主防火墙的所有接口应出现在连接在同一网络的备份防火墙上。如前所述，不会实施不必要的失败接管，所以，任何防火墙可以延期保持ha集群的主动角色。因此，把某个设备只连接到“主”或“从”防火墙可以限制产生不期望的结果。

   

    如图所示，两台防火墙同时连接到内部和外部网络上。如果有更多的网络，如一或多个非军事保护区，或内部网段，这两台防火墙也要与这些网络连接，把“主”防火墙接入网络很可能会丢失延期的连接。