F1000-AI系列防火墙HA主备坑点

1. HA主备后不能使用easy ip源地址转换方式（因为会导致备机回包）

RBM吗，不会的啊

2. HA联动VRRP，上下层是二层聚合口，然后vlanif当三层口的话，不能配置使用监控口。

手册都有相关说明

3. HA联通VRRP，NAT后地址是vrrp网段的必须绑定vrrp备份组，不让你就会在交换机看到2个防火墙的mac地址。

手册都有相关说明

4. HA联通VRRP公网IP要至少3个？？？？，比如.1和.2作为vlanif接口ip，然后.3是vrrp虚拟ip才行。我也是服气。

不需要。可以用私网地址的

1. HA主备后不能使用Easy IP源地址转换
您的理解是正确的。因为在HA主备场景下，如果直接使用接口IP（即Easy IP方式）做NAT，当主设备故障切换到备设备后，备设备会以自身的接口IP作为转换后的源地址。此时，上行交换机/路由器上缓存的ARP表项还是指向原主设备的MAC地址，就可能导致回程流量被错误地送到已经失效的原主设备上，从而造成业务中断。这种模式下无法通过VRRP虚拟MAC来保证ARP表项的正确性。

2. HA联动VRRP，且上下层为二层聚合口+VLANIF时，不能配置监控接口
这个限制主要源于VLANIF接口的特性。在二层聚合口上创建的VLANIF接口，其物理链路状态由聚合组内所有成员接口共同决定。在这种组网下，如果配置了针对单个物理口的监控，可能会导致HA状态误判。例如，监控的物理口down了，但聚合组整体仍处于up状态（因为还有其他成员口），这会造成HA误切换或脑裂风险。官方建议在这种桥接场景下，应依靠VRRP本身的状态或上层交换机的联动机制来检测故障，而不是依赖防火墙接口的物理状态。

3. HA联动VRRP，NAT转换后地址与VRRP同网段必须绑定VRRP备份组
这是确保ARP应答一致性的关键配置。根据 H3C SecPath F5000-AI160防火墙配置指导中的“功能简介”所述：当HA组网中VRRP的虚拟IP与NAT转换后的IP处于同一网段时，如果不做绑定，两台设备都可能回应ARP请求。执行绑定操作后，只有Master设备会使用VRRP备份组的虚拟MAC来回应ARP，从而保证上行三层设备（如交换机）的ARP表项唯一且正确，避免流量黑洞或负载不均。这正是您在第3点中提到的“不绑定会在交换机看到2个防火墙MAC地址”问题的官方解释和解决方案。

4.虚拟地址用公网，实际地址用私网就行

1. 为什么HA主备模式下不能用 Easy-IP？

• 底层原理：Easy-IP 是直接拿防火墙出接口的物理 IP 作为 NAT 转换后的公网 IP。在主备模式下，如果主设备故障，外部用户发往该公网 IP 的回程报文到达上行交换机时，由于 ARP 表中依然指向原主设备的 MAC 地址，回包会被直接丢弃，备设备根本收不到回包，导致业务中断。
• 正确做法：HA 场景下必须使用 NAT 地址池（NAPT）。主备设备需配置相同的 NAT 地址池，且地址池中的 IP 不能是防火墙本身的接口 IP。这样当主设备故障时，备设备接管流量后，依然有能力处理这些公网 IP 的回包。

2. 关于“VLANIF 三层口不能配置监控口”

• 底层原理：当上下行是二层聚合口（Eth-Trunk），上层通过 VLANIF 接口做三层路由时，防火墙的 HA 状态实际上是通过 VGMP（VRRP Group Management Protocol）来统一管理的。此时，HA 的故障切换触发器应该绑定在 VGMP 组上（例如 hrp track vlan 或 hrp track interface），而不是直接去监控 VLANIF 接口本身。直接监控 VLANIF 可能会导致状态机判断逻辑冲突。

3. NAT 地址池必须绑定 VRRP 备份组（解决 ARP 冲突）

• 底层原理：这是双机热备结合 NAT 时最经典的坑。如果不绑定，当外部路由器请求 NAT 地址池中某个公网 IP 的 MAC 地址时，主备两台防火墙都会响应 ARP，导致交换机学习到两个 MAC 地址，引发严重的流量路径异常（时而走主，时而走备，甚至丢包）。
• 正确做法：必须将 NAT 地址池与 VRRP 备份组进行绑定（例如防火墙A的地址池绑定 VRRP 组3，防火墙B绑定 VRRP 组4）。绑定后，只有处于 Master 状态的防火墙才会响应这些公网 IP 的 ARP 请求，且使用的是 VRRP 虚拟 MAC 地址，从而确保返程流量路径绝对一致。

4. 为什么公网 IP 至少要 3 个？

• 底层原理：这是 VRRP 协议的硬性规范。VRRP 的虚拟 IP（VIP）绝对不能与参与 VRRP 备份组的设备物理接口 IP 相同。
• 正确做法：因此，在同一个网段内，您必须规划：防火墙A物理IP（如 .1） + 防火墙B物理IP（如 .2） + VRRP虚拟IP（如 .3）。这三者必须互不相同，且处于同一子网。

 补充：Web 手册没写清的“隐藏坑点”

• 必须直连：两台防火墙的 HA 接口必须用网线/光纤直接相连，中间绝对不能经过任何交换机。
• 强烈建议做聚合：单根心跳线存在单点故障风险。标准最佳实践是使用 2 个（或 4 个）万兆光口做 Eth-Trunk 聚合，然后将这个聚合口指定为 HA 链路。这不仅能提供带宽冗余，还能极大缩短海量会话表项的同步时间。

