FortiGate链路聚合

1、o2011年口月FortiOS v4.3.xK 冊I!pm 匚匚 bu;l:l9209629(20 二H5tfF：:：RrinEr目录1 目的32. 碑介绍33. 般聚合原理34般聚合酉己置55故障调试76.参考9d分市淹淀区北四环西路52号中芯大凰12层电话：(010)62960376F：:：RrinEr1目的本文档针对FortiGate的链路聚合802.3ad进行说明，基于IEEE802.3ad标 准的 LACP （ Link Aggregation Control Protocol,链路汇聚控制协议）是一种 实现链路动态汇聚的协议。LACP协议通过LACPDU （ Link Aggreg

2、ation Control Protocol Data Unit,链路汇聚控制协议数据单元）与对端交互信息。2环境介绍链路聚合需要以下的设备型号及FortiOS支持FortiOS 3.0MR1-MR5:310B,620B,800或更高型号；FortiOS 3.0MR6:300A,310B,400A,500A,620B,800 或更高型号；FortiOS 4.0MR2:200B,300A,310B/400A,500A/620BZ8 0 或更高型号。本文使用2台FortiGate310B进行说明，本文支持的系统版本为FortiOSV4.0MR3 Patch2 及更高。3 链路聚合原理FortiGa

3、te链路聚合需要两个或者两个以上，最大支持到八个接口，支持混合速率接口模式，配置链路聚合的接口必须具备以下条件接口成员为物理接口，而非Vian接口；接口成员必须在同一虚拟域下；接口成员未定义ip地址，且未在策略及防火墙其他配置中被调用；接口成员没有Vian子接口；接口成员不允许为HA的心跳接口；接口成员不能是已有链路聚合成员。如果是FortiGate与其他设备互连,对方必须支持IEEE802.3ad标准。FortiGate涉及NP芯片推荐选择同一N P芯片下接口成员用于链路聚合。FortiGate的LACP的端口支持三种工作模式Passive,Active,Static。默认为Active模式

4、,可以在命令行下修改ha-a # config system interfaceha-a （interface） # edit 310B-aha-b （31 OB-a） # set lacp-modeactive actively use LACP to negotiate 802.3ad aggregation passive passively use LACP to negotiate 802.3ad aggregation staticuse static aggregation, do not send and ignore any LACPmessagesActive（主动模式）:

5、该模式下端口会主动向对端发送LACPDU报文，进行LACP协议的计算。Passive（被动模式）:该模式下端口不会主动发送LACPDU报文，在接收到对 端发送的LACP报文后该端口进入协议计算状态。Static（静态聚合）:使用静态聚合，不发送并且忽视所有LACP报文聚合链路两端接口的模式决定了该聚合链路不同的工作状态如下:ActivePassiveStaticActivePreferredFunctionalPassiveFunctionalNonfun ctionaNonfunctionalStaticNonfunctionalLeastPrefeiredLACP报文发送速度支持两种:默认

6、为Slow,可在命令行下修改:ha-a # config system in ter face ha-a (interface) # edit 310B-a ha-a (31 OB-a) # set lacp-speed d分市淹淀区北四环西路52号中芯大凰12层电话：(010)62960376F：:：RrinErfast send LACP message every secondslow send LACP message every 30 seco ndsSlow:每30秒发送LACP报文。Fast:每1秒发送LACP报文。FortiGate的LACP支持三种数据帧分配算法默认为L4,可

7、以在命令行下修改：ha-a # config system interfaceha-a (interface) # edit 31 OB-aha-a (31 OB-a) # set algorithmL2Use layer 2 address for distributionL3Use layer 3 address for distributionL4 Use layer 4 information for distributionL2:使用2层源地址和目标地址的组合决定如何分配数据帧；L3:使用3层源地址和目标地址的组合决定如何分配数,给定的数据帧如果不包含IP包头,将使用L2算法；L4:

8、如果数据帧为未分片且包含任意TCP.UDP或ESP信息的IP包头，数据帧的分配算法将基于TCP/UDP的端口或是ESP报文中的SPI值。默认使用L4算法分配数据帧。4链路聚合配置链路聚合的配置很简单住系统管理接口-新建接口将类型设置为802.3ad选择接口成员即可，此例以port5zport8为聚合端口。接匚名柠I 分*xTMTL9»a.1亓旨应web代理贡就 S.SddnS310B-a802.30 rfCKpoct3 port® portlOQQportJ port?w物匹口咸貝:eo电址模六F>PPoE9DHCP址/子网心192.168 200.1/255.255

9、 255.01500CtT.启 SDNStg：J5同样，在对端设备也同样设置，两端建立完成后，可以通过以下命令查看链路 聚合端口状态。查看链路聚合端口列表：ha-a #diagnose netlink aggregate list1 name 310B-astatus up algorithm L4 lacp-mode active查看链路聚合端口 310B-a状态ha-a # diagnose netlink aggregate name 31 OB-aLACP flags: (A|P)(S|F)(A|I)(I|O)(E|D)(E|D)(A|P) - LACP mode is Active

10、or Passive(S|F) LACP speed is Slow or Fast(A|l) - Aggregatable or Individual(l|O) Port In sync or Out of sync(E|D) Frame collection is Enabled or Disabled(E|D) Frame distribution is Enabled or Disabled status: up npu: y oid:2 ports: 2 distribution algorithm: L4 LACP mode: active LACP speed: slow LAC

11、P HA: enable aggregator ID: 1actor key: 9actor MAC address: 00:09:0f:88:a0:b7partner key: 1partner MAC address: 00:0f:e2:d8:25:75slave: port5status: uplink failure count: 0permanent MAC addr: 00:09:0f:88:a0:b7 actor state: ASAIEEpartner state: ASAIEEaggregator ID: 1slave: port8status: uplink failure

12、 count: 0permanent MAC addr: 00:09:0f:88:a0:b8 actor state: ASAIEEpartner state: ASAIEEaggregator ID: 1LACP标志说明：LACP flags: (A|P)(S|F)(A|I)(I|O)(E|D)(E|D)(A|P) - LACP mode is Active or PassiveLACP工作模式。(S|F) LACP speed is Slow or FastLACP报文发送间隔,Slow 30,Fast 1秒。(A|l) - Aggregatable or Individual端口状态。(

13、l|O) - Port In sync or Out of sync端口同步状态。(E|D) Frame collection is Enabled or Disabled数据帧收集状态。(E|D) Frame distribution is Enabled or Disabled 数据帧分配状态。5故障调试聚合链路中的成员接口出现故障时，可以通过以下命令查看端口成员状态。ha-a # diagnose netlink aggregate name 31 OB-a LACP flags: (A|P)(S|F)(A|I)(I|O)(E|D)(E|D) (A|P) LACP mode is Act

14、ive or Passive (S|F) LACP speed is Slow or Fast (A|l) Aggregatable or Individual(l|O) - Port In sync or Out of sync(E|D) Frame collection is Enabled or Disabled (E|D) Frame distribution is Enabled or Disabled status: upnpu: yoid:2ports: 2distribution algorithm: L4LACP mode: activeLACP speed: slowLAC

15、P HA: enableaggregator ID: 1actor key: 9actor MAC address: 00:09:0f:88:a0:b7partner key: 1partner MAC address: 00:0f:e2:d8:25:75slave: port5status: downlink failure count: 1permanent MAC addr: 00:09:0f:88:a0:b7actor state: AS AID D Disabledpartner state: ASIODD <-Out of sync and disableaggregator

16、 ID: 2slave: port8status: uplink failure count: 0permanent MAC addr: 00:09:0f:88:a0:b8actor state: AS Al EEpartner state: ASAIEEaggregator ID: 1此时Port5状态为down,aggregator ID为2,而Port8端口状态正常,aggregator ID为1,此时Port8将独立工作在链路聚合状态下，当Port5链路 恢复正常后，仍会加入链路聚合组继续工作。6参考Technical Note FortiGate and FortiOS support f