在双机热备组网中，防火墙的上下行设备能否选用四层交换机？(可以，但必须使用虚拟MAC地址)

在双机热备组网中，防火墙的上下行设备能否选用四层交换机？(可以，但必须使用虚拟MAC地址)

防火墙的上下行设备可以使用四层交换机。在这种组网中，必须使用虚拟MAC地址来封装业务报文，否则主备切换后将导致业务中断。

缺省情况下，防火墙使用接口的实际MAC地址封装业务报文并转发。在防火墙与四层交换机的组网中，四层交换机建立连接状态表，记录从防火墙转发过来的报文的源MAC地址（即主用防火墙业务接口的MAC地址）。四层交换机根据连接状态表转发报文。主备切换时，四层交换机不会自动更新连接状态表中的MAC地址，因此还会将报文转发至原来的主用防火墙，导致业务中断。

使用虚拟MAC地址封装业务报文后，防火墙使用虚拟MAC地址封装业务报文并转发，四层交换机的连接状态表中记录的是虚拟MAC地址。主备切换后，四层交换机可以转发业务报文到新的主用防火墙上。

虚拟MAC地址与虚拟IP地址相对应，是防火墙根据VRID自动生成的MAC地址，其格式为：
IPv4：00-00-5E-00-01-{VRID}
IPv6：00-00-5E-00-02-{VRID}

在防火墙业务接口上，启用虚拟MAC地址封装业务报文的命令如下：
<sysname> system-view
[sysname] interface GigabitEthernet 0/0/1
[sysname-GigabitEthernet0/0/1] vrrp virtual-mac enable