前言

企业网络改造经常遇到一个场景：现有核心网络拓扑不想大改动，新增防火墙做安全审计、访问控制。如果直接串接防火墙，一旦防火墙故障，全网直接断网，风险很高。
业界常用方案就是防火墙旁挂核心华为交换机，使用PBR策略路由引流，搭配NQA链路探测做故障自动切换。
流量按需引流到防火墙，防火墙故障时NQA自动感知，PBR不再将流量转发到防火墙，业务直接走原有路由，实现安全与业务高可用，这也是HCIE网工高频面试+项目落地方案。

一、组网原理与角色说明

组网简述

华为核心交换机作为网络转发中心，防火墙旁挂在核心交换机，采用三层互联。内网流量通过交换机PBR策略路由，匹配指定网段后，重定向下一跳为防火墙接口；流量经过防火墙做安全检测，再回传给核心交换机转发外网。
PBR：策略路由，凌驾于普通路由表，可以自定义匹配流量，强制把指定网段流量引流到旁挂防火墙，实现选择性流量上安全设备，不用全部流量过防火墙。
NQA：网络质量探测，持续ICMP探测防火墙互联地址。一旦防火墙宕机、链路中断，NQA探测失败，PBR对应的下一跳失效，流量自动回退原始转发路径；防火墙恢复后，NQA探测成功，PBR自动重新引流，实现故障自愈。
优势对比

• 不用改动原有基础网络，割接风险低
• 防火墙故障，业务不中断
• 可以只引流关键业务流量，减轻防火墙性能压力

注意：旁挂模式，需要保证防火墙回程路由正确，极易出现路由环路，这是项目踩坑最多的点

二、完整部署思路

1. 交换机与防火墙三层互联，配置互联网段IP；防火墙配置回程路由，回指核心交换机。
2. 在华为交换机上创建ACL，匹配需要引流的内网业务网段。
3. 创建NQA探测实例，探测防火墙对接IP，持续检测链路可达性。
4. 配置PBR策略，引用ACL，重定向下一跳，绑定NQA探测实例。
5. 将PBR流策略应用在内网VLAN的入接口。
6. 业务验证、故障模拟测试、上线巡检。

三、华为交换机关键配置示例（V200R版本）

说明：仅示例，上线前按实际网段修改，生产环境建议先在模拟器验证

#1、创建NQA探测实例，检测防火墙互联地址
nqa test-instance admin fw-detect
test-type icmp-echo
destination-address ipv4 192.168.10.2 #防火墙对接交换机接口IP
frequency 1000 #探测周期1000ms
reaction 1 checked-element probe-fail threshold-type consecutive 3 action-type trigger-only start now
#2、ACL，定义需要引流的内网网段
acl number 3000
rule permit ip source 10.0.1.0 0.0.0.255
#3、创建流分类、流行为、流策略，PBR重定向+绑定NQA
traffic classifier fw-class operator and
if-match acl 3000
traffic behavior fw-behavior
redirect next-hop 192.168.10.2 track nqa admin fw-detect
traffic policy fw-policy
classifier fw-class behavior fw-behavior
#4、在内网VLANIF接口应用流策略，入方向引流
interface Vlanif 10
traffic-policy fw-policy inbound

防火墙侧配置要点：

• 配置到内网网段的回程路由，下一跳指向华为交换机互联IP；
• 放通双向安全域策略，允许引流网段流量进出；
• 关闭不必要的会话超时，保障回包正常转发。

四、验证命令（上线必查）

#查看NQA探测结果，确认探测状态
display nqa results
#查看流策略应用状态
display traffic policy interface
#查看PBR重定向配置
display traffic behavior

NQA探测结果显示success代表链路正常，PBR会执行引流；状态failed，PBR自动忽略该下一跳，流量按原始路由转发。

五、常见故障坑点（项目高频踩坑）

1. 路由环路：流量从交换机到防火墙，防火墙回包又被PBR再次引流到防火墙，形成环路。

解决：PBR只在内网入方向应用，不要在防火墙回包的接口重复应用策略路由。

2. NQA探测成功，但PBR不生效

排查：ACL是否匹配源网段；流策略是否绑定在入接口；检查交换机版本是否支持PBR+NQA联动。

3. 防火墙断电，业务没有自动切换

排查：NQA连续失败次数阈值，探测报文是否被防火墙策略拦截；确认track绑定正确。

4. 部分业务不通，小包可以、大包丢包

排查MTU，旁挂场景防火墙和交换机互联口MTU保持一致。

六、适用场景

• 企业原有核心网络稳定，新增防火墙做等保、入侵检测、上网审计；
• 不想串接防火墙，规避单点故障；
• 只需要部分业务流量过防火墙，不需要全量流量审计；
• 政企项目网络割接，要求低风险改造。

七、总结

防火墙旁挂华为交换机+PBR+NQA，是企业网络改造的经典低风险方案。PBR负责按需引流，NQA负责链路状态感知，实现故障自动旁路。
项目实施核心两点：一是控制PBR应用方向，防止环路；二是NQA探测对象与阈值合理规划，避免误切换。割接前务必模拟断电测试，验证故障切换是否符合预期。
免责声明：本文内容仅为网络工程技术学习、方案参考，上线前务必做模拟测试，根据现场实际拓扑调整配置。

FAQ（利于百度收录）

Q：PBR和静态路由+NQA有什么区别？
A：静态路由是基于目的网段转发；PBR策略路由可以基于源IP、协议等条件，选择性引流，适合旁挂防火墙按需审计流量。
Q：旁挂防火墙，流量是双向都经过防火墙吗？
A：是的，PBR把内网访问外网的流量引到防火墙，防火墙回程路由把回包送回交换机。
Q：NQA探测不通，PBR会丢弃流量吗？
A：不会。NQA探测失败，PBR这条重定向下一跳失效，数据包不再匹配重定向，交换机按照普通路由表转发，绕过防火墙。

关于墨者安全
墨者安全致力于安全防护、服务器高防、网络高防、ddos防护、cc防护、dns防护、防劫持、高防服务器、高防dns、网站防护等方面的服务，全网第一款指纹识别技术防火墙，自研的WAF指纹识别架构，提供任意CC和DDoS攻击防御