ER2200G3路由器 怎么设置禁止ICMP Redirect

防火墙功能

11.1  防火墙

1. 功能简介

防火墙功能是通过一系列的安全规则匹配网络中的报文，并执行相应的动作，从而达到阻断非法报文传输、正常转发合法报文的目的，为用户的网络提供一道安全屏障。

2. 注意事项

当报文匹配到一个防火墙安全规则后，则不会继续向下匹配，所以请合理安排安全规则的优先级，避免报文匹配错误的规则而导致执行相反动作。

3. 配置步骤

页面向导：网络安全→防火墙

4. 参数解释

表11-1 页面参数描述

你这是配置pbr导致的，你可以在pbr策略前，deny掉icmp的流量

你遇到的“ICMP Redirect”提示，是网络中的路由器在告知你的主机“有更优的路径可以到达目标”。在 H3C ER2200G3 上，这个功能默认是关闭的。你看到的“Redirect Host”消息，很可能来自网络中的其他设备（比如核心交换机或另一台路由器），而不是 ER2200G3 本身。

 为什么 ER2200G3 默认关闭，你还会看到提示？

ICMP 重定向是路由器的一种优化机制。当它发现一个数据包的入口和出口是同一个接口时，就会向源主机发送重定向消息，告诉它下次直接把包发给同一个网段内的另一台设备（更优的下一跳）。

在你的网络中，真正发送重定向消息的，可能是你内网的核心交换机或另一台三层设备。你的主机 192.168.1.x 在访问 192.168.8.130 时，可能先将数据包发给了网关（ER2200G3），但网络中的另一台设备（如 192.168.1.8）才是更直接的路径，所以那台设备发出了重定向通知。

 如何在 ER2200G3 上确认并关闭 ICMP 重定向？

虽然默认关闭，但我们可以主动检查并确保它处于关闭状态。

方法一：通过命令行 (CLI) 确认

1. 通过 Console 或 SSH 登录 ER2200G3。

2. 进入系统视图，然后检查当前配置：

   bash

   <H3C> system-view [H3C] display current-configuration | include redirect

   • 如果没有任何输出，说明 ICMP 重定向功能是关闭的，符合默认状态。

   • 如果输出了 ip redirects enable，则说明该功能被意外开启了。

3. 如果发现已被开启，执行以下命令关闭它：

   bash

   [H3C] undo ip redirects enable

   该命令用于关闭设备的 ICMP 重定向报文发送功能。

方法二：通过 Web 界面检查

ER2200G3 的 Web 界面可能没有直接的“ICMP 重定向”开关。你可以检查 “网络安全” → “防火墙” 或 “攻击防范” 相关设置，看是否有关于 ICMP 报文的控制选项。不过，最直接的方式还是通过命令行确认。

 根本解决：排查网络中的“重定向源”

要彻底消除这个提示，关键是找到网络中真正发送重定向消息的那台设备。

1. 定位设备：根据你提供的日志，重定向消息来自 192.168.1.1，并建议新的下一跳是 192.168.1.8。

   • 192.168.1.1 很可能就是你的 ER2200G3（作为网关）。

   • 192.168.1.8 则是网络中另一台更“直接”的路由设备。

2. 检查那台设备：登录 192.168.1.8 这台设备（可能是一台三层交换机），检查它的 ICMP 重定向配置。同样可以使用 display current-configuration | include redirect 命令，如果发现 ip redirects enable，则执行 undo ip redirects enable 关闭它。

3. 检查主机路由：有时，主机本身的路由表异常也会导致它“绕路”发送数据包，从而触发重定向。可以在出现问题的终端上执行 route print (Windows) 或 ip route (Linux) 检查路由表，确保网关设置正确。