防火墙RBM主备HA接口故障问题

两个防火墙双主，同时处理业务，不同步表项，就有可能业务故障；但是可以配置辅助通道或者MAD

RBM控制通道断开后，两台设备都会变为主设备进行业务处理，但此时两台设备不再是HA状态，对后续的非对称流量会有影响

HA 接口断连会不会出现双主（脑裂）？

会出现双主现象（split‑brain 脑裂）H3C。

1. RBM 心跳（控制通道）完全中断，两台设备都检测不到对端；每台设备都判定 “对端故障”，两台都会切换为 Active 业务主状态；VRRP 虚拟 IP 两台同时抢占 Master，网络出现 IP/MAC 冲突、业务随机丢包、会话表不同步、部分业务不通H3C。
2. 此时 RBM 集群状态已经失效：不再做配置同步、会话表热备份，两台设备独立运行。

注意：仅单条 HA 链路断，如果配置了冗余的辅助控制通道，不会脑裂；只有全部 RBM 控制通道全部中断才触发脑裂H3C。

区分两种情况：

• ①只是物理接口 down：HA 接口协议状态 down，全部 RBM 控制通道失效 → 脑裂风险；
• ②接口物理 UP，但中间设备拦截 / 丢 RBM 心跳报文，逻辑断连，现象完全一样。

2、怎么规避 HA 链路断开后的脑裂（MAD 分裂检测，必配）

RBM 提供 MAD（Multi‑Active Detection 多活检测） 功能，专门解决心跳全部断开脑裂场景H3C。

原理：当 RBM 控制通道全部断开，设备通过独立 MAD 检测链路互相探测；识别出双主之后，强制把管理角色为 secondary（备）设备全部业务接口置为 Inactive（关闭转发），仅保留 MAD 检测接口 UP，避免两台同时转发业务。

✅MAD 配置要点：

1. MAD 使用独立物理链路，不能复用 RBM‑HA 心跳链路；
2. 支持 BFD‑MAD、ND‑MAD；V7 防火墙 RBM 推荐使用 BFD‑MAD；
3. MAD 接口不能参与业务转发，只用于分裂检测；
4. 两台设备必须都配置 MAD，缺一不可。

额外优化，降低心跳断连概率

1. 配置多条 RBM 控制通道（主 + 辅助控制通道），不要只单一根 HA 线；一条故障，另外一条还可以传递 RBM 心跳，不会发生脑裂H3C。

2. 不要把 RBM HA 心跳经过交换机跨网段透传；优先直连；如过交换机，交换机上不要做 ACL/QoS 丢弃 RBM 报文（TCP 端口 8899）。
3. 合理调整 RBM 心跳间隔，不要设置过小，防止网络抖动误判断开。

3、故障已经发生（已经脑裂双主）如何现场处理

1. 优先恢复 HA 心跳链路，修复物理接线 / 排查中间设备，恢复 RBM 控制通道连通；
2. 恢复心跳之后，两台设备重新协商 RBM 角色，secondary 设备自动回切为 standby；

⚠️心跳恢复后，备机的配置、会话表会重新从主设备同步；脑裂期间备机上新增配置会丢失。

3. 如果 MAD 已经生效，secondary 设备业务端口被强制 shutdown；心跳修复后，MAD 自动解除阻塞，接口恢复转发。

紧急规避：心跳尚未修复，业务紧急处理，Console 登录 secondary 设备，手动undo hot‑backup enable关闭 RBM 热备，仅保留一台设备承担业务。

4、日常排查命令

总结关键点

1. 只配置单根 HA 心跳线，一旦该接口 / 链路完全故障，一定会发生脑裂双主，VRRP 虚拟 IP 冲突，业务故障H3C；
2. 防护方案二选一，建议两者同时部署：
   • ①部署多条 RBM 控制通道（主 + 辅助控制通道），避免单链路故障；
   • ②必须配置独立链路的 MAD 分裂检测（BFD‑MAD），全部心跳断开时强制关闭备机业务转发，防止双主。
3. MAD 链路不能复用 HA 心跳，需要单独物理链路；
4. 故障恢复：优先修复 HA 心跳链路，集群自动恢复角色。