企业级高可用网络架构：双机热备与链路聚合实战指南

在企业生产环境中，为了防止单点故障（Single Point of Failure），我们通常会采用**双机热备（High Availability, HA）配合链路聚合（Link Aggregation）**的方案。

本文将基于以下拓扑结构，详细讲解如何在交换机与防火墙之间实现高可靠性的组网配置。

一、 拓扑分析

根据拓扑图，我们的架构分为三层：

1. 上层交换机 (Core/Aggregation Switch)： 负责接入外部或上层网络。

2. 防火墙集群 (HA Cluster)： 两台防火墙通过心跳线（HA线）连接，实现状态同步。

3. 下层交换机 (Access Switch)： 接入终端设备。

关键设计点：

• 链路聚合 (Eth-Trunk)： 交换机与防火墙之间采用多条物理链路绑定，增加带宽的同时实现链路级冗余。

• 双机热备 (HA/HRP)： 防火墙之间运行心跳协议，确保一台宕机时，业务秒级切换到另一台。

  设备名称	物理接口	逻辑接口	连接对象
  上层交换机	G0/0/5, G0/0/6	Eth-Trunk 1	连接防火墙 LAN3 聚合组
  防火墙 A/B	LAN3 (聚合口)	Eth-Trunk 1	连接上层交换机
  防火墙 A/B	LAN4 (聚合口)	Eth-Trunk 2	连接下层交换机
  下层交换机	G0/0/23, G0/0/24	Eth-Trunk 1	连接防火墙 LAN4 聚合组
  心跳线	专用心跳口	HA Link	防火墙 A <-> 防火墙 B

  注意：演示图为2组 8根物理连接 ，实际测试配置为2组 4根物理连接。

  三、 核心配置步骤

  以下配置以通用命令行（如华为/华三风格）为例。

  1. 交换机侧：配置链路聚合

  在上层和下层交换机上，我们需要将连接防火墙的两个端口捆绑。

  上层交换机配置：

  interface Eth-Trunk 1
   mode lacp-static       # 采用LACP模式
   trunkport GigabitEthernet 0/0/5 to 0/0/6
   port link-type trunk
   port trunk allow-pass vlan 10 20
  

  下层交换机配置：

  interface Eth-Trunk 1
   mode lacp-static
   trunkport GigabitEthernet 0/0/23 to 0/0/24
   port link-type access
   port default vlan 10
  

  2. 防火墙侧：配置业务口链路聚合

  在两台防火墙上执行对称配置，创建聚合接口对接交换机。

  3. 防火墙侧：配置双机热备 (HA)

使两台防火墙逻辑上合二为一。

四、 验证与测试

配置完成后，必须进行以下各项测试以确保系统可靠：

1. 链路冗余测试：

   • 拔掉上层交换机 G0/0/5 的网线。

   • 预期结果： 业务不中断，Eth-Trunk 1 状态变为 Partial，流量自动切换到 G0/0/6。

2. 设备冗余测试：

   • 手动关闭防火墙 A 的电源或重启。

   • 预期结果： 防火墙 B 瞬间从 Standby 变为 Active，PC 访问网络仅有 1-2 个丢包。

3. 状态检查命令：

   • 查看聚合状态：display eth-trunk 1

   • 查看双机状态：display hrp state