前段时间在梳理防火墙旁挂部署的实验场景把“防火墙旁挂交换机 交换机静态路由引流 主备部署”这个组合完整跑了一遍。这个场景在现网里非常常见生产环境不可能轻易改动核心链路防火墙又不能直接串在转发路径上于是通过旁挂方式把流量“引”到防火墙做安全检测同时靠双机热备解决单点故障。这篇就把我实测的拓扑、配置思路、静态路由引流细节和故障切换验证过程全部整理出来给正在学防火墙或者打算在项目里做旁挂高可用方案的朋友做个参考。1. 场景理解与整体方案设计1.1 旁挂部署解决了什么问题先说说为什么会有“旁挂”这种玩法。在传统部署里防火墙往往直接串接在核心交换机和外网出口之间流量无论如何都要从防火墙的物理接口上过一遍好处是逻辑清晰配置也直白。但在真实环境里这种串联部署经常会遇到几个尴尬问题核心链路改造窗口非常短把防火墙插进现有链路意味着中断业务部门大概率不会给你这么长的停机时间。防火墙作为物理设备自身处理性能再高也终归有瓶颈如果所有流量都从它身上过一旦遇到大流量突发或者设备硬件故障整个网络就跟着瘫痪。安全设备版本升级、规则库更新、硬件维护时需要重启或切换串联模式下每一次操作都直接影响全网业务。旁挂部署的核心思路防火墙不插在主干路径上而是像“路边检查站”一样挂在交换机旁边只通过一个或者两个接口和交换机相连。交换机通过路由或者策略把需要做安全检查的流量送到防火墙防火墙处理完再把流量送回转发路径。这样一来日常网络转发还是靠交换机完成防火墙只在逻辑层面介入物理链路故障的影响面被大大缩小。而且旁挂部署还有一个非常实际的好处撤掉防火墙的时候网络照跑。只要交换机上的引流路由撤销流量就直接走原有转发路径业务恢复速度非常快。这在做项目割接和应急回退时是实打实的优势。1.2 静态路由引流的两种主流做法把流量引到旁挂防火墙最常用的是两种手段策略路由PBR和静态路由。策略路由的灵活性更高可以基于源地址、目的地址、协议甚至应用来挑选需要经过防火墙的流量适合只对特定业务做安全检查的场景。但PBR配置复杂排错思路也更绕很多运维团队并不愿意在生产环境里大量使用。静态路由引流则简单得多在交换机上写一条或者两条静态路由把去往某个方向的流量下一跳指向防火墙。比如内网PC访问外网那交换机上的默认路由下一跳指向防火墙的接口地址这样流量自然就被送到防火墙那边了。静态路由做引流的优势在于直观、可预期路由表一看就明白流量从哪进、从哪出。而且静态路由天然支持优先级preference调整天然适合做主备切换。缺点就是不够灵活只能基于目的网段来引没法精细地区分哪些流量要过墙、哪些不过墙。不过对于“全网统一安全检测”这种需求静态路由反而是最合适的方案。在主备部署场景下静态路由引流又分为两种常见做法做法A交换机上写两条静态路由分别指向两台防火墙的物理接口IP。通过给两条路由设置不同的优先级让主防火墙对应的路由优先使用主设备异常时切换到备用。这需要配合BFD双向转发检测来快速感知防火墙故障否则主防火墙接口即使DOWN了交换机侧如果没有及时检测到切换就会出现延迟甚至失败。做法B交换机上只写一条静态路由下一跳指向防火墙双机热备的VRRP虚拟IP。两台防火墙之间自己跑VRRP虚拟路由冗余协议正常情况虚拟IP在主设备上主设备故障时虚拟IP自动漂移到备用设备。交换机完全不需要感知防火墙内部的主备状态只需要把下一跳固定写成虚拟IP即可。我在实际实验和项目中比较推荐做法B原因就是切换动作完全由防火墙自己完成交换机零感知减少了跨设备联动的故障点。但做法A也有它的适用场景比如防火墙不支持VRRP或者你想通过交换机的路由协议来统一控制多个设备的选路时。下面我会把做法B作为主线详细讲解也会把做法A的坑和配置思路顺带说清楚。1.3 整套方案的网络拓扑与数据路径为了把实验讲清楚我先设定一个典型的小型园区网拓扑一台核心三层交换机模拟S5720作为全网网关下联一台PC模拟内网用户。两台防火墙模拟华为USG6000V旁挂在核心交换机上分别用业务接口连接交换机的同一个VLAN。一台出口路由器模拟运营商侧设备和两台防火墙的外网口互连。核心交换机同时保留一条到出口路由器的应急链路正常情况下不走只在防火墙全挂时才启用。