核心交换机存在两张路由表：①public 全局表；②vrf‑yewu 业务 VRF 表；防火墙旁挂，做平面转换 / 安全访问控制；全网 OSPF。 关键点：交换机本身不能直接做不同 VRF 之间互访，必须把跨平面流量牵引到防火墙，由防火墙完成 public 平面与 vrf‑yewu 平面之间转发；流量不能在交换机本地直接路由互通。
两种实现方案对比
表格
| 方案 | 实现原理 | 适用场景 | 风险点 |
|---|---|---|---|
| 方案 A：策略路由 PBR 引流（推荐） | 交换机匹配【public 访问 vrf‑yewu】、【vrf‑yewu 回访问 public】流量，重定向下一跳给到防火墙；防火墙做跨平面转发后回注交换机H3C。 | 流量范围可控，只把需要跨平面的流量上送防火墙，其余流量本地转发；生产首选。 | PBR 只对入方向报文生效，需要双向流量都匹配；回注流量不要再次匹配 PBR，避免环路。 |
| 方案 B：OSPF 主机路由牵引（路由方式引流） | 防火墙向交换机发布业务网段 / 公网网段 32 位主机路由，交换机查路由把流量发给防火墙。 | 适合全部流量强制过防火墙；网段多会产生大量 32 位主机路由，路由表膨胀。 | 网段多不建议；路由震荡风险大。 |
⚠️重要提醒：OSPF 邻居不能跨 VRF 直接建立；防火墙需要两个三层对接接口，一个对接交换机 public 全局平面，一个对接交换机 vrf‑yewu 业务 VRF 平面。 交换机：接口 A（global/public）对接防火墙 untrust 侧；接口 B 绑定
vrf‑yewu对接防火墙 trust 侧。
方案 A：策略路由 PBR 完整配置思路（H3C Comware V7）
1、交换机配置
1）创建业务 VRF
ip vpn-instance vrf-yewu
route-distinguisher 100:1
vpn-target 100:1 both
quit
2）两个对接防火墙的三层接口
#接口1：对接防火墙public侧，属于全局public平面
interface Vlan‑interface 100
ip address 10.100.1.1 255.255.255.252
#宣告进OSPF‑public
ospf 1 area 0
network 10.100.1.0 0.0.0.3
#接口2：对接防火墙业务vrf‑yewu侧，绑定VRF
interface Vlan‑interface 200
ip binding vpn‑instance vrf‑yewu
ip address 10.200.1.1 255.255.255.252
#OSPF在vrf‑yewu实例内建立邻居
ospf 2 vpn‑instance vrf‑yewu area 0
network 10.200.1.0 0.0.0.3
3）ACL 定义需要跨平面的流量
#ACL 3000：public全局访问业务VRF网段
acl advanced 3000
rule permit ip source 【public源网段】 destination 【vrf‑yewu业务网段】
#ACL3001：业务vrf‑yewu回访问public网段
acl advanced 3001
rule permit ip source 【vrf‑yewu业务网段】 destination 【public源网段】
4）配置策略路由 PBR
policy‑based‑route PBR‑FW‑TRANS
node 10
if‑match acl 3000
apply next‑hop 10.100.1.2 #防火墙public侧对接IP
node 20
if‑match acl 3001
apply next‑hop vpn‑instance vrf‑yewu 10.200.1.2 #防火墙业务侧对接IP
node 100 #空节点，其余流量不做PBR，正常查表转发
quit
❗PBR 应用位置：
- public 平面入方向接口应用 PBR，匹配公网过来去往业务 VRF 的流量；
- vrf‑yewu 业务平面入方向 Vlan‑interface下应用 PBR，匹配业务网段访问公网的流量。
interface Vlan‑interface 【public业务网关vlanif】 ip policy‑based‑route PBR‑FW‑TRANS interface Vlan‑interface 【vrf‑yewu业务网关vlanif】 ip policy‑based‑route PBR‑FW‑TRANS
⚠️防环路关键点： 防火墙回注给交换机的返回流量，不要再次命中 PBR；因为回包源目的已经反转，ACL 不会匹配，直接查表转发。禁止把 PBR 应用在和防火墙直连的互联 Vlan‑interface 接口。
2、防火墙配置（SecPath V7）
防火墙两个三层接口，分属不同安全域；防火墙不需要配置 VRF，依靠安全域区分两个平面。
- G1/0/1：对接交换机 public 平面，属于 Untrust 域，IP：10.100.1.2/30
- G1/0/2：对接交换机 vrf‑yewu 平面，属于 Trust 域，IP：10.200.1.2/30
1）接口加入安全域
interface GigabitEthernet 1/0/1
port link‑mode route
ip address 10.100.1.2 255.255.255.252
port‑security‑zone untrust
interface GigabitEthernet 1/0/2
port link‑mode route
ip address 10.200.1.2 255.255.255.252
port‑security‑zone trust
2）OSPF 配置，分别和交换机两个平面建邻居
#OSPF‑1：与交换机public（全局）建立邻居
ospf 1 area 0
network 10.100.1.0 0.0.0.3
#OSPF‑2：与交换机vrf‑yewu平面建立邻居
ospf 2 area 0
network 10.200.1.0 0.0.0.3
防火墙通过 OSPF 分别学习：public 公网网段、vrf‑yewu 业务网段路由。
3）安全策略（关键！允许两个平面互访）
- 策略 1：untrust → trust，允许 public 访问业务 vrf‑yewu 网段
- 策略 2：trust → untrust，允许业务 vrf‑yewu 访问 public 公网网段
4）路由回注：防火墙学到业务网段、公网网段后，回发给交换机；交换机收到回注报文，分别查找对应 VRF 路由表转发，不再触发 PBR。
方案 B：OSPF 路由牵引（不推荐大规模网段）
