F100-C-G5主备配置，自动关闭接口

端口联通，你配置RBM然后track接口也能实现你这个功能

F100‑C‑G5 主备 RBM，上行故障自动关闭下行接口
现象：主设备上行接口断开，VRRP 优先级下降，但下行接口物理 UP，上游交换机继续把流量发给故障主墙，形成流量黑洞，不会切备机。
F100‑C‑G5 是 RBM 双机热备，不要用交换机的 monitor‑link-group，防火墙使用 hrp track interface 监控接口，监控到上行接口故障，RBM 会把本设备全部业务接口设置为转发不可用（逻辑 down，不是物理 shutdown），上游交换机感知链路二层状态变化，流量切到备防火墙。
⚠️注意：不是物理 shutdown 接口，是 RBM 模块置接口转发状态为 inactive，二层协议 down，交换机端口会 down，达到同样效果。
配置命令（两台防火墙都要配置）
plaintext
system‑view
hrp enable

# 监控上行接口（外网接口，示例G1/0/0，替换成你的真实上行口）
hrp track interface GigabitEthernet 1/0/0
当被监控的上行接口物理状态 Down，RBM 把本设备所有业务接口转发能力关闭；上游交换机检测到链路 down，转发全部切换到备防火墙。上行恢复，接口自动恢复转发。
多条上行链路，多个上行口全部要加入 hrp track interface：
plaintext
hrp track interface GigabitEthernet 1/0/0
hrp track interface GigabitEthernet 1/0/1
只要任意一个被监控接口 up，接口转发保持；所有被监控接口全部 down，RBM 关闭本设备业务转发。
如果你是 VRRP 组网（没有开启 RBM 双机热备，只用纯 VRRP）
纯 VRRP 模式，防火墙没有接口自动 down 的能力，只能做优先级降低：
plaintext
#下行VRRP接口下，监控上行接口，上行断优先级降低
interface GigabitEthernet1/0/2
vrrp vrid 1 track interface GigabitEthernet1/0/0 reduced 50
缺点：只降 VRRP 优先级，不会关闭下行接口。如果上游交换机不检测 VRRP 状态，依旧往老 master 发流量，产生黑洞。
✅F100‑C‑G5 做业务主备，强烈建议开启RBM 双机热备 + hrp track interface，解决黑洞问题。
完整 RBM 主备简要配置参考
plaintext
#主墙
hrp enable
hrp device‑role primary
hrp interface GigabitEthernet1/0/5 remote 10.0.0.2 #hrp心跳口
hrp track interface GigabitEthernet1/0/0 #监控上行外网口

#备墙
hrp enable
hrp device‑role secondary
hrp interface GigabitEthernet1/0/5 remote 10.0.0.1
hrp track interface GigabitEthernet1/0/0
验证命令
bash
display hrp state
display hrp track
当上行接口断开，display hrp state看到本设备状态变成Invalid，业务接口转发关闭。
关键注意点
hrp track interface两台防火墙必须完全相同配置，监控同样的上行接口。
hrp track 监控的是物理接口物理状态；如果是光模块故障、网线断开可以触发；如果只是三层不通、运营商故障（接口物理还 up），hrp track 不会触发。
如果需要检测三层连通性（运营商断，接口还 up），需要搭配 NQA+track，结合 RBM 冗余组。
hrp track 触发后，接口是逻辑转发关闭，不是命令行 shutdown，物理灯仍然亮，但是二层协议 down，上联交换机端口 down，流量切备机。
不要和 VRRP track 优先级降低混用做黑洞规避；解决黑洞优先使用 hrp track interface。
补充：需要检测三层连通性（接口 up，但外网断）
需要用redundancy‑group冗余组 + NQA track 检测网关可达性，权重降为 0 触发整机业务倒换，适合运营商链路故障场景。