关于FortiGate软件交换机作为FortiLink时的第三方设备兼容性及HA场景部署的技术问询

嘿，结合实际部署经验给你梳理下这个问题的关键点：

首先，你想用软件交换机作为FortiLink载体的思路是完全可行的——官方确实支持将FortiLink配置在LAG、硬件交换机或软件交换机这类逻辑接口上，这种方式确实能给后期端口调整带来不错的灵活性，尤其在HA场景下，只要两台FortiGate的软件交换机配置完全对称，HA集群会自动同步相关设置，整体冗余性有保障。

但重点要划个红线：非常不建议把第三方设备（服务器、非Fortinet交换机）接入同一个用作FortiLink的软件交换机，原因主要有这几点：

• FortiLink是Fortinet设备专属的控制+数据通道，里面会传递FortiSwitch的配置推送、状态监控、心跳这类专用信令。混接第三方设备后，无关的广播、未知单播流量很容易干扰这些信令的正常传输，轻则导致FortiSwitch状态异常、配置无法同步，重则直接断开FortiLink连接。
• 软件交换机的转发逻辑和物理交换机有差异，同时承载FortiLink信令和普通用户流量时，很容易出现VLAN隔离失效、广播风暴这类问题，在HA双机环境下，还可能因为双机的软件交换机转发同步引入额外的故障点。
• 官方的最佳实践里，明确要求FortiLink通道要和普通业务流量通道物理或逻辑隔离，避免互相影响。

如果想兼顾端口利用率和稳定性，给你两个实用的替代方案：

• 拆分独立通道：单独创建一个软件交换机专门用于FortiLink，只接入FortiSwitch的FortiLink端口；另外再用独立的物理端口、LAG或者新的软件交换机来连接第三方设备，完全隔离两类流量，这是最稳妥的方式。
• 迫不得已要复用端口（不推荐生产环境这么做）：可以在软件交换机内给FortiLink划分专用VLAN，配置严格的VLAN隔离规则，第三方设备使用其他独立VLAN，但即便如此，还是存在信令干扰的风险，需要做好监控和故障预案。

最后补充下HA场景的注意事项：

• 两台FortiGate的软件交换机成员端口必须对称配置，物理连接也要对应（比如FortiGate A的port1、port2加入FortiLink软件交换机，FortiGate B也要用相同的端口加入），否则HA同步会出问题。
• 建议把FortiSwitch也配置成HA模式，和FortiGate HA集群配合，形成端到端的冗余架构，避免单点故障。

备注：内容来源于stack exchange，提问作者Cat Mucius