设备角色和网段规划如下设备接口/区域IP地址说明PC内网用户192.168.10.10/24网关指向SW1SW1VLANIF10192.168.10.254/24内网网关SW1VLANIF10010.1.1.1/24与防火墙互联SW1VLANIF200200.1.1.1/24应急出口到R1FW1GE1/0/0业务口10.1.1.2/24主防火墙VRRP ActiveFW2GE1/0/0业务口10.1.1.3/24备防火墙VRRP StandbyFW1/FW2VRRP虚拟IP10.1.1.254/24交换机的引流下一跳FW1GE1/0/1外网口201.1.1.2/24连接R1FW2GE1/0/1外网口201.1.1.3/24连接R1FW1/FW2外网口VRRP201.1.1.254/24R1的回程下一跳R1GE0/0/0201.1.1.1/24连接防火墙R1GE0/0/1200.1.1.2/24连接SW1应急链路数据路径是这样走的内网PC访问外网时PC先把包交给网关SW1SW1查路由表发现默认路由下一跳是10.1.1.254防火墙VRRP虚拟IP于是把包发给主防火墙FW1。FW1收到包后做安全策略检查、NAT地址转换然后根据默认路由把包从外网口丢给R1。回程流量从R1进到FW1FW1查会话表命中后还原目的地址为192.168.10.10再根据去往内网网段的静态路由把包送回SW1SW1最后转发给PC。这个过程中数据包实际上走了“SW1 → FW1 → R1 → Internet”的路径逻辑上防火墙还是串在转发链路上的但物理上它只是交换机的一个旁挂节点这就是旁挂部署的精髓。2. 设备规划与关键参数设计2.1 业务区域与接口规划做旁挂部署前第一件事就是把接口、VLAN、区域规划干净。很多人在实验里翻车不是路由写错了而是接口区域和安全策略没理清楚。在三层交换机上我划分了三个VLANVLAN10是内网用户VLAN100是防火墙互联区VLAN200是应急出口区。防火墙互联区和应急出口区之所以分开是为了避免路由环路和策略控制混乱。在防火墙上需要明确两个概念业务口和外网口分属不同安全区域。华为USG的习惯是业务口放在untrust区域还是dmz区域要看具体规划但外网口一般放在untrust区域。我这次实验里把业务口划到dmz区域外网口划到untrust区域内网PC所在网段通过交换机的VLANIF10被认定为trust区域在防火墙上通过路由可达性体现区域归属。实际项目中区域划分可以灵活调整但原则是必须有一条清晰的安全策略链路否则流量要么被默认拒绝要么绕过安全检测。接口规划方面建议把交换机上和防火墙互联的接口配置为Trunk或者Access都行我习惯用Access 指定VLAN简单直观排错时看一眼接口状态和VLAN归属就够了。2.2 路由设计中的优先级陷阱静态路由引流的核心不只是“把下一跳指到防火墙”而是要把主备切换的路由逻辑想透彻。这里有一个很多初学者会踩的坑。如果你在交换机上配置两条静态路由分别指向FW1和FW2的物理接口IP比如默认路由下一跳10.1.1.2主优先级60默认路由下一跳10.1.1.3备优先级80表面上看主备清晰但实际运行中大概率出现“主防火墙已经宕机了交换机还是把流量发给10.1.1.2”的问题。原因很简单静态路由的优先级切换依赖的是下一跳的“可达性”。如果FW1整机断电交换机的接口状态可能还能保持up中间隔着交换机转接ARP也能解析到FW1的接口MAC于是路由表始终认为10.1.1.2可用备路由永远上不来。解决办法有两个方向在交换机上配置BFD会话让交换机主动探测FW1的某个IP比如业务口地址探测失败就强制把主路由失效从而切换到备路由。改用VRRP虚拟IP作为下一跳的引流方式。两台防火墙组成VRRP组后正常情况下虚拟IP 10.1.1.254由主设备响应ARP主设备故障时虚拟IP自动漂移到备设备交换机的静态路由下一跳地址不变但实际接收流量的防火墙已经变了。我在生产项目里更倾向于第二种方式原因很直接把故障检测交给防火墙自身的HA机制交换机只需要维持一条静态路由整个系统的故障点更少切换也更可靠。2.3 VRRP与HRP双机热备的核心机制要理解主备部署的完整逻辑还得把VRRP和HRP这两个概念分清楚。VRRP解决的是“IP地址漂移”问题。两台防火墙在同一个接口网段内配置VRRP组虚拟出一个IP作为网关或引流下一跳谁是这个VRRP组的Master谁就响应这个IP的ARP请求。正常情况下所有流量都进主设备主设备挂掉后备份设备通过VRRP协商机制在秒级时间内接管虚拟IP。HRP华为专用术语类似其他厂商的会话同步解决的是“流转发状态同步”问题。防火墙是状态检测设备它允许一个流量通过后会在会话表里记录连接状态回程流量直接匹配会话表放行。如果主防火墙挂了新主设备如果没有这些会话记录那么之前已经建立的TCP连接就会全部中断客户端必须重新发起连接。HRP的作用就是把主设备上的会话表、NAT表项等关键状态实时同步给备设备保证切换后连接不断。