设为首页收藏本站language 语言切换
开启辅助访问 切换到宽版

鸿鹄论坛

 找回密码
 论坛注册

QQ登录

先注册再绑定QQ

鸿鹄论坛»鸿鹄论坛 › ≡□≡华为认证≡□≡ › HCIE学习资料 › 大型园区出口高可靠配置：防火墙旁路+双机热备+VRRP全详 ...
返回列表 发新帖
查看: 1835|回复: 0
收起左侧

[分享] 大型园区出口高可靠配置：防火墙旁路+双机热备+VRRP全详解

[复制链接]
UID: 25503
发表于 2026-6-27 21:40:38 | 显示全部楼层 |阅读模式
本帖最后由 小乔 于 2026-6-27 21:42 编辑


【园区网络】大型园区出口高可靠配置：防火墙旁路+双机热备+VRRP全详解（华为设备）

一、为什么需要防火墙旁路部署？

在大型园区网络中，防火墙通常需要部署在出口位置对流量进行安全过滤。但防火墙直接串接在流量路径上会存在以下问题：
● 单点故障：防火墙故障会导致整个网络中断
● 性能瓶颈：防火墙处理能力可能成为瓶颈
● 扩容困难：串接部署难以平滑扩容

防火墙旁路部署通过将防火墙旁挂在核心交换机上，利用VRF技术引导流量经过防火墙检测，既实现了安全过滤，又避免了单点故障和性能瓶颈。

本方案的核心优势：
● 高可靠：核心交换机集群 + 防火墙双机热备 + 路由器VRRP
● 高可用：跨框Eth-Trunk链路聚合，消除单链路故障
● 高性能：防火墙旁路部署，可根据需要灵活扩容
● 安全可控：VRF技术确保所有流量都经过防火墙检测

二、组网架构与流量转发路径

2.1 整体架构

本方案中，核心交换机部署集群（CSS），防火墙旁挂于核心交换机，采用双机热备（主备模式），出口路由器部署VRRP实现网关冗余。

关键设计要点：
● 核心交换机集群：两台S12700交换机堆叠，实现设备级冗余
● 跨框Eth-Trunk：交换机与路由器、防火墙之间的链路聚合，跨两台交换机成员口
● VRF隔离：将交换机虚拟为Public和VRF-A两个独立路由实例
● 防火墙双机热备：主备模式，会话同步，故障自动切换

2.2 逻辑组网与流量路径

图1园区出口组网图（防火墙旁挂，双机热备）

图2交换机与路由器、防火墙之间物理接口连接示意图

图3交换机与路由器、防火墙之间三层口连接示意图

上行流量路径（内网→外网）：
步骤动作说明
1内网用户访问外网流量到达VRF-A
2VRF-A转发到防火墙根据缺省路由（下一跳=防火墙下行VRRP虚拟IP 10.10.3.5）
3防火墙安全检测完成安全检测后，根据静态路由转发
4防火墙转发到Public下一跳为CSS的VLANIF20（10.10.2.1）
5Public转发到路由器根据静态路由（下一跳=路由器VRRP虚拟IP 10.10.4.100）


下行流量路径（外网→内网）：
步骤动作说明
1外网流量到达路由器路由器根据OSPF路由表转发到Public
2Public转发到防火墙根据静态路由（下一跳=防火墙上行VRRP虚拟IP 10.10.2.5）
3防火墙安全检测完成安全检测后，根据静态路由转发
4防火墙转发到VRF-A下一跳为CSS的VLANIF30（10.10.3.1）
5VRF-A转发到业务网络根据OSPF路由表转发到汇聚交换机


