防火墙rbm双主不通

您好！您遇到的现象非常典型，诊断结论也完全准确。
在 RBM（双机热备）“双主”模式下，带源地址 6.6.6.6 ping 8.8.8.8 不通，根本原因就是防火墙的状态检测机制（Session State Machine）拦截了“来回路径不一致”的报文。
以下是详细的原理剖析和针对华三防火墙的优化配置方案：
一、 为什么“双主”模式会不通？（原理剖析）
在防火墙的“双主”（Dual-Active）模式中，两台防火墙同时处于活跃状态，各自独立处理业务流量。
出方向（请求报文）：带源地址 6.6.6.6 的 Ping 请求报文到达防火墙（假设是主墙 F1090_3），主墙生成一个新的 ICMP 会话表项，并将其封装进 GRE 隧道，发送给外网交换机 S6850_1，最终到达 8.8.8.8。
入方向（响应报文）：8.8.8.8 回复的 ICMP Echo Reply 报文，根据路由表的等价路由策略，有 50% 的概率会被发送到备墙（F1090_1）。
会话表不同步导致丢包：备墙 F1090_1 收到这个回复报文时，它本地的会话表中并没有关于这个 ICMP 请求的记录（因为请求是主墙处理的，虽然 RBM 可以同步会话，但在双主并发场景下，跨设备的非对称流量很难完美同步）。默认情况下，防火墙为了安全，会直接丢弃没有匹配到会话表的报文。
结论：您关闭一台防火墙后，流量强制走单一路径，自然就不会出现来回路径不一致的问题，所以就通了 。
二、 拓扑与配置层面的优化建议
除了在防火墙上开启特定功能外，您的网络架构本身也存在一些容易导致路径错乱的设计隐患：
核心交换机（S6850_4）的等价路由隐患：
您在 S6850_4 上配置了对 8.8.8.8 的两条等价静态路由，分别指向两台防火墙。这意味着，去程流量虽然可能固定走某一台防火墙，但回程流量（从 8.8.8.8 回来）有 50% 的概率走另一台。
建议：如果业务流量不需要在防火墙上做负载分担，强烈建议去掉其中一条等价路由，强制回程流量走同一台防火墙，从根本上消除非对称路由 。
GRE 隧道的源地址配置：
请检查两台防火墙的 GRE 隧道配置。通常情况下，GRE 隧道的源地址应该使用 VRRP 虚拟 IP（如 1.1.1.1 和 2.2.2.1），而不是直接使用物理接口 IP（如 GE_0/0 的真实 IP）。使用物理 IP 在多路径环境下更容易导致路由混乱。
三、 华三防火墙“双主”非对称路径修复配置
如果您的网络架构必须保持双主双活且存在多路径，请在两台防火墙的系统视图下，依次添加以下关键配置来放行非对称流量：
1. 开启非对称路径支持（核心开关）
这是解决双主模式下非对称流量最核心的命令。它会允许防火墙在会话表不匹配的情况下，尝试根据报文的其他特征（如 NAT 映射）来放行跨设备的非对称流量 。
bash
hrp asymmetric enable
2. 开启会话快速备份
开启此功能后，防火墙会在 TCP 首包（SYN 报文）建立会话的瞬间，立即将会话信息同步给对端设备。这可以极大地降低因为同步延迟导致的丢包概率 。
bash
hrp mirror session enable
3. 确保基础的热备同步已开启
请确保您的 RBM 基础配置中已经包含了会话和配置的同步（通常在 remote-backup group 视图下） 。
bash
remote-backup group
backup-mode dual-active
hot-backup enable
session sync enable
configuration sync enable
quit
4. （可选）配置 ASP 增强功能
如果您的防火墙软件版本较新，建议开启 ASP（Application Specific Packet Filter）功能，它能进一步优化非对称路径下的会话匹配和处理 。
bash
session asp
⚠️ 实施建议与安全提示
配置前备份：在进行任何 HA（双机热备）相关配置变更前，请务必使用 save 命令保存当前配置，并导出配置文件备份。
维护窗口操作：修改 RBM 配置（尤其是开启 hrp asymmetric enable）可能会导致短暂的会话中断或丢包，建议在业务低峰期或维护窗口内执行。
安全权衡：开启非对称路径支持在一定程度上会降低防火墙的状态检测严格性。请确保您的网络边界没有其他复杂的 IPS/IDS 深度检测需求，或者在实施后重新进行安全扫描验证 。

你描述的“关闭一台防火墙接口才能通”现象，根源在于流量“非对称”：请求从防火墙A出去，但应答却从防火墙B回来。防火墙作为有状态设备，会因找不到匹配的会话而丢弃报文。

