FAQ-在双机热备组网中,防火墙的上下行设备能否选用四层交换机

发布时间:  2014-09-19 浏览次数:  97 下载次数:  0
问题描述
在双机热备组网中,防火墙的上下行设备能否选用四层交换机?
解决方案
防火墙的上下行设备可以使用四层交换机。在这种组网中,必须使用虚拟MAC地址来封装业务报文,否则主备切换后将导致业务中断。
缺省情况下,防火墙使用接口的实际MAC地址封装业务报文并转发。在防火墙与四层交换机的组网中,四层交换机建立连接状态表,记录从防火墙转发过来的报文的源MAC地址(即主用防火墙业务接口的MAC地址)。四层交换机根据连接状态表转发报文。主备切换时,四层交换机不会自动更新连接状态表中的MAC地址,因此还会将报文转发至原来的主用防火墙,导致业务中断。
使用虚拟MAC地址封装业务报文后,防火墙使用虚拟MAC地址封装业务报文并转发,四层交换机的连接状态表中记录的是虚拟MAC地址。主备切换后,四层交换机可以转发业务报文到新的主用防火墙上。
虚拟MAC地址与虚拟IP地址相对应,是防火墙根据VRID自动生成的MAC地址,其格式为:
 IPv4:00-00-5E-00-01-{VRID}
 IPv6:00-00-5E-00-02-{VRID}
在防火墙业务接口上,启用虚拟MAC地址封装业务报文的命令如下:
<sysname> system-view
[sysname] interface GigabitEthernet 1/0/1
[sysname-GigabitEthernet1/0/1] vrrp virtual-mac enable

END