三、数据规划

3.1 链路聚合接口规划

设备Eth-TrunkVLANIFIP地址对端设备说明
Router1Eth-Trunk1.100—10.10.4.2/24CSS Eth-Trunk1连接CSS
Router2Eth-Trunk1.100—10.10.4.3/24CSS Eth-Trunk2连接CSS
路由器VRRP——10.10.4.100/24—VRRP虚拟网关
CSS-PublicEth-Trunk4VLANIF2010.10.2.1/24FW1 Eth-Trunk4防火墙上行
CSS-PublicEth-Trunk6VLANIF2010.10.2.1/24FW2 Eth-Trunk6防火墙上行
CSS-VRF-AEth-Trunk5VLANIF3010.10.3.1/24FW1 Eth-Trunk5防火墙下行
CSS-VRF-AEth-Trunk7VLANIF3010.10.3.1/24FW2 Eth-Trunk7防火墙下行
FW1Eth-Trunk4—10.10.2.2/24CSS Eth-Trunk4上行接口
FW1Eth-Trunk5—10.10.3.2/24CSS Eth-Trunk5下行接口
FW1-FW2Eth-Trunk1—10.1.1.1/24FW2 Eth-Trunk1心跳链路
FW2Eth-Trunk6—10.10.2.3/24CSS Eth-Trunk6上行接口
FW2Eth-Trunk7—10.10.3.3/24CSS Eth-Trunk7下行接口
防火墙VRRP1（上行）——10.10.2.5/24—FW主备虚拟IP
防火墙VRRP2（下行）——10.10.3.5/24—FW主备虚拟IP


四、配置思路

1. 配置核心交换机集群（CSS）：两台S12700堆叠，实现设备级冗余
2. 配置交换机接口：跨框Eth-Trunk，VLANIF接口及IP地址
3. 配置路由器接口：Eth-Trunk + Dot1q终结子接口
4. 配置防火墙接口：Eth-Trunk + IP地址 + 安全区域
5. 部署路由器VRRP：Router1为Master，Router2为Backup
6. 部署路由：
● 创建VRF（Public和VRF-A），实现路由隔离
● 配置静态路由，引导流量经过防火墙
● 配置OSPF，发布业务网段
7. 配置防火墙双机热备：主备模式 + VRRP联动
8. 验证配置结果

五、完整配置命令与逐条注释

1. 核心交换机集群（CSS）配置


  2. # ========== Switch 1 配置 ==========
  3. <HUAWEI> system-view
  4. [HUAWEI] set css mode css-card     # 集群连接方式为集群卡（缺省值，不需配置）
  5. [HUAWEI] set css id 1               # 集群ID缺省为1（不需配置）
  6. [HUAWEI] set css priority 100        # 提高主交换机优先级，确保其成为主框
  7. [HUAWEI] css enable                  # 使能集群功能，重启后生效
  8. Warning: The CSS configuration takes effect only after the system is rebooted. The next CSS mode is CSS-card. Reboot now? [Y/N]:y

  10. # ========== Switch 2 配置 ==========
  11. <HUAWEI> system-view
  12. [HUAWEI] set css id 2               # 集群ID修改为2（备交换机）
  13. [HUAWEI] css enable                  # 使能集群功能，重启后生效
  14. Warning: The CSS configuration takes effect only after the system is rebooted. The next CSS mode is CSS-card. Reboot now? [Y/N]:y

  16. # ========== 查看集群状态 ==========
  17. # 集群建立后，接口编号变为4维：10GE1/4/0/0（第一位表示集群ID）
复制代码


集群配置要点：
● 两框之间至少要连接一根集群线缆
● 一块集群卡只能与对框一块集群卡相连
● 集群建立后，所有配置在主交换机上进行，数据自动同步到备交换机

2. 配置CSS接口与VLANIF


  2. # ========== 2.1 配置CSS与路由器之间的跨框Eth-Trunk ==========
  3. [CSS] sysname CSS
  4. # 创建Eth-Trunk1（连接Router1）
  5. [CSS] interface Eth-Trunk 1
  6. [CSS-Eth-Trunk1] quit
  7. [CSS] interface XGigabitethernet 1/4/0/0      # 主交换机成员口
  8. [CSS-XGigabitEthernet1/4/0/0] eth-trunk 1
  9. [CSS-XGigabitEthernet1/4/0/0] quit
  10. [CSS] interface XGigabitethernet 2/4/0/0      # 备交换机成员口
  11. [CSS-XGigabitEthernet2/4/0/0] eth-trunk 1
  12. [CSS-XGigabitEthernet2/4/0/0] quit

