F5030防火墙堆叠问题

二层还是三层部署，我之前项目上用的也是5030防火墙，IRF就是双主，部署模式是二层，没有什么问题，但是需要配置会话备份和流量异步模式 

session synchronization enable

session synchronization enable asymmetric
即使上下级联设备采用链路聚合方式也需要开启流量异步模式，否则可能会导致通信异常

对的，不要修改

1. 模式原理区分 当前界面是 IRF 双机热备（RBM），不是普通 IRF 堆叠；主备模式下只有一台转发业务，备机端口默认 shutdown；双主模式是两台同时转发流量，上下行动态聚合（LACP）正好是双主的推荐组网形态（跨设备聚合 M-LAG），协议层面是支持的H3C。

注意：您现在会话状态机是严格模式，严格模式要求流量往返路径对称，这个点在双主模式下是最大的坑。

2. 核心风险（就是您记忆里双主容易出问题的地方）

• 严格模式 + 双主：如果上下行交换机 LACP 哈希调度把来回流量分到两台 FW，来回路径不对称，会话校验失败，报文丢包、业务断流；宽松模式对不对称流量容忍度高，但安全校验弱，部分 IPS、应用识别、会话审计功能会异常。
• 老版本基线（21 年版本）：早期 RBM 双主基线存在已知缺陷：会话同步丢表、NAT444 端口同步异常、VPN SA 同步问题；您截图里备份IPsec SA目前还没勾选，如果有 IPsec 业务，双主下 VPN 稳定性会更差。
• 会话同步开销：双主模式两台都生成会话，同步流量翻倍，大并发场景下 RBM 备份通道带宽压力上涨。
• 哈希一致性：上下行交换机 LACP 的负载分担哈希算法，必须保证五元组哈希固定，否则来回流量极易跨设备，这是现网最常见故障。

3. 改造前提条件（必须全部满足再切换） ① 先确认 FW 版本：21 年老版本强烈建议先升级到 F5030 推荐稳定基线，修复双主会话同步 BUG； ② 上下行交换机 LACP 聚合哈希配置为源目 IP + 源目端口五元组哈希，保证同一条流进出始终落在同一台防火墙； ③ 会话状态机：如果没法保证 100% 对称路径，不能继续用严格模式，要改成宽松模式； ④ 备份选项按需勾选：NAT444、IPsec SA、保持上一跳，有对应业务必须勾选； ⑤ MAD 检测确认正常，IRF 分裂防冲突机制正常工作。
4. 改造建议

• 如果是为了提升带宽、利用备机闲置性能：可以改双主，但要做割接验证，先小流量试运行，重点观察丢包、会话中断；
• 如果现网业务对稳定性要求极高、有大量 VPN/SSL VPN / 深度安全检测业务：不建议改成双主，维持现有主备模式更稳妥，主备模式天然不存在来回路径不对称的问题。

5. 补充一个容易混淆点 IRF 堆叠（虚拟化 IRF）和 RBM 双机热备是两套独立功能，您这个页面是 RBM 双机热备，不是 IRF 堆叠；很多人会把两个概念弄混。