S7500E

这个截图是客户大概的组网结构，Access接入交换机都是绑的port-channel连到两台IRF核心。

核心也是作为下方客户端的网关，当客户端之间互相通信的时候，流量先到网关核心，核心有PBR策略路由把流量转发到防火墙，防火墙会继续发给核心，再转发到目标终端。

问题是在客户进行切换演练的时候发现的，客户断开了Slot1的所有下联端口，但是防火墙的VRRP Active还在Slot1上，就无法通信。如果把Slot1连防火墙的接口关掉，切换到Slot2，就可以正常通信。

我们在防火墙抓了报，目前看流量正常到了防火墙，并且防火墙也正常的转发给核心了，而核心没抓到转发下去的报文。

所以我们觉得是跨了机框的IRF流量转发有问题。考虑到这个组网结构，一个报文到核心Slot2，通过IRF转发到Slot1，又转发到防火墙，然后防火墙转发回核心Slot1，有需要通过IRF转发到Slot2，才能最终下发到目的终端。

所以我们怀疑是不是IRF链路转发业务存在一些防环的机制。这里有大佬清楚吗？IRF是不是像M-LAG一样，转发过去的报文无法再通过IRF链路转发回来？

IRF是有防环机制的。但不一定是这个原因。

你的防火墙和核心是三层互联吗？

把交换机的快速交换和本地优先转发关了再试下。