  14. # 创建Eth-Trunk2（连接Router2）
  15. [CSS] interface Eth-Trunk 2
  16. [CSS] interface XGigabitethernet 1/4/0/1
  17. [CSS-XGigabitEthernet1/4/0/1] eth-trunk 2
  18. [CSS] interface XGigabitethernet 2/4/0/1
  19. [CSS-XGigabitEthernet2/4/0/1] eth-trunk 2

  21. # 创建VLANIF10（连接路由器）
  22. [CSS] vlan batch 10
  23. [CSS] interface Eth-Trunk 1
  24. [CSS-Eth-Trunk1] port link-type trunk
  25. [CSS-Eth-Trunk1] port trunk allow-pass vlan 10
  26. [CSS-Eth-Trunk1] quit
  27. [CSS] interface Eth-Trunk 2
  28. [CSS-Eth-Trunk2] port link-type trunk
  29. [CSS-Eth-Trunk2] port trunk allow-pass vlan 10
  30. [CSS-Eth-Trunk2] quit
  31. [CSS] interface Vlanif 10
  32. [CSS-Vlanif10] ip address 10.10.4.1 24
  33. [CSS-Vlanif10] quit

  35. # ========== 2.2 配置CSS与防火墙之间的跨框Eth-Trunk ==========
  36. # Public连接FW1（上行）
  37. [CSS] interface Eth-Trunk 4
  38. [CSS] interface Gigabitethernet 1/1/0/7
  39. [CSS-Gigabitethernet1/1/0/7] eth-trunk 4
  40. [CSS] interface Gigabitethernet 2/1/0/7
  41. [CSS-Gigabitethernet2/1/0/7] eth-trunk 4

  43. # VRF-A连接FW1（下行）
  44. [CSS] interface Eth-Trunk 5
  45. [CSS] interface Gigabitethernet 1/1/0/8
  46. [CSS-Gigabitethernet1/1/0/8] eth-trunk 5
  47. [CSS] interface Gigabitethernet 2/1/0/8
  48. [CSS-Gigabitethernet2/1/0/8] eth-trunk 5

  50. # Public连接FW2（上行）
  51. [CSS] interface Eth-Trunk 6
  52. [CSS] interface Gigabitethernet 1/2/0/7
  53. [CSS-Gigabitethernet1/2/0/7] eth-trunk 6
  54. [CSS] interface Gigabitethernet 2/2/0/7
  55. [CSS-Gigabitethernet2/2/0/7] eth-trunk 6

  57. # VRF-A连接FW2（下行）
  58. [CSS] interface Eth-Trunk 7
  59. [CSS] interface Gigabitethernet 1/2/0/8
  60. [CSS-Gigabitethernet1/2/0/8] eth-trunk 7
  61. [CSS] interface Gigabitethernet 2/2/0/8
  62. [CSS-Gigabitethernet2/2/0/8] eth-trunk 7

  64. # 创建VLANIF20（Public上行，连接防火墙）和VLANIF30（VRF-A下行，连接防火墙）
  65. [CSS] vlan batch 20 30

  67. [CSS] interface Eth-Trunk 4          # Public上行
  68. [CSS-Eth-Trunk4] port link-type trunk
  69. [CSS-Eth-Trunk4] port trunk allow-pass vlan 20
  70. [CSS-Eth-Trunk4] quit
  71. [CSS] interface Eth-Trunk 6          # Public上行
  72. [CSS-Eth-Trunk6] port link-type trunk
  73. [CSS-Eth-Trunk6] port trunk allow-pass vlan 20
  74. [CSS-Eth-Trunk6] quit
  75. [CSS] interface Vlanif 20
  76. [CSS-Vlanif20] ip address 10.10.2.1 24
  77. [CSS-Vlanif20] quit