所以真正可靠的主备部署是VRRP做地址漂移 HRP做会话同步两者缺一不可。如果只有VRRP没有HRP切换后所有存量连接会瞬间断开用户的直观感受就是“网络卡一下”甚至“断网”如果只有HRP没有VRRP虚拟IP无法漂移流量根本不会自动到备设备那边去。3. 配置实施全记录3.1 核心交换机上的静态路由配置先搞定核心交换机SW1。因为旁挂部署的规则是“把流量引到防火墙”所以交换机上最关键的路由就是默认路由和回程相关的路由。关键配置如下sysname SW1 vlan batch 10 100 200 interface Vlanif10 ip address 192.168.10.254 255.255.255.0 interface Vlanif100 ip address 10.1.1.1 255.255.255.0 interface Vlanif200 ip address 200.1.1.1 255.255.255.0 interface GigabitEthernet0/0/1 port link-type access port default vlan 10 interface GigabitEthernet0/0/2 port link-type access port default vlan 100 interface GigabitEthernet0/0/3 port link-type access port default vlan 200 # 默认路由指向防火墙VRRP虚拟IP这是引流的核心 ip route-static 0.0.0.0 0.0.0.0 10.1.1.254 # 备用默认路由指向出口路由器仅当防火墙整体不可用时才激活 ip route-static 0.0.0.0 0.0.0.0 200.1.1.2 preference 100注意备份路由的优先级。华为默认静态路由优先级是60数值越小越优先。所以指向防火墙的那条默认路由优先级为60正常情况一定优先生效。指向R1的备用路由优先级设为100只有当防火墙这条路由失效时才会被选路。实验里我特意验证过一个细节如果只配置一条指向防火墙的路由防火墙全挂之后交换机还是会继续把数据包丢给10.1.1.254但没有人应答ARP交换机上的ARP表项超时后流量就全部丢弃。加上备份路由之后虽然切换需要一点时间但至少网络不会全断这在生产环境里是很有价值的兜底方案。3.2 防火墙双机热备与VRRP配置接下来是本次实验的重头戏两台防火墙组成双机热备。在华为USG6000V上双机热备的配置大致分三步第一步配置接口IP和安全区域。# FW1 interface GigabitEthernet1/0/0 ip address 10.1.1.2 255.255.255.0 service-manage ping permit interface GigabitEthernet1/0/1 ip address 201.1.1.2 255.255.255.0 service-manage ping permit firewall zone dmz add interface GigabitEthernet1/0/0 firewall zone untrust add interface GigabitEthernet1/0/1FW2配置类似只是IP改成10.1.1.3和201.1.1.3。第二步配置VRRP虚拟IP。FW1上interface GigabitEthernet1/0/0 vrrp vrid 1 virtual-ip 10.1.1.254 active interface GigabitEthernet1/0/1 vrrp vrid 2 virtual-ip 201.1.1.254 activeFW2上interface GigabitEthernet1/0/0 vrrp vrid 1 virtual-ip 10.1.1.254 standby interface GigabitEthernet1/0/1 vrrp vrid 2 virtual-ip 201.1.1.254 standby不同版本的USG命令格式可能略有差异有些版本里vrrp配置是vrrp vrid 1 virtual-ip 10.1.1.254加hrp配合管理主备角色。我在ensp里用的USG6000V版本支持active/standby这种写法。这里有个容易忽略的点外网口也要做VRRP。