本举例是在F1000-AI-55的R8860版本上进行配置和验证的。
如下图所示，某公司以Device作为网络边界安全防护设备，连接公司内部网络和Internet。为提高业务稳定性，使用两台Device进行HA组网，Device A作为主设备，Device B作为备设备。当Device A或其链路发生故障时，由Device B接替Device A继续工作，保证业务不中断。
图-7 HA联动VRRP三层直连主备组网图
在部署HA功能之前，请先保证主/备设备的硬件环境的一致和软件环境的一致。
本举例仅用以太网接口作为控制通道和数据通道接口使用。对于设备同时拥有HA接口和以太网接口的情况，建议使用HA接口作为控制通道和数据通道接口使用，这样能够更好地保护设备的安全性和稳定性。HA接口不能作为业务接口使用。
部署HA前，请先保证主/备设备硬件环境的一致，具体要求如下：
主/备设备的型号必须一致。
主/备设备上管理接口、业务接口、控制通道接口和数据通道接口需要分别使用相互独立的接口，且所使用的相关接口编号和类型必须一致。
主/备设备上硬盘的类型、位置和数量建议一致。未安装硬盘的设备日志存储量将远低于安装了硬盘的设备，而且部分日志和报表功能不可用。
部署HA前，请先保证主/备设备软件环境的一致性，具体要求如下：
主/备设备的系统软件环境及其版本必须一致，如：Boot包、System包、Feature包和补丁包等等。
主/备设备上被授权的特征库和特性环境必须一致，如：特征库的种类，每类特征库的版本、授权时间范围、授权的资源数等等。
主/备设备的接口编号必须一致。
主/备设备之间建立HA控制通道和数据通道的接口类型、速率和编号等信息必须一致，推荐使用静态聚合接口。
主/备设备上聚合接口的编号、成员接口编号必须一致。
主/备设备相同编号的接口必须加入相同的安全域。
在HA联动VRRP的组网环境中，必须将NAT相关配置（NAT策略、NAT动态转换、NAT静态转换、NAT内部服务器）与VRRP备份组进行绑定，否则NAT无法正常工作。
在HA组网环境中，必须在SSL VPN的”全局配置”中配置SSL VPN在双机热备中传输用户数据的端口，否则SSL VPN功能在HA组网环境中不能正常使用。
SSL VPN功能仅支持在HA+VRR的主备模式下进行可靠性部署，不支持在HA的其他主备和双主模式下进行可靠性部署。
在HA透明直连双主的非对称路径组网环境中，需要使用应用安全相关业务时，必须在应用安全的“高级配置”中开启DPI业务支持双机热备功能。否则，可能会出现应用安全业务无法准确识别和处理报文的问题。
此典型配置中各设备上的具体配置步骤如下。
# 在Switch A上创建VLAN 10，并将连接Device A、Device B和Router的接口设置成工作在二层模式，接口链路类型为Access，并将此接口加入VLAN 10。
# 在Switch B上创建VLAN 10，并将连接Device A、Device B和Host的接口设置成工作在二层模式，接口链路类型为Access，并将此接口加入VLAN 10。
# 配置接口GigabitEthernet1/0/7的IPv6地址为3003::15/64。
# 配置路由信息，去往内网流量的下一跳IPv6地址为VRRP备份组1的虚拟IPv6地址3003::3/64，去往Internet流量的下一跳IPv6地址为出接口对端的IPv6地址。
配置接口的IPv6地址
# 选择“网络 > 接口 > 接口”，进入接口配置页面。
# 单击接口GE1/0/1右侧的<编辑>按钮，配置如下。
安全域：Untrust
选择“IPv6地址”页签，配置内容如下：
全球单播地址：地址为3003::1，前缀长度为64
链路本地地址：fe80::3:1
其他配置项使用缺省值
# 单击<确定>按钮，完成接口IPv6地址和安全域的配置。
# 按照同样的步骤配置接口GE1/0/2，配置如下。
加入到安全域：Trust
选择“IPv6地址”页签，配置内容如下：
全球单播地址：地址为3001::1，前缀长度为64
链路本地地址：fe80::1:1
其他配置项使用缺省值
# 按照同样的步骤配置接口GE1/0/3，配置如下。
选择“IPv6地址”页签，配置内容如下：
全球单播地址：地址为3005::1，前缀长度为64
链路本地地址：选择自动方式生成
其他配置项使用缺省值
配置路由
本举例仅以静态路由为例，若实际组网中需采用动态路由，请配置对应的动态路由协议。
# 选择“网络 > 路由 > 静态路由 > IPv6静态路由”，单击<新建>按钮，进入新建IPv6静态路由页面。
# 新建IPv6静态路由，并进行如下配置：
目的IPv6地址：0::0
前缀长度：0
下一跳IPv6地址：3003::15
其他配置项使用缺省值
# 单击<确定>按钮，完成静态路由的配置。
配置安全策略，允许所需的业务报文通过