  79. [CSS] interface Eth-Trunk 5          # VRF-A下行
  80. [CSS-Eth-Trunk5] port link-type trunk
  81. [CSS-Eth-Trunk5] port trunk allow-pass vlan 30
  82. [CSS-Eth-Trunk5] quit
  83. [CSS] interface Eth-Trunk 7          # VRF-A下行
  84. [CSS-Eth-Trunk7] port link-type trunk
  85. [CSS-Eth-Trunk7] port trunk allow-pass vlan 30
  86. [CSS-Eth-Trunk7] quit
  87. [CSS] interface Vlanif 30
  88. [CSS-Vlanif30] ip address 10.10.3.1 24
  89. [CSS-Vlanif30] quit

  91. # ========== 2.3 配置CSS与业务网络之间的跨框Eth-Trunk ==========
  92. # 业务网络1
  93. [CSS] interface Eth-Trunk 8
  94. [CSS] interface Gigabitethernet 1/3/0/1
  95. [CSS-Gigabitethernet1/3/0/1] eth-trunk 8
  96. [CSS] interface Gigabitethernet 2/3/0/1
  97. [CSS-Gigabitethernet2/3/0/1] eth-trunk 8

  99. # 业务网络2
  100. [CSS] interface Eth-Trunk 9
  101. [CSS] interface Gigabitethernet 1/3/0/2
  102. [CSS-Gigabitethernet1/3/0/2] eth-trunk 9
  103. [CSS] interface Gigabitethernet 2/3/0/2
  104. [CSS-Gigabitethernet2/3/0/2] eth-trunk 9

  106. # 创建VLANIF100和VLANIF200
  107. [CSS] vlan batch 100 200
  108. [CSS] interface Eth-Trunk 8
  109. [CSS-Eth-Trunk8] port link-type trunk
  110. [CSS-Eth-Trunk8] port trunk allow-pass vlan 100
  111. [CSS-Eth-Trunk8] quit
  112. [CSS] interface Vlanif 100
  113. [CSS-Vlanif100] ip address 10.10.100.1 24
  114. [CSS-Vlanif100] quit

  116. [CSS] interface Eth-Trunk 9
  117. [CSS-Eth-Trunk9] port link-type trunk
  118. [CSS-Eth-Trunk9] port trunk allow-pass vlan 200
  119. [CSS-Eth-Trunk9] quit
  120. [CSS] interface Vlanif 200
  121. [CSS-Vlanif200] ip address 10.10.200.1 24
  122. [CSS-Vlanif200] quit
复制代码


3. 路由器配置


  2. # ========== Router1 配置 ==========
  3. [Router1] interface Eth-Trunk 1
  4. [Router1] interface XGigabitethernet 1/0/1
  5. [Router1-XGigabitEthernet1/0/1] undo shutdown
  6. [Router1-XGigabitEthernet1/0/1] eth-trunk 1
  7. [Router1] interface XGigabitethernet 1/0/2
  8. [Router1-XGigabitEthernet1/0/2] undo shutdown
  9. [Router1-XGigabitEthernet1/0/2] eth-trunk 1

  11. # 配置Dot1q终结子接口，终结VLAN10
  12. [Router1] interface Eth-Trunk 1.100
  13. [Router1-Eth-Trunk1.100] ip address 10.10.4.2 24
  14. [Router1-Eth-Trunk1.100] dot1q termination vid 10
  15. [Router1-Eth-Trunk1.100] arp broadcast enable
  16. [Router1-Eth-Trunk1.100] quit

  18. # Router2配置与Router1相同，IP地址为10.10.4.3
复制代码


4. 防火墙接口与安全区域配置


  2. # ========== FW1 配置 ==========
  3. [FW1] interface Eth-Trunk 4
  4. [FW1-Eth-Trunk4] ip address 10.10.2.2 24
  5. [FW1-Eth-Trunk4] quit
  6. [FW1] interface Gigabitethernet 1/0/0
  7. [FW1-GigabitEthernet1/0/0] eth-trunk 4
  8. [FW1] interface Gigabitethernet 1/0/1
  9. [FW1-GigabitEthernet1/0/1] eth-trunk 4

  11. [FW1] interface Eth-Trunk 5
  12. [FW1-Eth-Trunk5] ip address 10.10.3.2 24
  13. [FW1-Eth-Trunk5] quit
  14. [FW1] interface Gigabitethernet 1/1/0
  15. [FW1-GigabitEthernet1/1/0] eth-trunk 5
  16. [FW1] interface Gigabitethernet 1/1/1
  17. [FW1-GigabitEthernet1/1/1] eth-trunk 5

