rbm和vrrp主备切换问题

RBM（防火墙双机热备）切换后 VRRP 仍然 Backup 故障分析
现象截图：RBM 已经完成主备切换，这台设备运行状态变成【主用状态】，但是两个 VRRP 虚拟 IP 全部为 Backup 状态，虚拟网关不升为 Master，业务不通。
核心原理：
RBM 模式下，VRRP 不能自己做优先级抢占选举；VRRP 角色完全交给 RBM 控制。RBM 主备切换完成之后，RBM 下发指令修改本机 VRRP 状态。
⚠️关键点：不是 VRRP track 上行链路；上行链路故障，是 RBM 本身要通过 track/NQA 感知上行故障，触发 RBM 整机主备切换，再由 RBM 驱动 VRRP 角色变更，不是 VRRP 自己降优先级切换。
为什么会出现：RBM 切为主用，VRRP 还是 Backup
原因 1：接口虚拟 IP 没有勾选【关联 RBM 热备】（最高概率）
Web 界面：接口配置 IPv4 地址，虚拟 IP 后面没有勾选 “虚拟 IP 关联 RBM 热备”。
CLI 等价：vrrp vrid x hot‑backup enable 这条命令缺失。
没有开启hot‑backup enable，VRRP 完全脱离 RBM 管控，RBM 切换整机角色，不会去修改 VRRP 的 Master/Backup 状态，VRRP 依旧停留在 Backup，这就是现场现象。
官方约束：RBM 主备模式，VRRP 备份组必须配置hot‑backup enable，VRRP 本身不要再配置 track、不要配置 preempt‑mode 抢占，VRRP 选举交给 RBM 全权接管。
原因 2：RBM 没有配置 track 监控上行链路
用户场景：主设备上行链路故障，接口本身物理 UP，只是链路不通。
如果 RBM 视图没有关联 track/NQA 监控上行，RBM 不会触发主备切换。
你现在现象是 RBM 已经切过来，说明 RBM 已经触发切换；但如果 VRRP 没有绑定 hot‑backup，就算 RBM 切为主，VRRP 不会跟着变。
注意：track 要配在 RBM 视图下，不是配在 VRRP 接口视图。
plaintext
remote‑backup‑group
track 1
禁止：在接口下写vrrp vrid 1 track interface，RBM 环境 VRRP 不能自己 track 接口，会冲突。
原因 3：VRRP 配置了抢占模式 preempt‑mode
RBM 接管 VRRP 时，VRRP 备份组必须关闭抢占，不能配置vrrp vrid x preempt‑mode enable，抢占会干扰 RBM 对 VRRP 状态的控制。
原因 4：RBM 心跳通道异常（心跳报文丢包）
RBM 切换完成，但 CAPWAP 心跳同步报文异常，RBM 没有把 VRRP 状态指令下发。
检查：页面心跳状态绿色√，代表心跳正常；如果心跳闪断，RBM 角色切换成功，但是 VRRP 状态同步失败。
原因 5：配置自动同步关闭
截图可见：配置信息自动备份功能处于关闭状态。
主备配置不一致，VRRID、虚拟 IP、hot‑backup 配置两端不一致，会出现 RBM 切换，VRRP 状态异常。建议打开配置自动同步。
正确配置要点（CLI 参考）
shell
#1、RBM双机视图，关联track监控上行链路，上行故障触发RBM整机切换
remote-backup-group
track 1
configuration auto‑sync enable #开启配置自动同步
quit

#2、业务接口下VRRP，开启hot‑backup enable交给RBM管控，禁止vrrp track、禁止vrrp抢占
interface GigabitEthernet 1/0/0
ip address 192.168.2.253 255.255.255.0
vrrp vrid 1 virtual‑ip 192.168.2.254
vrrp vrid 1 hot‑backup enable #【关键】VRRP交给RBM控制
undo vrrp vrid 1 preempt‑mode #关闭VRRP抢占
#不要写 vrrp vrid 1 track xxx
quit

interface GigabitEthernet 1/0/2
ip address 10.0.0.253 255.255.0.0
vrrp vrid 2 virtual‑ip 10.0.0.254
vrrp vrid 2 hot‑backup enable
undo vrrp vrid 2 preempt‑mode
quit
Web 界面操作：编辑接口 IPv4 虚拟 IP，勾选 【关联 RBM 热备】，对应命令hot‑backup enable。
现场排查步骤
在切换后的这台防火墙（现在 RBM 主用）执行
plaintext
display vrrp brief
看输出每一条 VRRP 备份组，是否显示Hot‑backup: enabled。
如果显示 Hot‑backup: disabled，就是问题根源，没有绑定 RBM 热备。
确认 RBM 视图下已经关联 track 监控上行链路，实现上行链路故障触发 RBM 整机切换。
plaintext
display remote‑backup‑group status
display track all
⚠️注意：track 是挂在 RBM 组下面，不是挂在 VRRP 下面。RBM 感知链路故障，触发整机主备切换，再由 RBM 驱动 VRRP 升 Master。
检查 VRRP 备份组，确认没有配置 vrrp track、没有开启 vrrp 抢占。
开启 RBM 配置自动同步，保证主备两边 VRRP 配置完全一致。
查看日志：display logbuffer，看 RBM 切换日志、VRRP 状态变更日志。