很多人在实验里只给业务口做了VRRP外网口却各配各的结果主防火墙挂了之后内网流量能进到备防火墙但回程流量从R1那边还是发给主防火墙的地址导致流量有去无回。所以外网口的VRRP虚拟IP也必须配置R1上的回程路由下一跳统一写成201.1.1.254。第三步启用HRP。# FW1 hrp enable hrp interface GigabitEthernet1/0/0 remote 10.1.1.3这里用业务口作为HRP心跳链路实际生产环境建议用单独的心跳口比如独立的物理接口或者专门VLAN避免心跳流量和业务流量互相干扰。HRP启用后主设备上的会话表、NAT表项会自动同步到备设备。要注意的是HRP配置需要在两台防火墙上分别指定对端的remote地址并且心跳链路必须保持互通。日常巡检时可以通过display hrp state查看两台设备的主备状态和会话同步情况。3.3 防火墙回程路由、安全策略与NAT配置防火墙不能只负责“收流量”还得知道流量处理完往哪里送。这里有两个方向的回程路由必须配置到位内网回程路由目的网段是192.168.10.0/24下一跳指向SW1的互联地址10.1.1.1。外网出口默认路由目的网段是0.0.0.0/0下一跳指向R1的互联地址201.1.1.1。两台防火墙都要配置这两条路由因为谁都有可能成为主设备。# FW1 / FW2 都配置 ip route-static 192.168.10.0 255.255.255.0 10.1.1.1 ip route-static 0.0.0.0 0.0.0.0 201.1.1.1安全策略这块实验室环境可以放得宽一些但思路要正确。内网用户访问外网属于从trust区域到untrust区域的流量需要放行。由于防火墙开启了状态检测回程流量会自动匹配会话表不需要额外配置反向策略。# 放行内网访问外网 security-policy rule name trust_to_untrust source-zone trust destination-zone untrust action permitNAT配置建议使用接口地址做Easy IP或者使用地址池。我这次用Easy IP方式直接把防火墙外网接口地址作为NAT转换后的源地址nat-policy rule name easy_ip_nat source-zone trust destination-zone untrust action source-nat easy-ip主备两台设备的NAT策略配置保持一致。HRP会把NAT会话同步到备设备这样主备切换后已经建立的连接还能继续走NAT表项不会丢失。3.4 联通性与引流路径验证配置全部完成后先别急着测试防火墙主备切换先把基础联通性确认清楚。在PC上ping外网地址比如R1的200.1.1.2或者模拟公网地址8.8.8.8PC ping 8.8.8.8能通说明主链路没问题。然后看PC到防火墙的路径PC tracert 8.8.8.8正常情况下第一跳是192.168.10.254SW1第二跳应该是10.1.1.254防火墙VRRP虚拟IP。如果第二跳直接是200.1.1.1R1说明交换机上的引流路由没有生效流量从备用路由直接出去了这时候要检查SW1的路由表display ip routing-table确认默认路由是否是10.1.1.254且优先级正确。再看防火墙上的会话表display firewall session table能看到源地址192.168.10.10、目的地址8.8.8.8的会话记录说明流量确实经过了防火墙处理安全策略和NAT都命中了。我还习惯在SW1上跟踪流量走向用display ip routing-table 8.8.8.8确认交换机认为的去往公网的下一跳到底是谁。这一步很关键因为问题往往出在“你以为流量走了防火墙但其实它绕过了”。4. 故障切换实验与问题排查4.1 主防火墙宕机的真实切换过程配置就绪后我做了主防火墙宕机实验。方法很简单直接关闭FW1的接口模拟设备故障或者链路中断。操作前先在PC上持续ping外网地址观察丢包情况。正常情况一切稳定切换发生时会出现短暂丢包。我在ensp里实测的切换过程大致是这样关闭FW1的GE1/0/0接口后VRRP组检测到此接口状态异常开始进行主备切换。FW2从Standby状态转为Active虚拟IP 10.1.1.254和201.1.1.254漂移到FW2上。之后新的流量到达SW1时SW1的默认路由下一跳还是10.1.1.254但ARP解析到的MAC已经是FW2的接口MAC了于是数据包自然进入FW2。