  19. # 配置FW1与FW2之间的心跳链路
  20. [FW1] interface Eth-Trunk 1
  21. [FW1-Eth-Trunk1] ip address 10.1.1.1 24
  22. [FW1-Eth-Trunk1] quit
  23. [FW1] interface Gigabitethernet 2/0/0
  24. [FW1-GigabitEthernet2/0/0] eth-trunk 1
  25. [FW1] interface Gigabitethernet 2/0/1
  26. [FW1-GigabitEthernet2/0/1] eth-trunk 1

  28. # 配置安全区域
  29. [FW1] firewall zone trust
  30. [FW1-zone-trust] add interface Eth-Trunk 5      # 下行接口（内网侧）
  31. [FW1-zone-trust] quit
  32. [FW1] firewall zone untrust
  33. [FW1-zone-untrust] add interface Eth-Trunk 4    # 上行接口（外网侧）
  34. [FW1-zone-untrust] quit
  35. [FW1] firewall zone dmz
  36. [FW1-zone-dmz] add interface Eth-Trunk 1     # 心跳接口
  37. [FW1-zone-dmz] quit

  39. # FW2配置与FW1类似，IP地址分别为10.10.2.3、10.10.3.3、10.1.1.2
复制代码


5. 路由器VRRP配置


  2. # ========== Router1（Master） ==========
  3. [Router1] interface Eth-Trunk 1.100
  4. [Router1-Eth-Trunk1.100] vrrp vrid 1 virtual-ip 10.10.4.100
  5. [Router1-Eth-Trunk1.100] vrrp vrid 1 priority 120      # 提高优先级，使其成为Master
  6. [Router1-Eth-Trunk1.100] quit

  8. # ========== Router2（Backup） ==========
  9. [Router2] interface Eth-Trunk 1.100
  10. [Router2-Eth-Trunk1.100] vrrp vrid 1 virtual-ip 10.10.4.100
  11. [Router2-Eth-Trunk1.100] quit
复制代码


6. 路由配置（VRF + 静态路由 + OSPF）


  2. # ========== 6.1 创建VRF（Public和VRF-A） ==========
  3. # 创建Public（连接路由器）
  4. [CSS] ip vpn-instance Public
  5. [CSS-vpn-instance-Public] ipv4-family
  6. [CSS-vpn-instance-Public-af-ipv4] route-distinguisher 100:2
  7. [CSS-vpn-instance-Public-af-ipv4] vpn-target 222:2 both
  8. [CSS-vpn-instance-Public-af-ipv4] quit
  9. [CSS-vpn-instance-Public] quit

  11. # 创建VRF-A（连接业务网络）
  12. [CSS] ip vpn-instance VRF-A
  13. [CSS-vpn-instance-VRF-A] ipv4-family
  14. [CSS-vpn-instance-VRF-A-af-ipv4] route-distinguisher 100:1
  15. [CSS-vpn-instance-VRF-A-af-ipv4] vpn-target 111:1 both
  16. [CSS-vpn-instance-VRF-A-af-ipv4] quit
  17. [CSS-vpn-instance-VRF-A] quit

  19. # ========== 6.2 将接口绑定到VRF ==========
  20. # Public绑定：VLANIF10（连接路由器）+ VLANIF20（连接防火墙上行）
  21. [CSS] interface Vlanif 10
  22. [CSS-Vlanif10] ip binding vpn-instance Public
  23. [CSS-Vlanif10] ip address 10.10.4.1 24       # 绑定后需重新配置IP
  24. [CSS-Vlanif10] quit
  25. [CSS] interface Vlanif 20
  26. [CSS-Vlanif20] ip binding vpn-instance Public
  27. [CSS-Vlanif20] ip address 10.10.2.1 24
  28. [CSS-Vlanif20] quit

