1. 企业网络升级的痛点与解决方案最近帮朋友公司做网络改造时遇到个典型场景这家200人规模的企业早期网络结构非常简单——核心防火墙直连一台二层交换机所有终端设备都在同一个广播域里跑。随着业务扩张陆续出现了办公区卡顿、访客WiFi安全隐患、生产网段流量干扰等问题。更麻烦的是财务部和研发部共用一条千兆上行链路每到月底对账和代码发布时网络直接瘫痪。这种多业务混杂带宽瓶颈的问题其实可以通过链路聚合Eth-Trunk单臂路由的组合拳来解决。具体来说链路聚合把防火墙和交换机之间的多条物理链路捆绑成逻辑链路既提升带宽又实现冗余单臂路由在防火墙的聚合接口上创建子接口为不同业务VLAN提供网关服务实测下来这套方案特别适合需要同时解决带宽压力和业务隔离的中小型企业。比如下面这个拓扑[核心防火墙]--(Eth-Trunk)--[接入交换机] |--[办公PC-VLAN10] |--[访客WiFi-VLAN20] |--[生产设备-VLAN30]2. 链路聚合的三种模式选择配置Eth-Trunk时第一个要做的选择题就是工作模式。华为设备支持三种模式我挨个说说实际使用感受2.1 手工负载分担模式这是最基础的配置方式适合老旧设备组网。去年给一家工厂改造时他们的交换机还是10年前的型号只能用手工模式。配置示例[FW] interface Eth-Trunk 1 [FW-Eth-Trunk1] mode manual load-balance [FW-Eth-Trunk1] trunkport GigabitEthernet 0/0/1 to 0/0/2优点兼容性强对设备要求低缺点无法检测错连问题。有次施工队把网线接错了端口导致环路丢包排查了整整一天2.2 静态LACP模式现在企业级项目首推这个模式需要两端设备都开启LACP协议。配置时要注意系统优先级设置[FW] lacp system-priority 100 # 数值越小优先级越高 [FW] interface Eth-Trunk 1 [FW-Eth-Trunk1] mode lacp-static [FW-Eth-Trunk1] max active-linknumber 2 # 限制活动链路数量实测技巧建议把防火墙的LACP优先级设得比交换机高这样防火墙会成为LACP协商的主动方通过display eth-trunk 1可以查看哪些链路是活动状态2.3 动态LACP模式这个模式常见于服务器虚拟化场景比如和VMware ESXi对接时。不过在企业网络里用得少因为动态加入/退出链路可能引发网络波动。3. 单臂路由的精细化配置链路聚合解决带宽问题业务隔离就要靠单臂路由了。这里有个容易踩坑的地方很多人以为只要配了子接口就能互通其实还要注意以下几点3.1 子接口的VLAN终结防火墙上的每个子接口要明确指定终结的VLAN标签类似这样[FW] interface Eth-Trunk1.10 [FW-Eth-Trunk1.10] vlan-type dot1q 10 [FW-Eth-Trunk1.10] ip address 192.168.10.1 24特别注意如果交换机侧是hybrid端口需要确保放行的VLAN标签与防火墙子接口配置一致3.2 安全区域划分建议把Eth-Trunk主接口和所有子接口都加入同一个安全区域通常是trust区域[FW] firewall zone trust [FW-zone-trust] add interface Eth-Trunk1 [FW-zone-trust] add interface Eth-Trunk1.10 [FW-zone-trust] add interface Eth-Trunk1.20这样不同VLAN间的流量就会经过防火墙的安全策略检查3.3 服务管理权限默认情况下华为防火墙会禁止管理面访问子接口需要显式开启[FW-Eth-Trunk1.10] service-manage ping permit # 允许ping测试 [FW-Eth-Trunk1.10] service-manage https permit # 如果需要web管理4. 典型配置全流程演示以办公网VLAN10和访客网VLAN20隔离为例展示完整配置步骤4.1 交换机侧配置# 创建VLAN [SW] vlan batch 10 20 # 配置接入端口 [SW] interface GigabitEthernet0/0/3 [SW-GigabitEthernet0/0/3] port link-type access [SW-GigabitEthernet0/0/3] port default vlan 10 # 办公网 [SW] interface GigabitEthernet0/0/4 [SW-GigabitEthernet0/0/4] port link-type access [SW-GigabitEthernet0/0/4] port default vlan 20 # 访客网 # 配置Eth-Trunk [SW] interface Eth-Trunk1 [SW-Eth-Trunk1] port link-type trunk [SW-Eth-Trunk1] port trunk allow-pass vlan 10 20 [SW-Eth-Trunk1] trunkport GigabitEthernet 0/0/1 to 0/0/24.2 防火墙侧配置# 创建Eth-Trunk [FW] interface Eth-Trunk1 [FW-Eth-Trunk1] mode lacp-static [FW-Eth-Trunk1] trunkport GigabitEthernet 0/0/1 to 0/0/2 # 配置子接口 [FW] interface Eth-Trunk1.10 [FW-Eth-Trunk1.10] vlan-type dot1q 10 [FW-Eth-Trunk1.10] ip address 192.168.10.1 24 [FW-Eth-Trunk1.10] service-manage ping permit [FW] interface Eth-Trunk1.20 [FW-Eth-Trunk1.20] vlan-type dot1q 20 [FW-Eth-Trunk1.20] ip address 192.168.20.1 24 [FW-Eth-Trunk1.20] service-manage ping permit # 配置安全策略 [FW] security-policy [FW-policy-security] default action permit # 测试阶段可以先放通所有5. 避坑指南与验收要点最后分享几个实战中总结的经验5.1 链路聚合常见故障物理链路不匹配曾经遇到过两端光模块速率不一致一端1G一端10G导致LACP协商失败MTU值不一致建议在Eth-Trunk接口下统一设置jumbo frame[FW-Eth-Trunk1] mtu 9216 # 适用于iSCSI存储网络5.2 单臂路由排错技巧当VLAN间无法通信时按这个顺序检查display interface Eth-Trunk1查看聚合口状态display vlan确认交换机放行了正确VLANdisplay arp检查网关ARP表项ping -a 192.168.10.1 192.168.20.1指定源IP测试5.3 性能优化建议在流量大的场景下可以调整负载均衡算法[FW-Eth-Trunk1] load-balance dst-ip # 按目标IP哈希通过display eth-trunk 1 detail查看各成员链路的流量分布这套方案在某医疗集团部署后他们的PACS影像传输速度提升了3倍同时隔离了挂号系统和内部办公网。关键是要根据实际业务流量特点灵活调整聚合链路数量和子接口的安全策略