ACG1000;T1000;F5000

防火墙 抓包分析

一、先解决你 accounting packet 命令报错问题
报错根因
语法格式错误
正确命令必须带空格分隔参数，不能直接写 accounting packet；
Comware V7 安全设备（ACG/T1000/F5000）两种统计区分
方式 1：QoS 流统计（精准逐段计数，排查丢包首选，你需要这个）
完整可复制配置（匹配内网 ping 互联网双向 ICMP 流量）
plaintext
system-view
# 1. ACL匹配双向ping流量（源内网、目的公网/虚网关）
acl advanced 3999
rule permit icmp source 192.168.0.0 0.0.0.255 destination any counting
rule permit icmp source any destination 192.168.0.0 0.0.0.255 counting
quit
# 2. 流分类绑定ACL
traffic classifier liutong_class operator and
if-match acl 3999
quit
# 3. 流行为开启报文统计（正确语法：accounting 空格 packet/byte）
traffic behavior liutong_act
accounting packet
# 可选同时统计字节
accounting byte
quit
# 4. 创建流策略绑定分类+行为
qos policy liutong_policy
classifier liutong_class behavior liutong_act
quit
关键部署规范（二层串联设备必须双向应用）
ACG/T1000/F5000 都是透明串联，上下行接口入方向都要应用流策略，才能完整统计进 / 出报文数量对比丢包：
plaintext
# 内网侧上联接口（接核心交换机）
interface GigabitEthernet 1/0/1
qos apply policy liutong_policy inbound
# 外网侧下联接口（接下一台安全设备）
interface GigabitEthernet 1/0/2
qos apply policy liutong_policy inbound
查看统计对比丢包
plaintext
# 查看接口QoS策略收包总数，对比上下游设备数值，差值=链路/设备丢包
display qos policy interface GigabitEthernet 1/0/1 inbound
display qos policy interface GigabitEthernet 1/0/2 inbound
# 清空统计重新观测
reset qos policy statistics interface GigabitEthernet 1/0/1 inbound
reset qos policy statistics interface GigabitEthernet 1/0/2 inbound
方式 2：安全策略自带统计（你说 “命中次数不准” 的原因）
安全策略 rule hit 统计仅匹配首包，回程报文不计入命中次数；ICMP ping 双向报文只会算 1 次命中，无法精准统计丢包，所以排查丢包不能依赖这个，只能用上面 QoS 流统。
开启策略完整统计命令：
plaintext
security-policy statistics rule-hit enable
# 查看策略命中
display security-policy statistics rule-hit
二、你的组网逐段丢包定位逻辑（核心拓扑：核心→ACG1000 二层→T1000 二层→F5000 RBM 主备）
分段排查顺序（从内到外，缩小丢包范围）
阶段 1：先区分丢包区间（分段 ping）
内网终端 ping 核心上联 ACG 互联地址：无丢包 → 内网无问题；丢包 = 核心交换机故障
终端 ping ACG 与 T1000 互联地址：丢包区间在【核心↔ACG】或【ACG 内部丢弃】
终端 ping T1000 与 F5000 互联地址：丢包区间在【ACG↔T1000】或【T1000 内部丢弃】
终端 ping F5000 虚网关 192.168.0.1 / 公网：丢包区间在【T1000↔F5000】或 F5000 RBM 主备问题
阶段 2：每台安全设备都部署上面 QoS 流统，数值对比定位丢包位置
举例判断逻辑：
ACG 入接口收包 1000 个，出接口转发 800 个 → ACG 内部丢包（ACG 策略 / 带宽 / 连接数限制丢弃）
ACG 出接口转发 1000 个，T1000 入接口仅收到 700 个 → ACG-T1000 之间链路丢包（网线 / 双工 CRC / 端口故障）
T1000 出入数值一致，但 F5000 入包变少 → T1000 到 F5000 链路问题
F5000 入包多、出公网包少 → F5000 NAT / 安全策略 / RBM 主备切换丢包
三、各设备专属丢包高发原因（贴合你二层串联 + RBM 组网）
1. ACG1000（二层透明）丢包诱因
应用控制策略、带宽限流、P2P / 视频缓存限流主动丢弃 ICMP 报文；
特征库检测误拦截 ICMP，开启应用日志查看丢弃记录：display acg log session
接口双工不匹配、CRC 错包：display ethernet statistics 看 error 计数持续增长
CPU / 内存过高，报文处理延迟溢出丢弃：display cpu-usage / display memory
2. T1000 流量管理网关（二层）丢包诱因
流量管控、应用优先级、带宽保障策略丢弃小包；
会话表满，新建 ICMP 会话直接丢弃：display session table summary
七层检测深度解析占用 CPU，突发流量丢包。
3. F5000 RBM 主备二层串联（最高发丢包点）
RBM 特有问题（不规律随机丢包）
主备会话同步延迟：大量并发流量时，新会话未同步到备机，主备切换瞬间会话断裂丢包；
监控 track 接口频繁震荡，主备无感知切换，短时断流；
上下行双链路上行 RBM，两台 F5000 回包路径不一致，往返报文分走主备设备，会话失效丢包；
二层透明模式下，RBM 虚拟网关 ARP 同步异常，终端 ARP 指向备机，回程报文被丢弃。
F5000 通用丢包
NAT 地址池耗尽，外网回包无地址映射丢弃；
安全策略临时会话老化、ICMP 超时时间过短；
连接数上限达到阈值，新 ICMP 报文直接丢弃。
四、辅助精准定位工具（流统无法区分丢弃原因时使用）
1. 报文示踪（packet trace，V7 防火墙 / ACG/T1000 内置）
精准查看报文在哪一业务模块被丢弃，输出丢弃原因（策略拦截、带宽超限、会话失效、RBM 同步失败）
plaintext
# 跟踪内网源ping公网所有ICMP报文
packet-trace profile icmp-test match icmp source 192.168.0.0 0.0.0.255 destination any
packet-trace start profile icmp-test duration 30
# 查看丢弃详情
display packet-trace history profile icmp-test
2. 接口底层错误统计（物理链路丢包）
plaintext
display ethernet statistics slot 1
# 持续观察CRC、Error、Drop计数是否增长
3. RBM 主备会话同步排查（仅 F5000）
plaintext
display rbm summary
display rbm session synchronization statistics
# 查看会话同步失败计数，数值持续上涨=同步丢包根源
五、极简落地操作步骤
所有设备（ACG/T1000/F5000）全部部署 QoS 双向流统，使用正确accounting packet配置；
分段 ping 定位丢包在哪两台设备之间；
对比上下游接口流统报文计数，区分是设备内部丢弃还是链路物理丢包；
对应设备开启 packet-trace 报文示踪，查看精确丢弃模块与原因；
F5000 额外检查 RBM 会话同步、track 监控、NAT 地址池资源。