  30. # VRF-A绑定：VLANIF100/200（业务网络）+ VLANIF30（连接防火墙下行）
  31. [CSS] interface Vlanif 100
  32. [CSS-Vlanif100] ip binding vpn-instance VRF-A
  33. [CSS-Vlanif100] ip address 10.10.100.1 24
  34. [CSS-Vlanif100] quit
  35. [CSS] interface Vlanif 200
  36. [CSS-Vlanif200] ip binding vpn-instance VRF-A
  37. [CSS-Vlanif200] ip address 10.10.200.1 24
  38. [CSS-Vlanif200] quit
  39. [CSS] interface Vlanif 30
  40. [CSS-Vlanif30] ip binding vpn-instance VRF-A
  41. [CSS-Vlanif30] ip address 10.10.3.1 24
  42. [CSS-Vlanif30] quit

  44. # ========== 6.3 配置静态路由 ==========
  45. # VRF-A缺省路由：上行流量强制转发到防火墙（VRRP下行虚拟IP）
  46. [CSS] ip route-static vpn-instance VRF-A 0.0.0.0 0.0.0.0 10.10.3.5

  48. # Public缺省路由：上行流量转发到路由器（VRRP虚拟IP）
  49. [CSS] ip route-static vpn-instance Public 0.0.0.0 0.0.0.0 10.10.4.100

  51. # Public到业务网络：下行流量强制转发到防火墙（VRRP上行虚拟IP）
  52. [CSS] ip route-static vpn-instance Public 10.10.100.0 255.255.255.0 10.10.2.5
  53. [CSS] ip route-static vpn-instance Public 10.10.200.0 255.255.255.0 10.10.2.5

  55. # ========== 6.4 配置OSPF ==========
  56. # CSS（Public）上配置OSPF
  57. [CSS] ospf 100 router-id 1.1.1.1
  58. [CSS-ospf-100] import-route static              # 引入静态路由
  59. [CSS-ospf-100] area 0
  60. [CSS-ospf-100-area-0.0.0.0] network 10.10.100.0 0.0.0.255   # 业务网段1
  61. [CSS-ospf-100-area-0.0.0.0] network 10.10.200.0 0.0.0.255   # 业务网段2
  62. [CSS-ospf-100-area-0.0.0.0] network 10.10.4.0 0.0.0.255     # 连接路由器网段
  63. [CSS-ospf-100-area-0.0.0.0] quit
  64. [CSS-ospf-100] quit

  66. # Router1上配置OSPF
  67. [Router1] ospf 100 router-id 2.2.2.2
  68. [Router1-ospf-100] area 0
  69. [Router1-ospf-100-area-0.0.0.0] network 10.10.4.0 0.0.0.255
  70. [Router1-ospf-100-area-0.0.0.0] quit
  71. [Router1-ospf-100] quit

  73. # Router2配置与Router1类似，router-id为3.3.3.3
复制代码


VRF配置要点：
● 将接口绑定到VRF时，接口上的IP地址会被自动删除，需要重新配置
● Public和VRF-A使用不同的路由表，实现路由隔离
● 缺省路由的下一跳指向VRRP虚拟IP，确保流量经过防火墙

7. 防火墙双机热备配置


  2. # ========== FW1（Master） ==========
  3. [FW1] interface Eth-Trunk 4
  4. [FW1-Eth-Trunk4] vrrp vrid 1 virtual-ip 10.10.2.5 24 master   # 上行VRRP，Master
  5. [FW1-Eth-Trunk4] quit
  6. [FW1] interface Eth-Trunk 5
  7. [FW1-Eth-Trunk5] vrrp vrid 2 virtual-ip 10.10.3.5 24 master   # 下行VRRP，Master
  8. [FW1-Eth-Trunk5] quit

  10. # 配置心跳口并启用双机热备
  11. [FW1] hrp interface Eth-Trunk 1 remote 10.1.1.2      # 心跳口，对端IP
  12. [FW1] firewall packet-filter default permit interzone local dmz
  13. [FW1] hrp enable
  14. HRP_M[FW1]                                # 提示符变为HRP_M表示主设备

