Addc可以纳管不支持虚墙的h3c防火墙吗

可以参考下面这个案例

https://zhiliao.h3c.com/Theme/details/34760

ADDC可以纳管不支持虚墙的H3C防火墙，但功能会受限，无法实现完整的自动化安全纳管，需要采用弱控模式或作为第三方防火墙纳管。

 为什么虚墙是ADDC安全纳管的核心？

ADDC的安全纳管方案，默认是围绕虚墙（Context/vSystem） 来设计的。

在标准的安全纳管场景中，VCFC控制器会为每个VPC或租户在物理防火墙上创建一个独立的虚墙实例，实现安全资源的自动化部署和隔离。如果不支持虚墙，这套自动化的核心机制就无法运行。

 不支持虚墙时的两种纳管方案

方案一：弱控模式（推荐）

如果你的防火墙不支持虚墙，弱控安全纳管方案是更匹配的选择。

• 工作原理：在弱控模式下，控制器不会在防火墙上动态创建虚墙。取而代之的是，你需要在防火墙的根系统（非虚墙环境） 上手动完成安全策略、接口等配置。

• ADDC的角色：此时ADDC主要负责网络层面的自动化，例如在网关组勾选“外网流量上防火墙”后，控制器会在Border设备上自动下发静态路由并引入BGP，引导流量到防火墙。

• 适用场景：适合防火墙数量少、安全策略变更不频繁的场景。你需要在ADDC的全局配置中，确保“边界设备对接第三方防火墙”选项处于关闭状态，避免控制器尝试进行它无法完成的自动化操作。

方案二：作为第三方防火墙纳管

你也可以将H3C防火墙作为第三方防火墙（L4-7设备）添加到ADDC中。

• 纳管方式：在控制器的“资源 > 设备管理”中，选择“第三方防火墙”进行添加，并填入防火墙的管理IP、SSH用户名和密码。

• 关键前提：这种纳管方式通常需要导入特定厂商的Runbook流程包和动作包，才能让控制器理解并操作该防火墙。H3C防火墙可能需要联系H3C技术支持获取对应的适配包。

• 功能限制：通过此方式纳管后，防火墙在ADDC中的状态通常为Active，但你可能无法在ADDC中创建基于该防火墙的L4-L7物理资源池，这意味着它无法参与服务链（Service Chain）的自动化编排。

 需要注意的限制

无论采用哪种方案，都需要接受以下功能限制：

• 无法自动创建虚墙：这是最核心的限制，所有与虚墙相关的自动化功能均不可用。

• 服务链编排受限：防火墙可能无法作为服务节点被自动编排到服务链中。

• 策略下发可能失效：在云平台上配置的安全策略，可能无法自动下发到这台防火墙设备上，需要手动配置。

关键点：ADDC 安全纳管防火墙分两种模式

1. 虚墙模式（CGSR）：防火墙必须支持context多虚拟墙特性（如 M9000 框式），控制器创建虚墙、接口分配给虚墙，控制器完整下发全部安全配置；盒式低端防火墙 F1010/F1020/F1030 等很多型号不支持 context 虚墙，不能用该模式H3C。
2. 独立物理防火墙（服务链模式，物理 FW）：针对不支持 context 虚墙的物理盒式防火墙，不创建虚墙，直接纳管整机物理防火墙，用于服务链流量牵引，这就是该类设备的纳管方案。

⚠️重要限制：服务链模式的物理防火墙，ADDC 控制器不能向防火墙自动下发安全策略 / 对象 / 域间策略。 安全策略、NAT、对象组需要手工登录防火墙 CLI/Web 去配置；ADDC 只做两件事：①纳管设备做基础监控；②VxLAN 流量牵引，把指定租户 / 子网流量引到这台物理防火墙做安全处理，流量回注到 VXLAN 网络。策略不会由控制器推送到防火墙。

前提条件（防火墙侧预配置）

1. 防火墙与 SeerEngine‑DC 控制器网络三层互通；放行 NETCONF（830）、SSH、HTTPS；
2. 防火墙开启 netconf soap http；创建纳管用的 manage 管理员账号；

3. 防火墙不要开启 context（本设备本身就不支持，跳过）；
4. 规划好服务链出入接口（连接 Leaf 交换机的接口），接口预先配置好三层 IP，保证和 Leaf 互通。

ADDC 控制器上操作步骤

1. 进入【资源】‑【安全资源】‑【安全设备】→添加物理防火墙（选择 “服务链型物理防火墙”，不要选择 CGSR 虚墙模式），填入防火墙管理 IP、上面创建的 netconf 账号密码。
2. 设备状态变为正常在线，代表纳管成功。
3. 进入【服务链】，创建服务链实例，把该物理防火墙加入服务链节点；指定流量匹配条件（租户、子网），定义入接口、出接口（流量从 Leaf 牵引到防火墙，处理完回注 Leaf）。
4. 下发服务链配置给 Leaf 交换机；Leaf 完成 VXLAN 流量重定向，将匹配流量引向这台物理防火墙。

核心功能差异（虚墙 CGSR vs 物理防火墙服务链模式）

表格

高频踩坑点

1. ❌不要在控制器选择 CGSR 虚墙模式纳管不支持 context 的盒式防火墙，添加设备直接报错。必须选择服务链‑物理防火墙类型。
2. ❌纳管成功≠策略自动下发：安全策略必须人手工登录防火墙配置，控制器只管流量牵引；很多客户误以为纳管之后可以在 ADDC 页面写安全策略，这是误区。
3. 防火墙服务链接口 IP 必须和 Leaf 可达；服务链的入、出接口不要放业务业务 VLAN，专门用于服务链牵引。
4. RBM 主备场景：两台不支持 context 的物理防火墙做 RBM 主备，在 ADDC 服务链中把两台都加入服务链组；流量牵引由 Leaf 完成，故障切换由防火墙 RBM 完成。

备选方案（如果不想使用服务链）

如果业务不想做服务链流量牵引，只是单纯想把防火墙加入 ADDC 资产做监控，不参与 VXLAN 流量处理： 直接在【资源中心‑设备管理】，按普通网络设备通过 NETCONF/SNMP 纳管，仅做资产、告警监控，不加入安全服务链，无法实现流量牵引过防火墙。

不支持的点

1. 不支持 ADDC 租户业务编排自动生成防火墙安全策略；
2. 不支持控制器批量下发 NAT、对象、域间策略；

这是硬件能力限制：设备本身没有虚墙 context，ADDC 无法拆分多租户虚拟实例。