F5000RBM组网往返路由引流问题

您好，参考

1. F5000：RBM 主备，4 个三层子接口，每个子接口配置实 IP+VRRP，备机接口由 RBM 置为 Down。
2. 引流核心：入接口 inbound 方向 PBR 打标记，强制会话回程走对应的回包子接口，实现入哪个 S6850，就从哪个 S6850 返回，不能单纯依靠动态路由。
3. S6850 分别配置指向对应 VRRP 的进出向静态 / OSPF 路由，两台交换机之间不互引业务回程路由。

针对你的F5000 RBM+VRRP主备组网和“出入引流”需求，核心思路是通过在三层聚合子接口上配置VRRP，并让RBM来统一管理这些VRRP组，以实现流量的主备切换和引流。

简单来说，就是让所有VRRP组的“主”状态都集中在同一台防火墙上，流量自然就会通过这台主设备转发，从而实现“从哪进，从哪出”的引流效果。

1. 基础环境与VRRP配置规范

首先，需要完成基础配置并遵循一些规范。

• IP地址规划与配置：所有三层接口（物理口、聚合口、子接口）都需要配置IP地址。对于VRRP，需要明确接口真实IP和虚拟IP（VIP）。根据你提供的信息，配置示例如下：

• F5000-1 (主设备)

  bash

  # 上联S6850-1的聚合口及VRRP interface Route-Aggregation1.1 ip address 192.168.1.10 255.255.255.248 vrrp vrid 1 virtual-ip 192.168.1.9 active interface Route-Aggregation1.2 ip address 192.168.1.18 255.255.255.248 vrrp vrid 2 virtual-ip 192.168.1.17 active # 上联S6850-2的聚合口及VRRP interface Route-Aggregation2.1 ip address 192.168.2.138 255.255.255.248 vrrp vrid 3 virtual-ip 192.168.2.137 active interface Route-Aggregation2.2 ip address 192.168.2.146 255.255.255.248 vrrp vrid 4 virtual-ip 192.168.2.145 active

• F5000-2 (备设备)

  bash

  # 注意：接口真实IP与主设备不同，但VRRP虚拟IP完全相同 interface Route-Aggregation1.1 ip address 192.168.1.11 255.255.255.248 vrrp vrid 1 virtual-ip 192.168.1.9 # ... 其他子接口配置类似，IP地址与主设备不同，VRRP VIP保持一致

注意：

• vrrp vrid 1 virtual-ip ... active 命令中的 active 参数，表示该设备在此VRRP组中初始为主用（Master） 状态。

• 备用设备上不要配置 active 参数。

• VRRP虚地址和实地址可以在不同网段。

2. 核心配置：RBM与VRRP联动

这是实现高可用的关键。RBM会接管VRRP的主备状态，实现统一的故障切换。

• 在F5000-1 (主设备) 上配置RBM：

  bash

  # 1. 配置Track项，用于监控上行链路 track 1 interface Route-Aggregation1.1 physical track 2 interface Route-Aggregation1.2 physical track 3 interface Route-Aggregation2.1 physical track 4 interface Route-Aggregation2.2 physical # 2. 进入RBM配置视图 remote-backup group # 3. 指定对端（F5000-2）的IP地址 remote-ip 192.168.254.2 # 假设这是RBM心跳接口的对端IP # 4. 指定本端IP地址 local-ip 192.168.254.1 # 假设这是RBM心跳接口的本端IP # 5. 配置数据通道接口（用于备份会话表等） >1023 # 6. 关联Track项，实现链路联动 track 1 track 2 track 3 track 4 # 7. 设置本设备角色为主设备 device-role primary # 8. 开启热备份功能 hot-backup enable configuration auto-sync enable

• 在F5000-2 (备设备) 上配置RBM：

  bash

  remote-backup group remote-ip 192.168.254.1 # 对端（F5000-1）的IP local-ip 192.168.254.2 # 本端IP >1023 # 关联相同的Track项 track 1 track 2 track 3 track 4 device-role secondary # 设置为备设备 hot-backup enable configuration auto-sync enable

  关键点：配置RBM后，VRRP的主备状态将由RBM统一控制。正常情况下，所有VRRP组的Master都会是F5000-1。

3. 路由引流配置方案

完成上述配置后，需要将业务流量引导至防火墙。

方案一：使用静态路由（配置简单，适合中小型网络）

在S6850-1和S6850-2上，将去往内网的流量下一跳指向F5000上的VRRP虚拟IP。

• 在S6850-1上配置：

  bash

  # 去往内网的默认路由，下一跳指向防火墙的VRRP VIP ip route-static 0.0.0.0 0 192.168.1.9

• 在S6850-2上配置：

  bash

  ip route-static 0.0.0.0 0 192.168.2.137

这样，流量就会被引导至当前VRRP的Master设备（即主防火墙）。

方案二：使用OSPF动态路由（更灵活，适合大型网络）

在防火墙上运行OSPF，并将VRRP虚拟IP所在的网段发布给S6850。

• 在F5000-1和F5000-2上配置OSPF：

  bash

  ospf 1 router-id 1.1.1.1 # 两台设备的Router-ID必须不同 area 0.0.0.0 network 192.168.1.8 0.0.0.7 network 192.168.1.16 0.0.0.7 network 192.168.2.136 0.0.0.7 network 192.168.2.144 0.0.0.7

• 在S6850-1和S6850-2上配置OSPF，并在与防火墙互联的接口下开启OSPF。

关键点：通过调整OSPF的Cost值，可以控制S6850优选哪条路径。例如，可以设置主用路径的Cost为10，备用路径的Cost为100。

4. 注意事项与验证

• 数据通道：RBM心跳和数据通道不能与业务口共用，建议使用独立接口或聚合口。

• 配置同步：开启configuration auto-sync enable后，在主设备上的大部分配置会自动同步到备设备。但接口IP地址等差异化配置仍需手动在备设备上配置。

• NAT地址池：如果使用NAT，NAT地址池不能包含接口的真实IP地址。

• Track联动：必须配置Track并关联到RBM，以实现链路故障时的快速切换。

• 抢占模式：建议开启VRRP的抢占模式（preempt-mode），以便主设备恢复后能自动夺回主角色。

验证命令：

• display remote-backup-group status：查看RBM状态。

• display vrrp brief：查看VRRP状态，确认所有VRRP组的Master是否都在主防火墙上。

• display ip routing-table：查看路由表，确认路由指向正确。