H3CS5570S-跨 VLAN 路由时不转发 ICMPv6 报文

针对S5570S-28S-HPWR-EI跨VLAN路由时ICMPv6报文不转发（仅首个报文例外），而UDP/TCP正常的现象，优先排查IPv6报文处理相关限制或软件缺陷。
排查步骤：
1. 确认ICMPv6类型
抓包确认不转发的ICMPv6具体类型（如NS/NA、Echo Request/Reply、错误报文）。若仅NS/NA异常，检查ipv6 nd suppress或ND代理配置。
2. 检查IPv6路由与邻接表
bash
display ipv6 routing-table
display ipv6 neighbors

确认跨VLAN目标网段路由存在且下一跳邻接项状态为REACH。
3. 检查ACL或包过滤
bash
display acl ipv6 all
display packet-filter ipv6 interface

确认是否配置了针对ICMPv6的过滤规则。
4. 检查硬件表项
bash
display ipv6 fast-forwarding cache
debug ipv6 packet (慎用，影响性能)

观察ICMPv6报文是否被CPU处理或硬件转发丢弃。
5. 验证软件版本
bash
display version

若版本较老，可能存在ICMPv6限速或表项老化缺陷，建议升级至最新稳定版本。
可能原因与处理：
ICMPv6限速机制：设备默认对ICMPv6错误报文有速率限制，首个报文通过后触发限速。调整：
bash
ipv6 icmpv6 error-interval <毫秒>

或关闭限速（不推荐生产环境）。
硬件表项异常：跨VLAN路由需同时命中IPv6路由表和邻接表，若邻接表项老化或未及时刷新，后续报文被丢弃。尝试清除邻接项：
bash
reset ipv6 neighbors

软件缺陷：部分早期版本存在ICMPv6转发异常，建议升级至R7xx或更新版本，并关注H3C官网已知问题列表。
官网路径：
访问H3C官网 → 支持 → 软件下载 → 交换机 → S5570S-EI系列，下载最新版本及版本说明书。

一、快速验证定位

1. 清除 IPv6 快转缓存，立刻再 ping6 跨 VLAN：

<H3C>reset ipv6 fast‑forwarding cache

清除缓存后，第一个 ping 包通，后面继续丢包，就是本问题。

2. 查看快转缓存，ping 的时候观察：

display ipv6 fast‑forwarding cache

可以看到 ICMPv6 短暂生成表项，后续报文无法命中快转。

3. 确认 TCP/UDP 不受影响：用 IPv6 的 telnet、nc 测试跨 VLAN，业务持续正常。

二、临时 / 永久解决方案（二选一）

方案 1（推荐，生产使用）：关闭 IPv6 快速转发

关闭快转，所有 IPv6 报文全部走 CPU 慢路径路由查表，ICMPv6 ping6 全部正常；S5570S‑EI 接入汇聚场景，IPv6 流量不大，关闭快转性能影响可接受。

system‑view undo ipv6 fast‑forwarding enable save

执行完成，再次跨 VLAN ping6，连续报文全部正常。

方案 2（不关闭快转，规避）：升级固件版本

新版本 R66xx 之后对 ICMPv6 无端口场景的快转做了优化。

• S5570S‑EI 系列，升级到R6610 及以上 IPE 版本，修复该 ICMPv6 快转匹配缺陷，不需要关闭 ipv6 fast‑forwarding。

三、排除其他干扰因素（需要核对，避免误判）

1、攻击防范 ICMPv6‑flood 防护

如果开启 ICMPv6 洪水防护，会限流丢弃 ICMPv6 报文。

#查看是否有ICMPv6‑flood丢弃计数 display attack‑defense icmpv6‑flood statistics ipv6 #如果计数持续增长，临时关闭测试 undo attack‑defense icmpv6‑flood enable

2、ND 邻居表完整性

确认两端 VLANIF 的 ND 表项完整，MAC 解析正常

display ipv6 neighbor

如果 ND 表项缺失，所有报文都会不通，而不是 “只有第一个报文通”，可以排除。

3、ACL/QoS 丢弃 ICMPv6

检查是否接口下有 ipv6 acl/qos 策略丢弃 echo‑request (128)/echo‑reply (129)

display qos policy interface Vlan‑interface xxx display current‑configuration | include ipv6 acl

4、uRPF 反向路由校验

VLANIF 接口配置ipv6 urpf strict严格 uRpf，部分场景会对 ICMPv6 误丢弃。

interface Vlan‑interface xx display this | include urpf

四、配套排查命令，用于收集信息给 400 开 case

display version display ipv6 fast‑forwarding cache display attack‑defense icmpv6‑flood statistics ipv6 display ipv6 neighbor display current‑configuration | include "ipv6 fast‑forwarding"

五、补充说明

1. 为什么 TCP/UDP 不受影响：TCP/UDP 有源目端口，五元组稳定，快转表可以持续命中；ICMPv6 没有端口，依靠 ICMP 的 Identifier 字段区分会话，老版本 ASIC 快转不识别该字段，流表匹配失效，报文被丢弃H3C。
2. 该故障不影响业务 TCP/UDP 转发，仅影响 ping6、traceroute6 这类 ICMPv6 探测工具。业务跑起来完全正常，只是 IPv6 连通性测试 ping 表现异常。
3. 如果不能关闭 ipv6 fast‑forwarding（大流量 IPv6 环境），必须升级到修复版本。

实操建议：测试环境先执行undo ipv6 fast‑forwarding enable，验证 ping6 连续报文恢复；业务稳定后，规划窗口升级设备固件，之后可以重新打开ipv6 fast‑forwarding enable。