H3C之防火墙拆堆叠升级
组网及说明
两台防火墙F1070组成IRF，做冗余主备，并配置BFD MAD 进行分裂检测。业务在deviceA上跑，若deviceA上下行链路故障，则切换到deviceB。
现要求在业务中断最短的情况下，堆叠主备防火墙从域间策略的软件版本升级至安全策略的软件版本。
现有版本为 Release R9345P14
升级版本为 Release R9333P35
配置步骤
1、收集与备份
<F1070>dir
<F1070>display version
<F1070>display irf
<F1070>display mad verbose
<F1070>save //ftp备份starup.cfg
2、 查看剩余空间，上传升级版本，复制升级版本（主备），指定为下次启动文件
<F1070>dir
<F1070>dir slot1#flash:/
<F1070>dir slot2#flash:/
<F1070>delete //删除多余文件
<F1070>reset recycle-bin //清空回收站
ftp上传版本文件
<F1070>copy flash:/ xxx.ipe slot1#flash:/
<F1070>copy flash:/ xxx.ipe slot2#flash:/
<F1070>boot-load file flash:/xxx.ipe slot 1 main //指定重启加载版本文件
<F1070>boot-load file flash:/xxx.ipe slot 2 main
<F1070>display boot-loader
3、关闭MAD检测口，shutdown主框的业务口，确认业务切换到备框， 业务测试正常后，保存配置（之后割接过程中不再保存配置）
[F1070]interface Route-Aggregation 3
[F1070-Route-Aggregation3]undo mad bfd enable
[F1070]int range g 1/0/6 to g 1/0/7
[F1070-if-range]shutdown
[F1070]save
[F1070]display redundancy group aaa
[F1070]display reth int reth 2
[F1070]dis reth int reth 2
4、断开堆叠线路，建议通过拔线方式，使堆叠分裂
<F1070>display irf
<F1070>display irf link
<F1070>display irf configuration
5、确认业务正常后，重启主框
[F1070]display redundancy group aaa
[F1070]display reth int reth 2
[F1070]display reth int reth 2
<F1070>reboot slot 1 （主框）
6、通过display system stable state确认主框板卡正常后，通过 security-policy switch-from object-policy startup.cfg xx.cfg实 现对象策略转换为安全策略，再次重启设备
<F1070>display device
<F1070>display sys stable state
[F1070]security-policy switch-from object-policy startup.cfg security-startup.cfg
<F1070>reboot slot 1
7、通过display system stable state确认主框板卡正常后， shutdown 备框业务口，同时undo shutdown主框业务口，测试业务
<F1070>display version
<F1070>display sys stable state
<F1070>display security-policy ip
[F1070]interface range g 2/0/6 to g 2/0/7 （备框）
[F1070-if-range]shutdown （备框）
[F1070]interface range g 1/0/6 to g 1/0/7 （主框）
[F1070-if-range]undo shutdown （主框）
[F1070]display redundancy group aaa
[F1070]display reth int reth 1
[F1070]display reth int reth 2
[sw1]ping 2.2.2.1
8、业务正常后，重启备框。重启过程中，恢复堆叠链路，备框重启完成后，自动加入堆叠
<F1070>reboot slot 2
注意：不要保存配置
<F1070>display device
<F1070>display irf
<F1070>display irf link
<F1070>display irf configuration
[F1070]display redundancy group aaa
[F1070]display reth int reth 1
[F1070]display reth int reth 2
9、测试业务正常后，恢复MAD线路，保存查看配置
[F1070]interface Route-Aggregation 3
[F1070-Route-Aggregation3]mad bfd enable
[F1070-Route-Aggregation3]mad ip add 192.168.2.1 24 member 1
[F1070-Route-Aggregation3]mad ip add 192.168.2.2 24 member 2
[F1070-Route-Aggregation3]quit
[F1070]display mad verbose
[F1070]save
<F1070>display version
结果验证
1、查看剩余空间
<F1070>dir
1048576 KB total (745584 KB free)
<F1070>dir slot1#flash:/
1048576 KB total (745584 KB free)
<F1070>dir slot2#flash:/
1048576 KB total (735772 KB free)
2、查看版本文件
<F1070>dis boot-loader
Software images on slot 1:
Current software images:
flash:/f1000fw-cmw710-boot-R9345P14.bin
flash:/f1000fw-cmw710-system-R9345P14.bin
Main startup software images:
flash:/f1000fw-cmw710-boot-R9333P35.bin
flash:/f1000fw-cmw710-system-R9333P35.bin
Backup startup software images:
