Netgate 防火墙与华为交换机融合方案

Netgate 双机 CARP 防火墙 + 华为 S5735‑S48P4XE‑V2 CSS 堆叠双核心 高可用方案

整套架构实现外网边界防火墙、内网核心交换、链路三层全维度冗余，消除单点故障，适用于企业办公、POE 无线 AP、监控、业务服务器混合场景。

一、硬件设备级冗余，消除整机单点故障

防火墙层面双机冗余

两台 Netgate pfSense 组成 CARP 主备集群。任意一台 Netgate 整机断电、硬件损坏、系统崩溃，另一台设备自动接管业务，不会因为单台防火墙故障造成全网断外网。

对比单防火墙架构：单防火墙一旦硬件故障，整个内网全部断网；本方案规避该风险。

核心交换机整机冗余（CSS 集群）

两台 S5735‑S48P4XE‑V2 做 CSS 堆叠，一主框一备框。主交换机硬件故障、断电，备交换机自动接管全部转发业务，内网 VLAN、网关、三层转发不中断。不再依赖单台核心交换机，解决单核心整机宕机导致内网瘫痪的风险，设备之间多路径互联，无单链路瓶颈，每台 Netgate 防火墙同时上联两台核心交换机。即使其中一台核心交换机故障，防火墙流量依然可以通过另一台交换机转发；避免 “防火墙只接一台交换机，交换机坏全网断” 的链路单点故障。

二、故障自动切换，无需人工干预，业务影响极小

防火墙 CARP 切换

通过 CARP 虚拟 IP+pfsync 会话表同步。主防火墙故障，备机秒级抢占虚拟 IP；TCP 会话表同步，大部分现有业务连接尽量保留，用户几乎无感知。不需要管理员现场修改配置、插拔网线，故障发生自动完成切换。

华为 CSS 堆叠毫秒级收敛

CSS 集群内部协议实现故障收敛，主框故障，备框直接接管转发平面，收敛速度远优于传统 VRRP。下联 LACP 聚合链路自动剔除故障成员链路，业务快速恢复。

支持多 WAN 外网冗余

双 ISP 线路接入，某一条运营商外网中断，pfSense 自动切换到另外一条 ISP，内网访问互联网不受运营商线路故障影响。

价值：夜间、节假日发生硬件故障，不需要人员到场处理，业务自行维持运行，降低故障停机时长。

三、配置统一管理，降低人为运维失误风险

Netgate 配置自动同步

XMLRPC 实现主防火墙配置自动同步至备机，所有策略、NAT、VPN、端口转发只需要在主设备配置；

备机不允许手动修改配置，避免两台防火墙策略不一致导致业务异常。

华为 CSS 堆叠配置合一

两台物理交换机虚拟为一台逻辑设备，只需要一份配置。VLAN、DHCP、ACL、QoS 全部配置一次，自动同步到两台硬件。对比 VRRP 双机方案：VRRP 需要两台交换机分别写全套配置，极易出现 VLAN、ACL 配置不一致引发隐蔽故障；CSS 从根源减少配置错误。

四、支持业务不停机维护升级（在线运维）

防火墙滚动升级

整套为主备模式：先升级备用 Netgate，完成后手动切换业务到备机；再升级原来的主防火墙。全程业务不中断，实现固件版本升级零停机。

交换机滚动维护

CSS 堆叠支持单框离线维护。可以把业务流量迁移到备框，对其中一台 S5735 交换机断电、更换光模块、升级固件，另一台交换机承担全部业务，业务网络不中断。适合企业业务不能中断场景，不用等到深夜停机窗口做设备维护。

五、业务接入灵活，不同业务实现分级高可用

服务器：跨设备 LACP 聚合

业务服务器双网线分别接入两台 S5735 交换机，配置跨设备 LACP 链路聚合。任意一根网线、任意一台交换机故障，服务器网络不中断，适合 ERP、文件服务器等关键业务。

无线 AP、关键终端：双电源双归接入

重要 AP 分别接两台交换机 PoE 口，一台交换机断电，另一台继续给 AP 供电转发，无线网络持续可用。

普通办公终端

普通 PC、普通监控单 PoE 接入，满足日常使用；故障影响范围限制在直连故障交换机的设备，不会造成全网瘫痪。

六、安全防护与高可用兼顾

Netgate pfSense 作为边界，统一提供防火墙策略、NAT、入侵防御、WireGuard/IPsec VPN、流量管控；安全策略跟随 CARP 集群同步，切换之后安全策略依然完整生效。

内网华为交换机做二层三层安全：端口隔离、ACL、DHCP‑Snooping，内网安全能力随 CSS 集群冗余。

很多高可用方案只追求网络通，忽略安全；本方案边界安全 + 内网交换同时具备冗余，切换后安全策略不会失效。

七、硬件能力适配业务场景

1、 华为 S5735‑S48P4XE‑V2 自带 48 口千兆 PoE+4 万兆 SFP+

CSS 堆叠后整体转发容量提升，满足大量 PoE AP、监控摄像头供电转发；

万兆堆叠链路保障集群内部转发带宽，不会成为性能瓶颈；

  • 48 口 PoE+（30W），可给 AP、监控摄像头、IP 电话供电，整机 PoE 功率可选 600W/1000W，适合大量终端接入

  • 4 个万兆 SFP + 光口上行，不用占用业务口，直接对接汇聚 / 防火墙，满足高带宽上联，支持万兆光纤、万兆 DAC 铜缆

  • 独立硬件堆叠口（2×12GE）

  • 三电源插槽，支持 N+1 冗余备份，双电源工作，坏一个电源设备不停机，企业高可用必备

  • 1U 机架式，散热风道成熟，机房标准机架部署

2、   Netgate 双机主备，性能上限由单台设备决定，满足中小型企业边界网关需求

Netgate pfSense Plus 软件优势（Netgate 专属商业版）

a、无功能授权限制
没有按用户数、隧道数、防火墙规则收费；IPSec 隧道、多 WAN、HA 高可用、负载均衡全部内置，不需要额外买授权，对比华为、H3C、Fortinet 省大量授权费。

b、成熟高可用 HA（CARP）
支持双机热备 CARP，配置自动同步，和你两台华为 S5735 三层交换机组网完美适配；故障自动切换，适合核心边界生产环境。
注意：是状态同步高可用，会话可迁移，业务中断极短。

c、完整安全能力
状态防火墙、IDS/IPS（Suricata）、威胁过滤 Threatgate（新版替代 pfBlockerNG），IP 地理封锁、域名威胁过滤。
VPN 全协议：WireGuard、IPsec、OpenVPN，支持站点到站点、远程员工接入。
包生态丰富：流量监控、带宽管控、DNS 过滤、代理等插件。

d、现代 Web UI+CLI
新版 Go 重写 WEB 界面，上万条规则也流畅；同时支持 CLI、REST API，可 Ansible 自动化批量运维。

e、官方固件适配优化
Netgate 硬件出厂深度适配 pfSense Plus，官方持续推送安全补丁，附带 TAC Lite 技术支持

八、故障隔离，故障影响范围可控

出现故障时，故障被限制在单点硬件：

单台防火墙损坏：切换另一台，全网业务保留；

单台核心交换机损坏：集群另外一台接管，仅直连故障交换机 PoE 口设备中断，其余内网、服务器、无线网络继续运行，不会出现单点故障导致全网整体瘫痪的恶性事故。