1686842374,CRM论坛（CRMbbs.com）——一个让用户更懂CRM的垂直性行业内容平台,CRM论坛致力于互联网、客户管理、销售管理、SCRM私域流量内容输出5年。 如果您有好的内容，欢迎向我们投稿，共建CRM多元化生态体系，创建CRM客户管理一体化生态解决方案。内容来源：知了社区mamahaha mamahaha 三段 粉丝：4人 关注：2人

问题描述：

1.客户原两台H3C防火墙为F10x0系列防火墙，因设备久远替换为F1000-AI-X系列防火墙

2.客户原H3C防火墙做的为IRF双主模式，上下联聚合，下联三层聚合口，上联二层聚合口，通过vlanif接口做nat及端口映射

3.客户目前想我们新购买的设备按照原有方式去做，跟客户说使用RBM，但是客户觉得RBM需要管理的设备增加了（客户一共购买了9台防火墙）

新设备是否可以按照原有配置做，开启会话同步之后会不会出现跨框转发丢包的情况？

客户的专线链路有三条，通过交换机分别接入到两台防火墙上，如果使用冗余组冗余口的话，防火墙到交换机有一条链路故障，

导致防火墙主备切换是否合理？

组网及组网描述：

提问

1、新开局无特殊情况不建议用IRF配置。即使要用也得联系当地H3C办事处走流程。

2、RBM不涉及冗余组问题

配合nqa等方式检查上联状态来判断出口情况

多台FW复杂组网还是联系400热线或当地H3C办事处评估下方案或技术可行性吧。减少比不要的麻烦。

回答

现在主推RBM，RBM不需要在多增加一台设备，跟之前还是一样的

如果做IRF双主，要考虑DPI业务、SSLVPN等业务不能跨框，开启会话同步的同时DNS同步和HTTP同步也需要开启

如果做冗余的话，下行接口down上行也会同时切换的，这样才能保证流量走单边

回答

客户是觉得做rbm他要同时维护两台设备，而IRF只用维护一台就行了

mamahaha

那就只能IRF了，但是双主的话业务有显示，DPI、SSLVPN这些都不能跨框，如果有这些业务建议做冗余口+冗余组

撇撇种土豆呀

你正在,防火墙IRF双主，上下联端口聚合