在规划网络时，往往需要考虑整体网络的可靠性和可用性，通常采用一些技术手段，提高整体网络的冗余能力，避免出现单点故障。今天通过分享一个核心交换机不做堆叠的情况下防火墙热备的案例。

拓扑图

 

设计思路

1. 为了节约公网IP地址所以在防火墙接口上面配置IP地址为内网地址，同时将公网IP地址设置成为VRRP组中的虚拟地址。
2. 在防火墙A和防火墙B上使用单链路做聚合，配置好IP地址加入到HRP安全域中并指为HRP心跳检测端口。
3. 核心交换机A和核心交换机B使用多链路做聚合，再将聚合端口配置为trunk属性透传业务VLAN,在核心交换机A上配置业务VLAN网关并为VRRP组中的master。在核心交换机B上配置VLAN的网关并作为VRRP组中的slav。同时交换机上的DHCP分配都采用全局地址池方式并指定虚拟IP地址为业务网关。
4. 正常情况下流量由核心交换机A和防火墙A处理，当防火墙故障或者核心交换机故障都会戳发主备切换。
5. 防火墙A上通过配置IP-link监控外网链路或者短裤状态同时与HRP主备进行联动(防火墙上的业务端口down了或者失效的情况触发HRP主备切换)
6. 核心交换机A上通过配置VRRP组与上行端口进行联动(一旦与防火墙互联的端口down掉或者失效将会戳发vrrp主备切换)。

主备切换测试

正常的情况下流量走向

 

可以通过在PC2和PC3上进行tracert，验证流量的走向。如下图

 

主防火墙故障情况

这里通过把防火墙A关机模拟主防火墙故障

内网一台主机ping外网的测试（掉了几个包，真实情况收敛速度会快点） 备防火墙替代主防火墙的业务，快速会话同步。

 

在防火墙B上的HRP状态，通过执行display hrp state命令，如下图

 

此时防火墙上B的会话表情况，如下

 

此时核心交换机的情况

 

通过上图可以看到核心交换机A的VRRP组成为了备份状态，那么核心交换机B上的VRRP主成为了master状态。为什么会出现这种情况呢？

这是由于配置了VRRP联动，当防火墙A上的GE0/0/1端口出现故障，会触发下游的核心交换机进行主备切换，核心交换机A关键配置如下：

interface Vlanif3

 ip address 192.168.3.1 255.255.255.0

 vrrp vrid 3 virtual-ip 192.168.3.254

 vrrp vrid 3 priority 120

 vrrp vrid 3 track interface GigabitEthernet0/0/1 reduced 30

 dhcp select global

interface Vlanif4

 ip address 192.168.4.1 255.255.255.0

 vrrp vrid 4 virtual-ip 192.168.4.254

 vrrp vrid 4 priority 120

 vrrp vrid 4 track interface GigabitEthernet0/0/1 reduced 30

 dhcp select global

此时的流量走向

 

防火墙上行链路故障情况

通过把防火墙A的GE0/0/0进行shutdown来模拟故障。当GE0/0/0故障也触发了主备切换。

此时的流量走向

 

由于防火墙A上把vrrp1和vrrp2加入了master的VGMP组，当其中一个vrrp进行了主备切换，整个master的VRRP都会进行切换。

防火墙上A的关键配置

interface GigabitEthernet0/0/1

 ip address 10.0.0.2 255.255.255.0

 vrrp vrid 2 virtual-ip 10.0.0.254 master

 vrrp virtual-mac enable

interface GigabitEthernet0/0/3

 ip address 172.31.0.1 255.255.255.0

 vrrp vrid 1 virtual-ip 222.222.222.2 255.255.255.0 master

 vrrp virtual-mac enable

以上就是核心交换机不做堆叠的情况下防火墙热备的案例的讲解，感谢的小伙伴们，可以转发关注，获取网络拓扑和全部的配置。