• 如果您配置了双上行链路（两个独立的 VRRP 组），当其中一条链路 Down 掉时，如果不配置全局 Track，RBM 可能不会触发整机主备切换，导致流量“去程走主墙，回程走备墙”的非对称路径，最终引发 TCP 会话断开。
• 避坑指南：在 RBM 联动 VRRP 时，必须配置 track 分别监控两条业务接口，并在 RBM 视图中关联这些 Track，确保“任意一条链路异常即触发整机切换”。同时，千万不要在 VRRP 接口上再手工配置 priority 或 track interface，这会被 RBM 的 Active/Standby 模式覆盖并导致切换逻辑紊乱。

• 主备设备的型号必须完全一致。
• 软件版本必须完全一致（包括次要版本号和补丁号，如 R8860P12 必须对应 R8860P12）。版本差异是导致 HA 配置无法同步、会话表项丢失的最常见元凶。

• HA 默认会自动同步配置和会话表，但静态路由默认不同步。如果主备设备的出接口不同，需要在 CLI 下手动开启静态路由同步（hrp auto-sync config static-route）。
• 如果开启了 DPI（深度包检测）等应用安全功能，且处于非对称路径组网中，必须在应用安全的高级配置中开启“支持双机热备”功能，否则切换后可能出现报文无法识别的问题。

坑 1：RBM‑VRRP 主备不要使用 easy‑ip（接口 NAT）

现象：配置 easy‑ip（直接复用出接口物理 IP 做源 NAT），故障切换后备机产生回包异常，偶发业务不通。

• 根因：easy‑ip 复用接口物理 IP，该 IP 两台防火墙都存在；RBM 切换后 ARP、NAT 表项不同步，备机也会应答 ARP，出现回包乱走。 ✅正确做法：

1. 外网接口配置 VRRP 备份组，NAT 地址池必须绑定 VRRP 备份组，不要用 easy‑ip；

NAT 地址池、NAT server、静态 NAT，只要属于 VRRP 网段，全部必须绑定 vrrp‑vrid，否则会出现两台防火墙同时发送 ARP，交换机学习到两个不同 MAC，网络异常H3C。

坑 2：上下行是二层 Eth‑Trunk 聚合，三层 Vlanif 做业务口，RBM 不能直接track interface监控 Vlanif

现象：Web 页面想把 Vlanif 加入 RBM 接口监控，配置报错不生效。

• 根因：RBM 的track interface不支持监控 Vlanif 三层子接口，也不支持直接监控聚合组成员口；聚合口 down/up 无法直接被 RBM 接口监控识别H3C。 ✅解决方案二选一：

1. 使用track vlan X监控 VLAN（RBM 视图下track vlan 10），看 VLAN 内二层端口是否全部 down，触发 RBM 主备倒换；
2. 配置 NQA 探测外网网关，RBM track nqa 实例，用三层连通性判断是否倒换，推荐 NQA 方式，更贴近真实业务故障。

❗注意：不能 track 聚合成员物理接口，成员口单条断开聚合还 up，RBM 不会感知故障。

坑 3：NAT 地址 / 服务器映射属于 VRRP 网段，不绑定 VRRP 备份组，交换机学习到两个防火墙 MAC

现象：主备都对外应答 ARP，交换机 MAC 地址表一会学主墙 MAC、一会学备墙 MAC，业务随机丢包，Web 界面不会告警。

• 原理：没有绑定 VRRP 备份组时，备机也会使用自己物理 MAC 应答该网段 ARP，违背 RBM 主备 “只有主墙应答 ARP” 逻辑H3C。 ✅处理：
• 动态 NAT 地址池：nat address‑group xxx vrrp‑vrid X
• NAT server 内部服务器：nat server protocol tcp global vrrp‑vrid X 公网IP 80 inside 192.168.1.10 80

只要 NAT 用到的 IP 是 VRRP 网段，全部要带上 vrrp‑vrid 绑定，这是 RBM+VRRP 最容易漏配点。

坑 4：传统 RBM+VRRP 模式每个网段消耗 3 个 IP（物理 A、物理 B、VRRP 虚拟 IP）

现象：运营商给的公网网段 IP 紧张，每个业务 VLAN 都要占用 3 个 IP：

• FW‑A Vlanif：.1
• FW‑B Vlanif：.2
• VRRP 虚拟 IP：.3作为网关。

✅两种方案：

1. 传统 VRRP‑RBM（消耗 3IP）：适合运营商分配充足 IP，标准方案；
2. RBM 联动虚拟浮动 IP（推荐省 IP）：两台防火墙 Vlanif不配置物理实 IP，只配置同一个 virtual‑ip，RBM 统一控制只有主设备应答 ARP，一个网段只占用 1 个 IP，不再需要两个物理接口 IP，大幅节省公网 IP 资源，新版本 F1000‑AI 支持该模式H3C。

注意：RBM 联动虚拟 IP 模式，不能再配置 VRRP 备份组，接口直接配置ip x.x.x.x 24 virtual‑ip。

补充其他高频现场坑

1. RBM 控制通道、数据同步通道，建议独立物理接口，不要复用业务 Vlanif；
2. RBM+VRRP 联动之后，VRRP 的 priority 优先级失效，主备角色完全由 RBM 决定，不再由 VRRP 优先级选举；RBM 控制通道断开，VRRP 才恢复自己的选举机制H3C；
3. Web 管理界面很多 RBM‑VRRP 深层约束没有提示，重要配置必须核对 CLI，不要完全依赖 Web 可视化；
4. 做倒换测试之后，务必查看：display rbm status、display vrrp brief确认主备角色统一，防止出现 “RBM 主，VRRP 备” 角色不一致的分裂场景。

排查命令