防火墙出口链路为光猫拨号或者pppoe的情况下，rbm+vrrp组网问题

拨号不支持，只能使用固定ip地址，设备各配置不同的ip地址，使用一个虚拟ip

1. 核心结论

• PPPoE拨号场景：VRRP的虚拟IP（VIP）无法直接配置为拨号获取的动态地址。
• 光猫DHCP场景：VRRP同样无法将动态获取的IP作为虚拟地址，且VRRP协议要求实地址和虚地址必须在同一网段，动态IP无法满足这一要求。

2. 关于“防火墙配置静态IP去适配DHCP”的可行性

3. 推荐的替代解决方案

方案一：前置路由器拨号（强烈推荐）

• 由前置路由器负责PPPoE拨号或接收光猫的DHCP地址。
• 路由器与两台防火墙之间使用固定的私网IP进行互联（例如使用 /30 掩码的私网地址段）。
• 防火墙与路由器之间采用标准的 RBM + VRRP 组网，VRRP的虚拟IP配置为私网互联IP即可。这是最稳定、最标准的做法。

方案二：采用 IRF 堆叠模式

• 在IRF模式下，两台物理防火墙在逻辑上虚拟成一台设备。
• 拨号接口或DHCP接口可以直接配置在IRF逻辑系统上，由堆叠系统统一管理，从而完美避开VRRP对固定IP的依赖问题。

不支持 

设备：F1000‑AK1160 R9660P59，RBM+VRRP 仅对内网侧生效，外网口不能做 VRRP 虚拟 IP。

1. 光猫 DHCP 获取外网 IP

• 可以用 RBM+VRRP，内网切换正常；
• 两台防火墙外网分别 DHCP 拿 IP，切换后公网 IP 会变；
• ❌不建议防火墙写静态 IP 去匹配光猫 DHCP，租期 / 光猫重启会直接断网。
• NAT 会话无法热备，原有连接断开；对外业务不适用，只适合普通上网。

2. 防火墙 PPPoE 拨号出口

• 内网 RBM+VRRP 正常；只有主设备拨号，备机不拨号；
• 主故障切换，备机重新拨号，公网 IP 改变，有短暂断网；
• NAT 会话不能热备。

3. 核心限制

外网是 DHCP/PPPoE 动态地址：切换公网 IP 会变、NAT 会话不能热备，不适合需要固定公网 IP 的对外业务。

4. 优化建议

• 对外业务：建议申请固定公网 IP；
• 若要切换公网 IP 不变：光猫做路由 NAT，防火墙外网配置静态内网地址。

5. 配置关键点

• 外网口不要配置 VRRP；
• PPPoE 只在主设备配置拨号；
• 开启ha vrrp enable实现 RBM 联动内网 VRRP。