ADDC物理设备巡检告警

一般都是办事处实施 

联系400或者办事处协助吧

在 ADDC 场景下，dis rbm status 显示 Inconsistent，但手工对比配置无差异，这通常不是配置错误，而是RBM 一致性检查机制与 ADDC 控制器管理模式下“配置来源”不一致导致的预期现象。

 核心原因：检查的是“运行配置”，而非“控制器基线”

RBM 的配置一致性检查，比较的是主备两台防火墙本地运行的配置（running-config），而不是 ADDC 控制器下发的“基线配置”。在 ADDC 场景中，你执行了 undo configuration auto-sync enable，RBM 的自动同步通道被关闭，配置改由控制器下发。但一致性检查功能本身并未关闭，它仍然会去比对两台设备本地的一些配置项。

即便业务配置由控制器统一下发，以下内容仍可能因设备自身状态不同而产生差异，从而被标记为 Inconsistent：

• 接口管理模块（ifmgr）：这是最常见的告警模块。主备设备的接口 IP、接口描述等本身就是不同的（例如主备心跳口 IP 不同），RBM 的 sync-check 会将这些差异标记为不一致。H3C 官方知识库明确说明，在配置同步正常的 RBM 设备上，display remote-backup-group sync-check 也会提示存在不一致的接口配置，这属于正常显示，无需解决。

• 硬件差异：如果备机比主机多一块板卡，ifmgr 模块会直接检查失败。

• 安全策略（security-policy）：如果主备设备的安全域名称存在细微差异（例如大小写、空格），也会触发该模块告警。

• 授权（License）差异：主备设备的授权不一致同样会导致一致性检查报警。

你的 display remote-backup-group status 输出中，备机的 Configuration consistency check result 显示 Not Performed，说明备机根本没有执行过检查，只有主机单方面得出了 Inconsistent 结论。这也进一步说明，这个告警在当前模式下不具备业务参考意义。

 如何定位具体是哪个模块不一致

执行以下命令，查看 sync-check 的详细输出，它会明确列出不一致的模块：

如果你的输出中不一致模块仅为 ifmgr（接口管理），则可以基本判定为正常现象，无需处理。如果出现了 security-policy、acl 等业务模块，才需要进一步排查。

 在 ADDC 场景下，应该关注什么？

在 ADDC 集中管控架构中，RBM 的角色已经发生了转变：它不再负责配置同步，只负责会话表项（会话、NAT 等）的实时备份，以及主备切换时的业务连续性。因此，配置一致性检查的结果不应作为判断 RBM 是否正常的依据。

真正需要确认的运行状态是：

你的输出中，控制通道、数据通道、主备角色、会话热备份全部正常。RBM 的核心职能（会话备份与切换）并未受到影响。

结论先说：ADDC 控制器托管场景，RBM 必须关闭配置一致性周期性检查，状态为Not Performed才是符合设计预期；Inconsistent是 RBM 还在做周期性校验，会产生巡检告警。

你现在现状：

• RBM：configuration auto-sync disabled（正确，ADDC 场景禁止 RBM 自身同步配置，由控制器统一推送）
• 但是configuration sync-check还开启，RBM 周期性对比 RBM 关心的模块配置摘要，对比摘要不一致，标记Inconsistent；虽然你手工看display current配置完全一样，但 RBM 内部模块摘要有差异，判定不一致。
• 对业务无影响：会话热备份、主备切换功能正常，只是巡检告警。

两个状态含义

1. Inconsistent：RBM 周期性一致性检查已执行，RBM 模块内部摘要对比结果不一致。

   重点：RBM 一致性检查只对比 RBM 热备支持备份的模块摘要，不是全量current-configuration文本对比。哪怕手工看所有命令一模一样，只要 RBM 关心模块的内部运行摘要不同，就判定不一致。ADDC 控制器批量下发时，主备设备配置下发时序微小差异，会造成这个摘要差异。

2. Not Performed：没有执行配置一致性检查，ADDC 托管场景目标状态，不会产生巡检告警。

   原理：ADDC 场景，配置由控制器保证主备墙配置一致性，RBM 不需要再做配置一致性校验，直接关闭这个检查功能。

操作步骤（主备两台防火墙都要配置，remote-backup-group 视图）

关闭之后：

• 不再周期性执行配置摘要对比；
• display remote-backup-group status 里 Configuration consistency check result 变成 Not Performed，巡检告警消失；
• 不影响 RBM 会话热备份、主备切换功能（Running-data auto sync 依然是 Enabled，会话备份正常）。

可选：手工触发一次检查（验证用，非必须）

手工检查只是临时跑一次对比，关闭configuration sync-check后不会自动周期性跑。

为什么手工对比配置完全一致，但 RBM 报 Inconsistent（坑点）

1. RBM 一致性校验不是文本比对 display current，是 RBM 内部注册模块的运行哈希 / 摘要。控制器先后向主、备下发配置，主备模块实例初始化时序不一样，内部摘要短暂不一致，RBM 就标记 Inconsistent。
2. configuration auto-sync disabled只是关闭 RBM 自身配置同步，不会自动关闭 RBM 的配置一致性检查，这是很多 ADDC 项目踩坑点。两个功能独立开关。
3. 该告警不影响业务、切换、会话备份，属于巡检层面的虚告警，但客户巡检平台会持续上报。

ADDC 安全 RBM 标准基线核对清单（对照你的回显）

✅ Backup mode: Active/standby ✅ Control channel status: Connected ✅ Data channel: Up ✅ configuration auto-sync disabled（控制器下发，禁止 RBM 同步配置） ✅ Running-data auto sync status: Enabled（会话热备保持开启） ✅ Session backup status: Hot backup enabled ✅ undo configuration sync-check → 结果变成 Not Performed（消除告警）

补充注意事项

1. 两台防火墙都必须敲undo configuration sync-check，保存。
2. 控制器侧不需要改动；控制器依然负责保障主备防火墙配置一致性。
3. 关闭 sync-check 之后，RBM 不再检测配置差异，后续配置变更必须保证控制器成功同时推送到两台防火墙，这是 ADDC 设计模型。
4. 如果后续需要手动校验配置一致性，可以临时执行configuration manual-sync-check手动触发一次检查。

命令查看 RBM 的差异详情（可选，定位摘要差异）

这个命令可以打印 RBM 检测到的不一致模块，方便你看是哪一类模块摘要差异。