  16. # ========== FW2（Slave） ==========
  17. [FW2] interface Eth-Trunk 6
  18. [FW2-Eth-Trunk6] vrrp vrid 1 virtual-ip 10.10.2.5 24 slave    # 上行VRRP，Slave
  19. [FW2-Eth-Trunk6] quit
  20. [FW2] interface Eth-Trunk 7
  21. [FW2-Eth-Trunk7] vrrp vrid 2 virtual-ip 10.10.3.5 24 slave    # 下行VRRP，Slave
  22. [FW2-Eth-Trunk7] quit

  24. [FW2] hrp interface Eth-Trunk 1 remote 10.1.1.1
  25. [FW2] firewall packet-filter default permit interzone local dmz
  26. [FW2] hrp enable
  27. HRP_M[FW2]                                # 备设备也会显示HRP_M，但实际为备
复制代码


双机热备要点：
● 主用设备的配置和会话会自动备份到备用设备
● 只需在主用防火墙FW1上配置安全策略即可
● VRRP状态：FW1为Master，FW2为Slave
● 心跳链路建议使用独立的物理链路，避免与业务流量争抢

8. 防火墙静态路由


  2. # ========== FW1 静态路由 ==========
  3. # 上行流量：缺省路由指向Public
  4. [FW1] ip route-static 0.0.0.0 0.0.0.0 10.10.2.1        # 指向CSS Public VLANIF20

  6. # 下行流量：指向业务网络的静态路由，下一跳为VRF-A
  7. [FW1] ip route-static 10.10.100.0 255.255.255.0 10.10.3.1   # 业务网段1
  8. [FW1] ip route-static 10.10.200.0 255.255.255.0 10.10.3.1   # 业务网段2

  10. # FW2上的静态路由与FW1相同
复制代码


六、验证配置结果

验证命令：

  2. display vrrp                                 # 查看VRRP状态（Router/FW）
  3. display hrp state                            # 查看防火墙双机热备状态
  4. display ospf peer                            # 查看OSPF邻居状态
  5. display ip routing-table vpn-instance VRF-A  # 查看VRF-A路由表
  6. display ip routing-table vpn-instance Public # 查看Public路由表
  7. ping                                         # 测试连通性
复制代码


预期验证结果：

1. 查看Router1的VRRP状态（Master）：

  2. [Router1] display vrrp
  3. Eth-Trunk1.100 | Virtual Router 1
  4.   State : Master
  5.   Virtual IP : 10.10.4.100
  6.   Master IP : 10.10.4.2
  7.   PriorityRun : 120
  8.   PriorityConfig : 120
复制代码


2. 查看FW1的VRRP状态（Master）：

  2. HRP_M[FW1] display vrrp
  3. Eth-Trunk4 | Virtual Router 1
  4.   VRRP Group : Master
  5.   State : Master
  6.   Virtual IP : 10.10.2.5
  7. Eth-Trunk5 | Virtual Router 2
  8.   VRRP Group : Master
  9.   State : Master
  10.   Virtual IP : 10.10.3.5
复制代码


3. 查看OSPF邻居状态（CSS）：

  2. [CSS] display ospf peer
  3. OSPF Process 100 with Router ID 1.1.1.1
  4. Area 0.0.0.0 interface 10.10.4.1(Vlanif10)'s neighbors
  5.   Router ID: 2.2.2.2          Address: 10.10.4.2
  6.    State: Full  Mode:Nbr is  Master  Priority: 1
  7.   Router ID: 3.3.3.3          Address: 10.10.4.3
  8.    State: Full  Mode:Nbr is  Master  Priority: 1
复制代码


4. 查看CSS的VRF-A路由表（确认流量强制过防火墙）：

  2. [CSS] display ip routing-table vpn-instance VRF-A
  3. Routing Tables: VRF-A
  4. Destination/Mask    Proto   Pre  Cost      NextHop         Interface
  5. 0.0.0.0/0           Static  60   0          10.10.3.5       Vlanif30    # 指向防火墙下行VRRP
  6. 10.10.3.0/24        Direct  0    0          10.10.3.1       Vlanif30
  7. 10.10.100.0/24      Direct  0    0          10.10.100.1     Vlanif100
  8. 10.10.200.0/24      Direct  0    0          10.10.200.1     Vlanif200
复制代码


