企业网：核心堆叠 + 双上行到主备防火墙，OSPF+BFD 组网分析

拓扑简述： 两台核心交换机 IRF 堆叠（逻辑一台）→ 各用 1 个三层接口分别上联防火墙 FW‑A、FW‑B；防火墙为主备模式；两台 FW 都向 OSPF 下发默认路由 0.0.0.0，部署 BFD。 你的大体思路方向是行业标准主流做法，但有几处细节容易踩坑，下面梳理正确模型、差异点、全部注意事项。

一、拓扑连接与接口规划

• 核心：2 台 IRF 堆叠，逻辑单台；
• 上联：核心起两个独立三层 VLANIF（或者物理三层 route‑mode 口），分别对接 FW‑A、FW‑B

推荐用 VLANIF，物理口做 access 划入单独互联 VLAN，不要直接裸物理三层口，后期扩容更灵活。 互联网段建议两个独立三层互联网段：

• 核心 ↔ FW‑A：网段 A
• 核心 ↔ FW‑B：网段 B 不要同一个网段同时接两台防火墙，避免 ARP 混乱。

❌不建议：核心做聚合 Eth‑Trunk 同时跨接两台防火墙，防火墙主备模式不支持跨设备聚合。

二、路由部分：防火墙主备，引入默认路由进 OSPF

防火墙主备（VGMP 主备，不是负载分担）：

1. 主、备 FW 都把默认路由 0.0.0.0 以 type‑2 外部 LSA 注入 OSPF 区域

• 主防火墙：默认路由开销小；备防火墙默认路由开销大。
• 核心 OSPF 会优选主防火墙的默认路由；主 FW 故障，自动切换到备 FW 的默认路由。

关键点：VGMP 主备防火墙，不要两边发布相同 cost，否则核心会收到两条等价默认路由，产生负载分担，备机业务不通（因为备 FW 转发表不生效）。 示例：

• 主 FW：import‑route static cost 1
• 备 FW：import‑route static cost 20

三、BFD 部署（重点，很多人配置错）

你说 OSPF 配合 BFD，BFD 不是用来检测外网，BFD 检测【核心 ↔ 防火墙之间三层互联链路】。

两种 BFD 场景：

1. BFD for OSPF：检测三层直连邻居，链路光 / 网线断，OSPF 邻居快速 down，LSA 快速老化。

仅检测直连链路故障；不能检测防火墙本身整机业务故障、FW 内网接口正常但外网断的场景。

⚠️重大坑：

如果只是链路完好，但主防火墙整机故障 / 外网链路断，但 FW 和核心之间 OSPF 邻居还 UP，BFD for OSPF 不会感知，核心依然继续把流量发给故障主防火墙，网络全断。 BFD for OSPF 只能检测链路，不能检测防火墙整机、外网出口。

四、防火墙 VGMP 主备关键要点

1. VGMP 组状态：Active/Standby；只有 Active 防火墙执行业务转发，Standby 不转发业务。
2. 两台 FW 之间必须配置心跳链路（VGMP 心跳），一般用 1~2 个独立物理口做心跳，不能走业务口；心跳中断会出现双 Active（双主）灾难，内网外网全部异常。
3. 两台 FW 配置完全同步：配置自动同步、会话备份（会话快速回切）。
4. 防火墙 OSPF 进程：Standby 设备 OSPF 邻居依然可以 UP，LSA 照样向外发布，只是业务不转发。所以必须靠 cost 值抬高备机默认路由优先级，防止核心选到备机。

现象：主 FW 外网断，但 FW 内网口完好，OSPF 邻居还在，VGMP 不会切换，流量依旧丢包。 解决：防火墙配置链路健康检测（NQA/IP‑link），检测下一跳运营商网关；如果外网不通，自动降低 VGMP 优先级，强制发生主备切换。这一步绝大多数企业漏配。

五、核心 IRF 堆叠侧注意事项

1. IRF 堆叠线缆、BFD for IRF，防止堆叠分裂（双活）；堆叠分裂会产生严重广播、路由黑洞。
2. 上联防火墙两个三层互联 VLANIF，分别属于不同网段；OSPF 邻居分别建立到 FW‑A、FW‑B 两台。
3. 核心不要在这两个互联接口上做任何 STP，三层接口 STP 自动关闭。
4. 核心设备上，对来自防火墙的外部 LSA 做 LSA‑check，防止异常 LSA 冲击设备。
5. 建议核心上配置preference ase，控制外部路由优先级。

六、完整风险点清单（按工程实施优先级）

1. ✅防火墙主备两台发布 OSPF 默认路由，cost 必须不一致，主小，备大，禁止等价路由。
2. ✅配置防火墙 VGMP 心跳链路，至少一条，建议两条，防止心跳中断双 Active。
3. ✅开启防火墙 IP‑link/NQA 外网链路检测；外网运营商故障触发 VGMP 切换，弥补 BFD for OSPF 看不到外网的缺陷。
4. ✅BFD for OSPF 只检测直连三层邻居，不要指望它检测防火墙外网。
5. ✅核心与两台防火墙使用两段独立互联三层网段，不要共享同一个网段。
6. ✅IRF 堆叠做好分裂检测（BFD for IRF），防止堆叠分裂故障。
7. ✅防火墙开启会话备份，切换后尽量减少业务会话中断。
8. ✅OSPF 区域规划，核心‑防火墙互联放到 Area 0 骨干区；不要放在非 0 区域。
9. ✅防火墙需要放行 OSPF 协议报文，两台设备互相建立邻居；安全策略放行 OSPF（协议号 89）、BFD UDP 3784。

很多人邻居起不来就是域间策略拦截 OSPF/BFD 报文。

10. ✅避免防火墙做 OSPF ABR/ASBR 同时做太多其他业务，防火墙 CPU 要关注外部 LSA 数量。
11. ✅切换演练：割接完成后必须手动拔主 FW 网线、断开主 FW 外网，做主备切换测试，确认路由切换、业务恢复。

七、补充两种对比方案

1. 当前方案：FW VGMP 主备，双上联核心 IRF，OSPF 下发不同 cost 默认路由，适合绝大多数中小型企业。
2. 如果防火墙做负载分担（非主备，双活）：两台 FW 同时转发业务，核心收到两条等价默认路由，不需要 cost 差异，这个场景就不使用 VGMP 主备。

总结你的原描述修正版

两台核心 IRF 堆叠，分别用两段三层互联网段上联两台防火墙；防火墙 VGMP 主备；两台防火墙都引入默认路由进入 OSPF，主备设置不同 cost 开销；配置 BFD for OSPF 检测三层直连邻居；额外防火墙配置 IP‑link/NQA 检测外网，配置 VGMP 心跳链路，完成整套高可用。