行？
如果 ACG1000‑M 使用桥接透传模式：ACG 是二层桥，不能跑 OSPF 进程。
方案 A（推荐）：把 ACG1000‑M 改成路由模式，ACG 也参与 OSPF；防火墙、C3925、ACG、S7503E 全部运行 OSPF Area 0。
方案 B 继续用 ACG 桥接模式：OSPF 邻居只能建立在防火墙与 S7503E 之间，ACG 只透传二层报文，OSPF 报文无法跨 ACG 桥接做邻居，路由规划会受限。
注意：F1050 防火墙 OSPF 需要在安全策略放行 OSPF 协议（协议号 89，组播 224.0.0.5/6），否则邻居起不来。
C3925（Cisco）与 H3C 设备跑 OSPF，保证 Hello 时间、区域、Router‑ID、DR‑优先级匹配，思科默认 Hello 10s，H3C 默认也是 10s，参数对齐即可建立邻居。
小结：OSPF 可以跑，但是受 ACG 部署模式约束，桥接模式 ACG 不能参与 OSPF。
三、实施重点注意事项（事业单位，割接尽量减少业务中断）
1、防火墙双机实施（重点）
1）实施步骤：先上线单台 F1050，完成所有安全策略、NAT、专线出口策略路由，有线、无线业务全部调通，业务验证没问题；再接入第二台 F1050，配置RBM 负载分担模式（HRP 心跳 + VGMP），配置心跳线，完成配置、会话同步，再切换双机运行，这个流程是可行的，降低割接风险。
不要直接两台防火墙一起上电配置，一旦配置错误业务直接全断。
2）两台 F1050：硬件型号、软件大版本必须完全一致，版本不一致 RBM 同步会异常，切换故障。
3）RBM 必须单独接心跳线，不要复用业务网线；心跳用于同步配置、会话表、VGMP 协议报文。
4）有线网、游客无线网分别走两条专线：在防火墙上用策略路由 PBR，基于源网段区分，办公网段走 200M 专线，游客 WiFi 网段走 100M 专线。
2、C3925 + 外网接入交换机风险
C3925 下联一台交换机再接两台 F1050，这台交换机处于外网边界：
交换机只做二层透传，不要配置多余业务；关闭未使用端口，防止外网扫描攻击渗透；
C3925 两条专线，两个公网 IP，在 C3925 上做好基础 ACL 过滤，拒绝外网非法扫描报文。
3、ACG1000‑M 部署选择（二选一）
方案①路由模式（更适合你的 OSPF 规划，优先）：防火墙三层对接 ACG，ACG 三层对接 S7503E；ACG 参与 OSPF，完整支持行为审计、流控；所有设备都可以运行 OSPF。
方案②桥接透传模式：ACG 仅二层透传，ACG 不能参与 OSPF 进程，防火墙和核心交换机直接建立 OSPF 邻居；缺点：排障调试不如路由模式方便。
桥接模式下，防火墙、核心之间 OSPF 报文需要 ACG 桥组放通协议。
4、内网部分：S7503E 核心，网关全部在核心
1）所有 VLAN 的 Vlan‑if 网关部署 S7503E 符合最佳实践；
2）S5800 汇聚‑S5130S 接入：接入层开启接入安全：port‑security、stp、dhcp‑snooping、arp‑detection，限制私接设备，重点清理现场便携式家用 WiFi 路由器，私接路由器会造成 DHCP 欺骗、网关冲突，也是安全通报风险源。
3）门户网站服务器网段，单独划分 DMZ VLAN，在防火墙上做严格访问控制，外网只放通必要服务端口，内网访问服务器也要受控，减少被攻击通报风险。
5、割接风险（新手重点）
1）割接前：所有设备完整备份配置，C3925、两台 F1050、S7503E、ACG、汇聚接入全部备份；做好回退方案，一旦改造故障可以快速切回旧网络。
2）优先业务窗口，夜间割接；先单台设备调通，再做冗余双机，不要一次性全部上双机。
3）双机防火墙做完配置之后，必须模拟故障拔线，验证主备 / 负载分担切换，确认业务不中断再正式交付。
四、配置难点总结
跨厂商 OSPF 邻居：Cisco C3925 与 H3C 设备 OSPF 参数对齐；防火墙安全策略放行 OSPF 协议，OSPF 邻居起不来是高频坑点。
F1050 RBM 负载分担：HRP 心跳、VGMP、会话同步，上下行接口 VRRP 组统一管控；不要只用裸 VRRP，会出现切换来回路径不一致，会话丢失业务断流。
双出口策略路由 PBR：办公网段、游客 WiFi 网段分别选择不同专线出口，注意策略路由与 OSPF 静态路由优先级关系，避免选路混乱。
ACG1000‑M 模式选择：桥接模式与路由模式对 OSPF 的影响；桥接模式下协议透传限制。
内网接入安全：dhcp‑snooping、arp‑detection，清理私接家用路由器，解决内网安全隐患（对应被通报攻击问题）。
DMZ 门户网站服务器区域安全策略，最小权限开放端口，减少外部攻击面。

可以啊，防火墙和ACG用透明就行，管理的话配置一个带外地址。整体架构没有问题