5. 查看CSS的Public路由表：

  2. [CSS] display ip routing-table vpn-instance Public
  3. Routing Tables: Public
  4. Destination/Mask    Proto   Pre  Cost      NextHop         Interface
  5. 0.0.0.0/0           Static  60   0          10.10.4.100     Vlanif10    # 指向路由器VRRP
  6. 10.10.2.0/24        Direct  0    0          10.10.2.1       Vlanif20
  7. 10.10.4.0/24        Direct  0    0          10.10.4.1       Vlanif10
  8. 10.10.100.0/24      Static  60   0          10.10.2.5       Vlanif20    # 指向防火墙上行VRRP
  9. 10.10.200.0/24      Static  60   0          10.10.2.5       Vlanif20
复制代码


6. 连通性测试：

  2. # CSS ping Router1上行链路
  3. [CSS] ping 10.10.4.2
  4.   Reply From 10.10.4.2: bytes=32 seq=1 ttl=126 time=140 ms  # 通

  6. # Router1 ping CSS业务网段（下行链路，经过防火墙）
  7. [Router1] ping 10.10.100.1
  8.   Reply From 10.10.100.1: bytes=32 seq=1 ttl=253 time=235 ms  # 通
复制代码


七、排障指南（新手常见问题）

故障现象可能原因解决方法
CSS集群建立失败集群线缆连接错误或配置不一致检查集群线缆连接，确认set css id和priority配置
VRRP状态异常接口IP配置错误或VRRP虚拟IP冲突检查接口IP和VRRP虚拟IP是否在同一网段
流量未经过防火墙VRF路由配置错误检查VRF-A缺省路由和Public静态路由配置
防火墙双机热备不生效心跳链路不通或hrp未使能检查心跳接口IP和hrp interface配置
OSPF邻居无法建立network宣告错误或区域不一致检查OSPF network配置，确保区域一致


八、配置注意事项

关键点提醒：
● CSS集群建立后，所有配置在主交换机上进行，数据自动同步
● 跨框Eth-Trunk的成员接口必须分布在不同交换机上，实现链路级冗余
● 将接口绑定到VRF时，接口上的IP地址会被自动删除，需要重新配置
● 双机热备功能配置完成后，主用设备的配置和会话会自动备份到备用设备
● VRRP虚拟IP必须与接口IP在同一网段
● 心跳链路建议使用独立的物理链路，避免与业务流量争抢

九、应用场景与扩展

本方案的典型应用场景：
● 大型企业/园区出口网络
● 需要高可用、高性能的网络安全架构
● 防火墙旁路部署，避免单点故障
● 需要双机热备和链路聚合的可靠性要求
● 可用于数据中心出口、ISP接入等场景

十、总结

本文通过核心交换机集群（CSS）+ 防火墙旁路 + 双机热备 + 路由器VRRP + 跨框Eth-Trunk的完整方案，构建了一个高可靠、高性能、高可用的大型园区出口网络。

核心设计要点：
● VRF技术实现流量强制经过防火墙检测
● 跨框Eth-Trunk消除单链路故障
● VRRP实现网关冗余
● 双机热备实现防火墙主备切换
● OSPF实现动态路由

该方案适用于大型园区、数据中心等高可靠性要求的网络环境，是网络工程师保障业务连续性的重要技术。

互动提问

各位坛友，你在配置大型园区出口时遇到过哪些问题？是CSS集群配置还是VRF流量引导？欢迎留言分享你的排障经验！

--- 鸿鹄论坛，一路同行 ---

本帖子中包含更多资源

您需要 登录 才可以下载或查看，没有账号？论坛注册

x
回复

使用道具 举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 论坛注册

本版积分规则

QQ|Archiver|手机版|小黑屋|sitemap|鸿鹄论坛 ( 京ICP备14027439号 )  

GMT+8, 2026-8-17 07:22 , Processed in 0.060949 second(s), 9 queries , Redis On.  

  Powered by Discuz!

  © 2001-2025 HH010.COM

快速回复 返回顶部 返回列表