None
Software images on slot 2:
Current software images:
flash:/f1000fw-cmw710-boot-R9345P14.bin
flash:/f1000fw-cmw710-system-R9345P14.bin
Main startup software images:
flash:/f1000fw-cmw710-boot-R9333P35.bin
flash:/f1000fw-cmw710-system-R9333P35.bin
Backup startup software images:
None
3、关闭主框业务，确认切换业务到备框
[F1070-if-range]dis redundancy group aaa
Redundancy group aaa (ID 2):
Node ID Slot Priority Status Track weight
1 Slot1 100 Secondary -255
2 Slot2 50 Primary 255
Preempt delay time remained : 0 sec
Preempt delay timer setting : 60 sec
Remaining hold-down time : 0 sec
Hold-down timer setting : 1 sec
Manual switchover request : No
Member interfaces:
Reth1 Reth2
Node 1:
Track info:
Track Status Reduced weight Interface
1 Negative 255 GE1/0/7
2 Negative(Faulty) 255 GE1/0/6
Node 2:
Track info:
Track Status Reduced weight Interface
3 Positive 255 GE2/0/7
4 Positive 255 GE2/0/6
[F1070-if-range]dis reth int reth 1
Reth1 :
Redundancy group : aaa
Member Physical status Forwarding status Presence status
GE1/0/7 DOWN(redundancy down) Inactive Normal
GE2/0/7 UP Active Normal
[F1070-if-range]dis reth int reth 2
Reth2 :
Redundancy group : aaa
Member Physical status Forwarding status Presence status
GE1/0/6 DOWN Inactive Normal
GE2/0/6 UP Active Normal
4、通过display system stable state确认主框板卡正常
<F1070>dis sys stable state
System state : Stable
Redundancy state : No redundance
Slot CPU Role State
1 0 Active Stable
5、通过display system stable state确认主框板卡正常后， shutdown
备框业务口，同时undo shutdown主框业务口，测试业务；
[F1070]dis redundancy group aaa
Redundancy group aaa (ID 1):
Node ID Slot Priority Status Track weight
1 Slot1 100 Primary 255
2 Slot2 50 Secondary 255
Member interfaces:
Reth1 Reth2
Node 1:
Track info:
Track Status Reduced weight Interface
1 Positive 255 GE1/0/7
2 Positive 255 GE1/0/6
Node 2:
Track info:
Track Status Reduced weight Interface
3 Positive 255 GE2/0/7
4 Positive 255 GE2/0/6
[F1070]dis reth int reth 1
Reth1 :
Redundancy group : aaa
Member Physical status Forwarding status Presence status
GE1/0/7 UP Active Normal
GE2/0/7 UP Inactive Normal
[F1070]dis reth int reth 2
Reth2 :
Redundancy group : aaa
Member Physical status Forwarding status Presence status
GE1/0/6 UP Active Normal
GE2/0/6 UP Inactive Normal
配置关键点
1、升级前准备
- 备份配置并收集设备运行信息、查看flash空间是否充足同时上传和复制版本文件到设备。
2、升级过程中
- boot-load file指定版本文件；
- 关闭MAD检测和主框业务口并保存配置；
- 重启主框并在主框启动完成前拔掉堆叠线；
- 先关闭备框业务口再打开主框业务口（间隔越短业务中断时间越短）；
- 确认业务正常运行后重启备框并在重启完成之前插回堆叠线（注意重启时会提示是否保存当前配置，此时一定不能保存配置）（假如备框重启完毕未能加入主框的堆叠，则可能导致转发不通等异常。）。
3、升级完成后
- 确认业务恢复情况并恢复MAD功能。
注意事项
1、为什么拆堆叠升级前要关掉mad检测
BFD来检测网络中是否存在多个IRF，IRF分裂后，通过分裂检测机制IRF会检测到网络中存在其它处于正常工作状态的IRF。
对于LACP MAD和BFD MAD检测，冲突处理会先比较两个IRF中成员设备的数量，数量多的IRF继续工作，数量少的迁移到Recovery状态（即禁用状态）。
如果成员数量相等，则主设备成员编号小的IRF继续工作，其它IRF迁移到Recovery状态。这样会使得备框迁移到Recovery状态，主备框都无业务口运行，造成业务中断
2、为什么备框重启前不要保存配置
更正：是堆叠分裂状态下所有单框重启时都不要保存配置：单框下重启保存时都会丢失堆叠状态下单独配置在其他框的配置，再堆叠同步时就会丢失。
堆叠断裂前，保存配置，主备框配置都会保存在starup文件中，接着堆叠分裂状态下单框重启时一定不要保存配置，那样最后堆叠重新启动调用starup的时候就是正常的配置。
3、Reth 口mac地址是否相同，为什么要相同
相同，在上、下行设备看来，与其连接的是以太网冗余接口，学习到的是以太网冗余接口的MAC地址。成员接口的激活状态发生变化，不会影响上、下行设备