思路：防火墙向交换机发布业务网段的 / 32 主机路由：
- 在 public 全局 OSPF 进程，防火墙发布业务网段 / 32，下一跳指向防火墙自身；交换机 public 表收到去往业务网段的主机路由，直接发给防火墙。
- 在 vrf‑yewu 的 OSPF 进程，防火墙发布 public 公网网段 / 32；交换机 vrf‑yewu 表收到去往公网的主机路由，发给防火墙。
缺点：每一个业务网段都要发布主机路由，网段多路由表压力大，适合测试或者少量网段场景。
必看风险与排错要点
- ❌禁止交换机配置 vrf‑import 直接路由泄露。一旦交换机做路由泄露，public 与 vrf‑yewu 直接互通，流量不走防火墙，失去安全控制。
- PBR 仅对入接口收到的报文生效，本地始发流量（交换机自身 ping）不受 PBR 控制。
- 防火墙必须双向安全策略放行；会话由防火墙建立，回程流量依靠会话表转发。
- OSPF 两个进程完全隔离：交换机 public 进程只和防火墙 public 接口建邻居；交换机
ospf 2 vpn‑instance vrf‑yewu只和防火墙业务侧接口建邻居，不能混用进程。 - 验证命令：
#交换机查看策略路由是否命中
display policy‑based‑route statistics
#查看VRF路由表
display ip routing‑table vpn‑instance vrf‑yewu
#防火墙看会话表，确认跨平面流量建立会话
display session table
流量完整走向
- public 平面设备访问业务 VRF：报文进入交换机 public 网关 Vlanif → 命中 PBR → 下一跳转发给防火墙 public 接口 →防火墙 untrust‑trust 安全策略放行 →防火墙查 OSPF 路由，回注交换机
vrf‑yewu互联网段 →交换机收到报文，查找vrf‑yewu路由表，转发业务终端。 - 业务 VRF 回包：报文进入交换机业务 VRF 网关 Vlanif →命中 PBR，下一跳发给防火墙业务侧接口 →防火墙 trust‑untrust 策略放行 →回注交换机 public 互联网段 →交换机查 public 全局路由表转发公网设备。
暂无评论
zhiliao_Gixe
九段
交换机旁挂防火墙，通过OSPF引流并做平面转换，核心是VRF间路由导入和策略路由配合。
配置思路：
1. 交换机侧
创建VRF yewu，将业务网关接口划入该VRF。
与防火墙互联的接口留在public（全局路由表）。
在public和VRF yewu之间做路由互引（import）。
2. 防火墙侧
与交换机互联接口启用OSPF，加入public区域。
配置安全策略放行流量。
若防火墙需区分平面，可创建对应VRF或安全域。
关键配置示例（交换机）：
bash
创建VRF
ip vpn-instance yewu
route-distinguisher 100:1
业务网关接口绑定VRF
interface Vlan-interface 100
ip binding vpn-instance yewu
ip address 192.168.100.1 24
与防火墙互联接口（public）
interface Vlan-interface 200
ip address 10.0.0.2 30
OSPF进程（public）
ospf 1
import-route direct
area 0
network 10.0.0.0 0.0.0.3
VRF yewu的路由
ip route-static vpn-instance yewu 0.0.0.0 0.0.0.0 public 10.0.0.1
引流方式：
方式一：静态路由+路由策略
在交换机public路由表写一条指向防火墙的默认路由，同时将VRF yewu的流量通过ip route-static vpn-instance yewu ... public ...引出。
方式二：OSPF多实例
防火墙与交换机public跑OSPF，交换机VRF yewu通过静态默认路由指向public下一跳（防火墙接口地址），实现平面转换。
验证命令：
bash
display ip routing-table vpn-instance yewu
display ospf peer
display ip vpn-instance
注意： 防火墙需放行public到yewu的双向流量，且回程路由要正确（防火墙需有到yewu网段的路由，可通过OSPF引入或静态指回交换机）。
配置思路：
1. 交换机侧
创建VRF yewu，将业务网关接口划入该VRF。
与防火墙互联的接口留在public（全局路由表）。
在public和VRF yewu之间做路由互引（import）。
2. 防火墙侧
与交换机互联接口启用OSPF，加入public区域。
配置安全策略放行流量。
若防火墙需区分平面，可创建对应VRF或安全域。
关键配置示例（交换机）：
bash
创建VRF
ip vpn-instance yewu
route-distinguisher 100:1
业务网关接口绑定VRF
interface Vlan-interface 100
ip binding vpn-instance yewu
ip address 192.168.100.1 24
与防火墙互联接口（public）
interface Vlan-interface 200
ip address 10.0.0.2 30
OSPF进程（public）
ospf 1
import-route direct
area 0
network 10.0.0.0 0.0.0.3
VRF yewu的路由
ip route-static vpn-instance yewu 0.0.0.0 0.0.0.0 public 10.0.0.1
引流方式：
方式一：静态路由+路由策略
在交换机public路由表写一条指向防火墙的默认路由，同时将VRF yewu的流量通过ip route-static vpn-instance yewu ... public ...引出。
方式二：OSPF多实例
防火墙与交换机public跑OSPF，交换机VRF yewu通过静态默认路由指向public下一跳（防火墙接口地址），实现平面转换。
验证命令：
bash
display ip routing-table vpn-instance yewu
display ospf peer
display ip vpn-instance
注意： 防火墙需放行public到yewu的双向流量，且回程路由要正确（防火墙需有到yewu网段的路由，可通过OSPF引入或静态指回交换机）。
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论