F1000-AI-80防火墙

不影响HA功能

但是IPS和AV防护可能会有影响

1、主备模式（Active/Standby，绝大多数现场）

• 正常运行：带授权的设备为Active 主机，流量由主机转发，IPS/APR 深度检测生效；备机无授权，此时备机只是待命，不处理流量，无影响。
• ❗一旦 HA 发生切换：原来无授权的设备变成新 Active 主机
  1. 流量切到新主机；
  2. 新主机没有 IPS、APR 授权 → IPS/APR 特征库不加载，深度安全策略不生效；
  3. 基础包过滤、NAT、VPN、路由这些基础功能不受影响，流量可以通，但应用识别、入侵防御失效，安全策略不按预期执行。

简单一句话：HA 能起来，切换会丢 IPS/APR 能力。

2、如果是双主（Active/Active）模式

两台同时转发流量，无授权那台从一开始就没有 IPS/APR 检测，经过这台设备的流量完全不做 DPI 检测，绝对不建议这么部署。

3、授权机制说明（F1000-AI 系列）

IPS、APR（ACG 应用识别）属于特征库订阅类 license，绑定设备 SN，不支持跨设备共享，HA 不自动同步授权。

配置文件、特征库文件可以 HA 同步，授权许可本身无法同步。 特征库能同步到备机，但没有授权许可，特征库只是文件，无法启用检测引擎。

4、两种处理方案

方案 1（标准合规方案，推荐）

两台 F1000-AI-80 分别购买 IPS+APR 授权，每台设备单独绑定自身 SN。 切换后无论哪台变成 Active，IPS、APR 都正常工作，安全策略持续生效，满足等保 / 安全规范。

方案 2（临时应急，风险很高，不建议长期）

只维持一台授权，HA 不允许抢占，尽量避免自动切换；同时增加告警监控，一旦 HA 角色切换立即告警。

缺陷：主机硬件 / 链路故障后，切换过去安全防护失效，存在安全缺口。

5、验证命令

总结

1. HA 集群本身可以正常建立，HA 协议、配置同步不受缺少 IPS/APR 授权影响；
2. 风险点：故障切换后，备机接管业务时，IPS、APR 深度安全功能失效；
3. 生产环境规范做法：HA 成对防火墙，两台都需要配齐 IPS、APR 授权。