MLAG交换机与CARP防火墙对接的LAGG端口配置方案咨询

背景与问题梳理 #

先明确下你的网络架构：两台防火墙组成CARP（Common Address Redundancy Protocol）冗余组，下联两台Mikrotik交换机的MLAG（Multi-Chassis Link Aggregation）集群，交换机上行通过LACP做跨设备链路聚合。拓扑示意如下：

VIP (WAN)
    |
-------------------------
|                         |
|                         |
------------     pfSync    ------------
| Firewall 1 | <---------> | Firewall 2 |
------------               ------------
|                         |
|                         |
|                         |
------------      MLAG     ------------
|  Switch 1  | <---------> |  Switch 2  |
------------               ------------
|                         |
-------------------------
|
LACP (LAN)

核心疑问是：连接防火墙的交换机端口该怎么配置链路聚合？

因为防火墙是独立的CARP节点，无法和交换机正常协商LACP，所以LACP方案直接排除。目前剩下active-backup（主备模式）和broadcast（广播模式）两个选项，下面逐一分析利弊并给出建议：

选项1：active-backup（主备模式） #

这种模式下，交换机仅通过一条活跃链路转发流量，另一条处于热备状态。但它的核心痛点是交换机的活跃链路必须和CARP主防火墙严格对齐：

• 如果没有自动联动机制，很容易出现「交换机活跃端口连的是CARP备防火墙」的错位情况，此时流量会发往备防火墙，而备节点不会处理CARP VIP的流量，最终导致丢包。
• 比如CARP主节点从Firewall1切换到Firewall2，但交换机的活跃端口还是指向Firewall1，所有流量都会被备节点丢弃。

选项2：broadcast（广播模式） #

这种模式下，交换机会把流量同时发往两台防火墙的端口，好处是：

• 无论哪台是CARP主节点，都能确保主节点收到流量，不需要担心链路对齐问题。

但缺点也很突出：

• 当某台防火墙临时退出CARP组（比如维护时禁用CARP），它会开始处理重复流量，导致网络中出现重复数据包，可能引发业务异常（比如重复会话、应用逻辑报错）。
• 长期运行会浪费带宽和系统资源，因为备防火墙也在接收全量流量，即使不会处理，也会占用端口带宽和CPU资源。

更优的落地建议 #

结合你的场景，我更推荐带CARP状态联动的active-backup模式，这是兼顾可靠性和资源效率的最优解：

1. 交换机侧基础配置：将两台防火墙对应的交换机端口加入同一个active-backup聚合组，默认指定某条链路为初始活跃状态。
2. 实现CARP与交换机的联动：利用防火墙的CARP状态钩子（比如pfSense的carpup/carpdown脚本），当CARP主备切换时，通过API或SSH触发交换机切换活跃端口：
   • 例如，当Firewall1成为CARP主节点时，调用Mikrotik API将Switch1的端口设为活跃；当Firewall2切换为主节点时，自动切换到Switch2的端口。
3. 兜底检测机制：如果自动化联动故障，可在交换机侧配置链路检测（比如BFD或ICMP探测CARP VIP），定期验证主节点的可达性，自动纠正活跃端口的错位问题。

如果暂时无法实现自动化联动，broadcast模式可以作为临时过渡方案，但维护时必须严格操作：退出CARP组的防火墙要同时断开对应的交换机端口，避免处理重复流量。

备注：内容来源于stack exchange，提问作者Tintin