此部分安全策略只需在主管理设备配置，HA组网完成后，从管理设备会自动同步这些安全策略配置信息。
# 选择“策略 > 安全策略 > 安全策略”，单击<新建>按钮，选择新建策略，进入新建安全策略页面。
# 新建安全策略，并进行如下配置：
名称：trust-untrust
源安全域：Trust
目的安全域：Untrust
类型：IPv6
动作：允许
源IPv6地址：3001::0/64
其他配置项使用缺省值
# 单击<确定>按钮，完成安全策略的配置。
配置安全策略，允许VRRP协议报文通过
当HA通道断开时，使Device A与Device B之间可以交换VRRP报文，进行VRRP角色竞选，保证网络互通。
此部分安全策略只需在主管理设备配置，HA组网完成后，从管理设备会自动同步这些安全策略配置信息。
# 选择“策略 > 安全策略 > 安全策略”，单击<新建>按钮，选择新建策略，进入新建安全策略页面。
# 新建安全策略，并进行如下配置：
名称：vrrp1
源安全域：Trust
目的安全域：Local
类型：IPv6
动作：允许
服务对象组：vrrp
其他配置项使用缺省值
# 单击<确定>按钮，完成安全策略的配置。
# 新建安全策略，并进行如下配置：
名称：vrrp2
源安全域：Local
目的安全域：Trust
类型：IPv6
动作：允许
服务对象组：vrrp
其他配置项使用缺省值
# 单击<确定>按钮，完成安全策略的配置。
# 新建安全策略，并进行如下配置：
名称：vrrp3
源安全域：Untrust
目的安全域：Local
类型：IPv6
动作：允许
服务对象组：vrrp
其他配置项使用缺省值
# 单击<确定>按钮，完成安全策略的配置。
# 新建安全策略，并进行如下配置：
名称：vrrp4
源安全域：Local
目的安全域：Untrust
类型：IPv6
动作：允许
服务对象组：vrrp
其他配置项使用缺省值
# 单击<确定>按钮，完成安全策略的配置。
# 选择“系统 > 高可靠性 > 双机热备”，单击<配置>按钮，进入配置双机热备页面。具体配置如下图所示。
图-25 配置双机热备
# 单击<确定>按钮，完成配置。
# 选择“系统 > 高可靠性 > VRRP”，单击<新建>按钮，进入新建VRRP备份组页面。具体配置如下图所示。
图-26 配置HA联动VRRP备份组1
图-27 配置HA联动VRRP备份组2
# 单击<确定>按钮，完成配置。
# 以上有关HA的配置部署完成后，可以配置各种安全业务。对于HA支持配置信息备份的功能模块仅需要在此主管理设备上（Device A）进行配置即可。
配置接口的IPv6地址
# 选择“网络 > 接口 > 接口”，进入接口配置页面。
# 单击接口GE1/0/1右侧的<编辑>按钮，配置如下。
安全域：Untrust
选择“IPv6地址”页签，配置内容如下：
全球单播地址：地址为3003::2，前缀长度为64
链路本地地址：fe80::3:2
其他配置项使用缺省值
# 单击<确定>按钮，完成接口IPv6地址和安全域的配置。
# 按照同样的步骤配置接口GE1/0/2，配置如下。
加入到安全域：Trust
选择“IPv6地址”页签，配置内容如下：
全球单播地址：地址为3001::2，前缀长度为64
链路本地地址：fe80::1:2
其他配置项使用缺省值
# 按照同样的步骤配置接口GE1/0/3，配置如下。
选择“IPv6地址”页签，配置内容如下：
全球单播地址：地址为3005::2，前缀长度为64
链路本地地址：选择自动方式生成
其他配置项使用缺省值
配置路由
本举例仅以静态路由为例，若实际组网中需采用动态路由，请配置对应的动态路由协议。
# 选择“网络 > 路由 > 静态路由 > IPv6静态路由”，单击<新建>按钮，进入新建IPv6静态路由页面。
# 新建IPv6静态路由，并进行如下配置：
目的IPv6地址：0::0
前缀长度：0
下一跳IPv6地址：3003::15
其他配置项使用缺省值
# 单击<确定>按钮，完成静态路由的配置。
# 选择“系统 > 高可靠性 > 双机热备”，单击<配置>按钮，进入配置双机热备页面。具体配置如下图所示。
图-28 配置双机热备
# 单击<确定>按钮，完成配置。
# 选择“系统 > 高可靠性 > VRRP”，单击<新建>按钮，进入新建VRRP备份组页面。具体配置如下图所示。
图-29 配置HA联动VRRP备份组1
图-30 配置HA联动VRRP备份组2
# 单击<确定>按钮，完成配置。
# 配置Host的默认网关为VRRP备份组2的虚拟IPv6地址3001::3。
# 在安全域Trust与Untrust的安全策略上开启记录日志功能后，当内网Host与Internet之间有流量经过时，Device A上会有日志生成，而Device B上没有日志生成。