🔍 为什么会“非对称”？

在RBM双主+VRRP的组网中，两台防火墙都“活跃”，但VRRP是“一主一备”的。

• 流量走向：去程流量可能因哈希等原因，被送到VRRP的备墙（防火墙B）。

• 设备状态：防火墙B作为VRRP备，处理去程报文时会创建会话。

• 回程问题：回程流量到达网关后，根据路由可能被送到VRRP的主墙（防火墙A）。防火墙A的会话表里没有这条流的信息，因此会丢弃报文。

• 结果：你关掉一台设备后，流量路径变得对称，问题暂时消失。

🛠️ 解决方案

解决的核心是确保“来回路径一致”。按以下顺序尝试，通常能解决问题。

方案一：启用 ip last-hop hold（首选方案）

此功能强制回程流量严格遵循来时的路径返回，是解决此类问题的首选。

1. 登录两台防火墙，进入系统视图。

2. 进入连接外网的接口（如 GigabitEthernet1/0/1）。

3. 执行命令：

   text

   ip last-hop hold

4. 在连接内网的接口上重复此操作。

方案二：调整会话状态机模式（备选方案）

如果方案一无果，可尝试调整防火墙的会话检查机制。

• 在主备组网中，使用 session state-machine mode loose（宽松模式）。

• 在双主组网中，使用 session state-machine mode compact（简化模式）。

注意：此方案会降低安全检测强度，请评估风险后谨慎使用。

✅ 验证与进一步排查

配置后，按以下步骤验证：

1. 检查会话同步：确保RBM双主模式下会话正常同步。

   text

   display remote-backup-group status

2. 查看会话表项：检查特定流的会话表。

   text

   display session table ipv4 source-ip x.x.x.x destination-ip y.y.y.y verbose

3. 检查路由：确保路由配置合理，避免去程和回程指向不同设备。

4. 检查配置一致性：确保两台防火墙的RBM配置、接口IP、路由和安全策略完全一致

F1000 RBM 双主 GRE + 等价路由来回路径不一致故障
组网要点：
F1000 主、备 RBM双主模式；
每台防火墙分别与外网 S6850‑1 建立独立 GRE 隧道；S6850‑1 存在两条等价路由去往 8.8.8.8，两个 GRE 隧道作为下一跳；
内网 S6850‑4 去往 8.8.8.8 两条等价路由，分别指向两台防火墙；
现象：源 6.6.6.6 ping 8.8.8.8 不通；关闭其中一台防火墙业务接口就正常；根本原因为来回报文跨 RBM 两台设备，会话表不对称（来回路径不一致）。
根因拆解
正向流量：内网 S6850‑4 做 ECMP 负载分担，报文送到主防火墙；主防火墙创建会话表，通过本机 GRE 隧道发往 S6850‑1。
返回流量：S6850‑1 去往 6.6.6.6 存在两条等价 GRE 路由，返回报文随机选备防火墙 GRE 隧道回来。
返回报文到达备防火墙：备机没有这条会话（会话只存在主机），ASPF 状态检测丢弃报文。
⚠️RBM 双主模式：会话表不会实时同步到对端设备，只有 RBM 主备（热备）才会同步会话表；RBM 双主两台设备各自独立建立会话，无法处理对端设备发起的会话回包。
流量来回一台主、一台备，跨设备，会话不匹配，直接丢包。
补充：内网侧、外网侧两边都做 ECMP 等价路由，极大放大来回路径不一致概率。
4 种解决方案（按生产推荐优先级）
方案 1【推荐】：RBM 改为主备模式（RBM 热备）
RBM 主备模式：主设备生成会话表，会话同步到备设备；主故障，备接管。
两台防火墙仅主设备处理业务；外网交换机 S6850‑1 只保留一条 GRE 隧道指向主防火墙；备机 GRE 隧道作为备份，配合路由优先级。
缺点：同一时刻只有一台防火墙转发业务，不能同时负载分担。
方案 2【保留 RBM‑双主，内外网两侧都做策略路由 PBR，强制同流进出同一台防火墙】
双主要同时干活，必须保证同一个五元组流量，正向、返回必须命中同一台防火墙，不能跨设备。
内网 S6850‑4：对源 6.6.6.0/24 配置 PBR，一部分源网段强制下一跳主防火墙；另一部分源网段强制下一跳备防火墙，不要 ECMP 随机分担。
外网 S6850‑1：对目的 6.6.6.0/24，PBR，对应回包强制送回原来那台防火墙 GRE 隧道，禁止等价 ECMP 随机选隧道。
优点：真正双主负载分担；缺点：需要按源网段做分流规划，维护复杂度上升。
方案 3【取消外网侧 ECMP，GRE 隧道只做备份，路由优先级区分】
外网 S6850‑1：
GRE‑主：去往 6.6.6.0/24，优先级 60；
GRE‑备：去往 6.6.6.0/24，优先级 80。
正常所有回包全部走主防火墙 GRE 隧道；主故障，备 GRE 隧道生效。
内网 S6850‑4 仍然 ECMP，流量会分到两台防火墙：
👉当报文送到备防火墙，回包走主 GRE 隧道，依旧来回路径不一致，该方案只能解决一部分场景，不完整，不推荐。
方案 4【不使用 RBM 双主，改用 M‑LAG/DRNI 双活网关】
两台防火墙做 DRNI (M‑LAG) 双活，虚拟网关；业务流量由 M‑LAG 机制处理会话跨设备；
注意：防火墙 M‑LAG 对板卡、版本有硬性要求，GRE 隧道业务需要评估版本适配。
现场排查验证命令
shell
#查看会话表，流量走主机，主机有会话
display session table source‑ip 6.6.6.6 destination‑ip 8.8.8.8
#备机上查看，无对应会话
display session table source‑ip 6.6.6.6 destination‑ip 8.8.8.8
#备机查看丢包，ASPF丢弃非同步会话报文
display aspf statistics