RFC1213 定义 IpOutDiscards：路由是存在的，报文本身没有损坏，只是内核因为资源不足等原因主动丢弃，它不区分是不是 iptables 防火墙丢弃  

读数解读（H3C SecPath 防火墙 display ip statistics）

区分：Output dropped = 报文已经完成路由查找、准备往外发的时候被丢弃；no route只是其中一小部分，这里占比极低。 Input 侧 dropped 只有 27，入方向几乎没问题，丢包发生在出方向转发阶段。

高概率原因排序（防火墙 V7 平台）

1. 出接口队列拥塞、缓存 buffer 耗尽（最常见） 流量突发超过出接口带宽，报文在接口 QoS 队列尾部丢弃；防火墙业务流量大、出方向带宽瓶颈、未做 QoS 限速都会触发。 核查命令：

看接口output drops、队列丢弃计数是否同步上涨。

2. 安全策略 / 会话、ASPF、连接数限制、会话老化丢弃 报文路由查到了，但是防火墙会话表资源满、单 IP 会话上限、攻击防护（anti-flood）、长连接检测丢弃；这类丢弃统计在 IP 层 Output dropped 里，但要看会话统计。 核查：

3. ARP 解析失败（非常高频！） 路由存在、下一跳可达，但是防火墙解析不到下一跳 MAC 地址，IP 报文无法封装二层头，直接丢弃，会计入 Output dropped，不计入 no route。 核查：

看下一跳 ARP 是否为 INCOMPLETE。

4. MTU、分片相关（本图 fragment 统计全 0，基本排除）
5. 单板转发资源、FIB/FTN、芯片转发表项不足、NP 硬件队列溢出（M9000、F5000、F1000-AI 系列常见）

快速定位步骤

1. 先清统计：reset ip statistics，同时开reset counters interface，观察上涨时同步抓：
   • 接口 output drops → 链路带宽 / 队列拥塞
   • ARP 表大量不完整 → 下一跳 ARP 问题
   • session 计数持续打满 → 会话资源限制
2. display ip statistics slot X 定位是哪块板卡 / 哪个 slot 在丢包
3. 区分：IP 层 dropped ≠ 安全策略丢弃；策略丢弃在display security-policy statistics单独计数

补充关键提醒

你这个forwarding=0，说明这台设备当前统计周期内，没有三层转发报文，所有 Output 报文都是防火墙本机发出（local=1500797），也就是： 👉 大量丢包是防火墙本机自身发出的报文（比如日志、SNMP、radius、DNS、探针、系统进程流量）在出方向被丢，不是业务转发流量！ 这个点非常关键：不是用户上网业务转发丢包，是防火墙本机产生的流量发送失败。

针对 “local 很高、forwarding=0” 的定向排查

本机发出报文（local）出方向丢弃，优先查：

1. 防火墙本机出接口 ARP 能不能解析网关 MAC
2. 本机流量的出接口带宽、队列是否拥塞
3. 本机流量匹配的安全策略：防火墙本地到外部是否放行（域间策略：local 域→安全域）
4. 本机业务：日志服务器、SNMP、RADIUS、NTP 的对端是否可达