由于HRP同步了会话表原有连接在FW2上依旧能命中会话NAT继续正常转换回程流量也能正确回到PC。整个过程我用ping统计来看丢包大约在2到4个包左右换算下来切换到秒级。如果是真实业务用户感知就是一次瞬断不像没有HRP时那样需要重连所有TCP会话。实验后我把FW1重新恢复接口观察VRRP是否会自动抢占回来。华为默认配置下只要优先级配置为active/standby主设备恢复后通常会自动重新成为Master前提是VRRP抢占功能开启并且延迟时间合理。如果不想频繁切换可以调大抢占延迟比如30秒让切换更平滑。4.2 静态路由引流切换慢的几个典型原因如果切换过程出现长时间断流或者流量一直卡在某处优先排查下面这几个点。第一个原因是交换机的默认路由下一跳指向了FW1或FW2的物理接口IP而不是VRRP虚拟IP。这种情况下VRRP切换不会影响交换机的路由选路如果FW1物理接口还处于up状态比如没有断电而是进程故障交换机就会一直把流量发给FW1导致业务全断。解决办法就是改成指向VRRP虚拟IP或者给静态路由配上BFD联动。第二个原因是HRP会话同步没有生效。可以在FW2上用display hrp state查看同步状态检查会话计数是否和FW1一致。如果会话没有同步切换后所有存量连接都断了虽然新连接能建立但用户会有明显的“断线重连”体验。第三个原因是外网口VRRP没有配置。只给业务口做VRRP内网流量确实进了FW2但R1的回程流量还是发给201.1.1.2FW1的IPFW2收到回程后发现会话表里没有对应记录直接丢弃。这个坑我见过不止一次务必两个方向都做VRRP。第四个原因比较隐蔽VRRP报文被安全策略拦了。如果防火墙的区域策略过于严格导致VRRP组播报文224.0.0.18无法在接口之间传递主备之间无法互相感知状态切换自然无法触发。检查策略时要注意放行VRRP报文。4.3 问题速查表与排错指令整理一份速查表方便现场排错时对照问题现象可能原因排查命令/手段内网无法访问外网SW1默认路由未指向防火墙VRRP IPdisplay ip routing-table流量绕过防火墙直连出口备用路由优先级过高被选中调整preference检查主路由是否可达主备切换后业务中断HRP会话未同步display hrp state检查心跳链路能去不能回回程路由缺失或错误display ip routing-table 192.168.10.0主备切换不触发接口状态未down且未配置VRRPdisplay vrrp检查VRRP状态和优先级回程流量发给旧主设备外网口未配置VRRPdisplay arp确认201.1.1.254对应MAC会话同步失败心跳口配置错误或策略拦截display hrp packet检查心跳报文把这些命令背下来基本能覆盖旁挂主备的大部分排错场景。5. 生产环境落地时的一些实用建议5.1 三个值得提前想清楚的设计点做完这轮实验我自己有几个体会特别深写出来给后面搞项目的人参考。一是旁挂部署的“逃生通道”一定要留。实验里我加了SW1到R1的备用默认路由优先级调低。这样就算两台防火墙全挂网络也只是短暂中断后自动恢复直连出口而不是彻底瘫痪。真实项目里这条逃生通道的价值极大尤其适合那些不允许长时间断网的业务。二是HRP心跳链路不要和业务混跑。实验里图省事用了业务口做心跳如果业务流量一大心跳报文可能被延迟或者丢弃主备状态判断就会出偏差。生产环境建议单独拉一根物理线路或者独立的VLAN作为心跳通道带宽不需要很大关键是稳定和隔离。三是主备切换后的回切策略要想清楚。防火墙设备恢复后默认会抢占回主角色。如果频繁抖动就会导致流量在两天防火墙之间来回切换反而影响业务稳定性。可以考虑把抢占延迟调大让设备稳定运行后再回切。5.2 后续可以继续深入的方向旁挂部署学到这里只是入门后面还有不少扩展方向值得研究。比如把静态路由引流换成策略路由实现“只让部分业务走防火墙其他业务直接转发”的精细化分流。还有可以探索防火墙透明模式旁挂通过二层方式接入对现有网络的影响更小。再往上走就是体验负载均衡型的主备部署让两台防火墙同时承担不同方向的流量把硬件利用率提上来。我在实际使用中的经验是静态路由引流这套方案虽然看起来简单但只有亲手把主备切换的每个细节都验证过一遍才敢在真实环境里推广。无论是交换机的路由优先级、防火墙的VRRP配置还是HRP的会话同步任何一环掉链子都会变成现网事故。建议先把实验环境跑通再把故障切换的每一项验证到位然后再考虑上生产。