交换机里插了防火墙卡流量怎么引过去？内联口捆绑加VLAN引流
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
流量怎么从交换机拐进卡里？
现网改造经常碰到这种需求：安全策略要统一、要过检测，但单独再买一台防火墙既占机柜位又多占端口。厂商给的答案是直接在交换机里插一块防火墙卡（NGFW Module），设备和安全能力一体化。看着省事，真到配置时很多人的第一反应是懵的——流量怎么从交换机"拐"到槽位里的卡上，检测完再拐回来？
原理不复杂：交换机与卡之间有固定的内联物理接口（卡在1号槽位时，交换机侧接口就是XGE1/1/0/0和XGE1/1/0/1），把两个内联口捆成Eth-Trunk，交换机侧配Trunk放行业务VLAN，卡侧用Dot1q终结子接口做三层转发——流量按VLAN被"引流"进卡，检测后再回来。下面按官方案例把骨架搭一遍。
交换机侧怎么配？
案例的组网：两台交换机做集群，两块防火墙卡分别插在两台交换机的1号槽位，组成主备双机；VLAN 301是内网用户、VLAN 302是服务器区、VLAN 200通外部。交换机侧两层设备只做二层，卡的上下行子接口配VRRP做网关。
交换机侧，先把集群立起来（集群卡方式，SwitchA优先级100为主），再把与卡相连的内联口收进Eth-Trunk：
[SwitchA] set css mode css-card
[SwitchA] set css id 1
[SwitchA] set css priority 100
[SwitchA] css enable
[CSS] interface eth-trunk 10
[CSS-Eth-Trunk10] description To_Module_A
[CSS-Eth-Trunk10] port link-type trunk
[CSS-Eth-Trunk10] trunkport xgigabitethernet 1/1/0/0 to 1/1/0/1
[CSS-Eth-Trunk10] undo port trunk allow-pass vlan 1
[CSS-Eth-Trunk10] port trunk allow-pass vlan 200 301 to 302
[CSS-Eth-Trunk10] quit
这最后一条放行VLAN的命令就是"引流"的本体：三个VLAN的流量都从这条捆绑链路进卡。与Module_B相连的Eth-Trunk 11对称配置，内网用户的下行口Eth-Trunk 2只放行VLAN 301。
卡侧怎么接？
卡侧（Module_A为例），内联口同样捆Eth-Trunk 1，然后按VLAN划子接口、配地址：
[Module_A] interface Eth-Trunk 1.301
[Module_A-Eth-Trunk1.301] vlan-type dot1q 301
[Module_A-Eth-Trunk1.301] ip address 10.1.0.1 24
[Module_A-Eth-Trunk1.301] quit
[Module_A] interface Eth-Trunk 1.302
[Module_A-Eth-Trunk1.302] vlan-type dot1q 302
[Module_A-Eth-Trunk1.302] ip address 10.2.0.1 24
[Module_A-Eth-Trunk1.302] quit
[Module_A] interface Eth-Trunk 1.200
[Module_A-Eth-Trunk1.200] vlan-type dot1q 200
[Module_A-Eth-Trunk1.200] ip address 10.3.0.1 24
[Module_A-Eth-Trunk1.200] quit
面板上的GE0/0/1和GE0/0/2捆成Eth-Trunk 0做心跳口；各子接口加入安全区域、配VRRP备份组（vrid 1到3，虚拟地址10.1.0.3等作为上下行网关），最后hrp interface指心跳口、hrp enable启用双机热备，主用设备的配置和会话会自动同步到备卡。子接口按区域归位后，安全策略在主卡上配一份即可生效两卡。
依据：华为官方典型配置案例（2026-11 版）。
排障从哪下手？
这类插卡方案排障有个心法：链路性故障先查内联口状态和Eth-Trunk成员口，策略性问题再看卡的会话表。内联链路虽是"机柜内几厘米"，它才是整套方案的咽喉。贵州诚鑫致达科技在数据中心改造里交付过数套插卡方案，经验是上架时就把两块卡的主备角色、VRRP规划写进标签贴在槽位旁——卡在机柜深处，一旦要应急，找得到、说得清，比什么都重要。
