Q. 1：不，交换机（A）根本不需要路由，这就是防火墙的用途。唯一的例外是调制解调器位于不同的子网中（但这是不可能的）。

Q. 2：我会将所有交换机网关指向防火墙集群地址。他们是否可以访问互联网，以及通过哪种服务，都在您的控制之下（通过防火墙策略）。通常，您将创建一个终止于 FGT 的管理 VLAN（在您的情况下为两个）。

Q. 3：如果可能的话，放下开关 B。即使在本地分离，Fortigate 之间的 HA 链接也不应该跨活动设备运行。从技术上讲，它可以，但 HA 链路故障的风险远高于仅使用电线（光纤）。

并提供 2 个 HA 链路以实现冗余。

Q. 4：为什么选择 VRRP？FortiOS HA 提供亚秒级设备故障转移、活动链路和线路监控，甚至负载共享所需的一切。根据我的经验，与故障转移相比，VRRP 需要很长时间，并且只有在您拥有来自不同供应商的硬件时才会使用。