6850分片问题
- 0关注
- 0收藏，64浏览
问题描述：
设备S6850-56HF-G Version 7.1.070, Release 8307P72
M-lag组网HS
下联服务器ping打包分片报文，目的地址是网关ping不通，目的地址为其他网段的终端设备，能ping通
查看如下
<H3C>show ip statistics
Input: sum 1624265 local 1611913
bad protocol 10976 bad format 0
bad checksum 0 bad options 0
Output: forwarding 0 local 4436364
dropped 0 no route 32
compress fails 0
Fragment:input 1747 output 24
dropped 0
fragmented 12 couldn't fragment 0
Reassembling:sum 371 timeouts 0
V7.1.070 Release8307P72；现象：小包 ping 网关通，ping 大包分片访问网关不通；跨网段访问其他终端正常。
<H3C>display ip statistics
Input: sum 1624265 local 1611913
bad protocol 10976 bad format 0
bad checksum 0 bad options 0
Output: forwarding 0 local 4436364
dropped 0 no route 32
compress fails 0
Fragment:input 1747 output 24
dropped 0
fragmented 12 couldn't fragment 0
Reassembling:sum 371 timeouts 0
统计字段解读H3C
Fragment:input 1747：本机收到 1747 个 IP 分片报文；Reassembling:sum 371：成功重组完成 371 个完整 IP 报文；Reassembling:timeouts 0：重组超时计数为 0。
重点解读：timeouts=0 不等于没有故障。 M‑LAG 场景，同一个 ping 大包的分片一部分进 A 设备、一部分进 B 设备；每台设备只能收到部分分片，单台设备从来收不全整套分片，不会启动重组定时器，所以不会产生 timeout 超时计数，分片直接丢弃，不会统计到 timeouts 里面。
display ip reassemble statistics才可以看到 “缺少分片直接丢弃” 的统计，display ip statistics看不到该类丢弃。
为什么跨网段访问终端正常：跨网段属于转发流量，交换机硬件直接透传分片，交换机不做重组，分片交给终端操作系统重组，所以业务正常。 目的为本机网关 IP 的分片，必须上 CPU 重组；M‑LAG 负载分担把分片打散到两台设备，每台设备分片不全，重组失败，不回复 ICMP 应答。
再次解释：为什么 shutdown 交换机下联口故障依旧复现
交换机侧 shutdown M‑LAG 成员口，LACP 收敛存在时延，服务器 bond 短时间依旧向该网口发送报文；部分 Linux 内核在layer3+4哈希模式，即使链路为 standby 备用状态，分片依旧会 hash 到备用网卡，分片在服务器侧丢失。
✅验证手段：服务器操作系统 ifdown 禁用其中一张物理网卡，bond 只剩单条物理链路，ping 大包网关如果恢复，确定服务器 bond 哈希为根因。
解决方案
方案 1【根治，生产优先，服务器侧】
Linux bond mode=4 (802.3ad) 修改：xmit_hash_policy=layer2+3，禁止 layer3+4；Windows 网卡聚合选择源‑目的 IP 哈希，关闭四层端口参与哈希。
原理：IP 后续分片没有四层端口号，layer3+4 会将同一 IP 报文分片分发到服务器不同物理出口，分片进入 M‑LAG 两台交换机。
方案 2【交换机缓解，两台 M‑LAG 设备同时配置，不能根治】
system‑view
ip reassemble local enable
作用：分片在入单板本地重组，不再全部上送主主控；但分片分散在 M‑LAG 两台设备时，依旧重组失败，仅缓解。
排查命令
#看分片重组详细统计，看缺少分片丢弃计数
display ip reassemble statistics
#确认本地重组是否开启
display current‑configuration | include reassemble
#清除统计，复现故障后再看计数
reset ip statistics
reset ip reassemble statistics
暂无评论
1. 确认分片报文是否到达网关
在S6850上配置ACL匹配分片报文并计数：
bash
acl advanced 3000
rule 0 permit ip fragment
traffic classifier test
if-match acl 3000
traffic behavior test
counting
qos policy test
classifier test behavior test
interface Bridge-Aggregation X # 下联M-LAG聚合口
qos apply policy test inbound
ping测试后执行display qos policy interface查看计数是否增长。
2. 检查网关接口MTU及分片处理
bash
display interface Vlan-interface X # 网关VLAN接口
确认MTU值（默认1500）。若分片报文总长度超过MTU且DF位未置位，设备应正常转发；若DF位置位则丢弃并回ICMP不可达。
3. 检查M-LAG三层转发路径
bash
display mlag interface
display mlag verbose
确认网关VLAN接口在M-LAG下是否配置为peer-link透传或本地转发。分片报文首片含L4头，后续片无L4头，若M-LAG对分片哈希不均可能导致后续片走不同物理链路，需检查：
bash
display link-aggregation load-sharing mode
建议调整为基于源目IP的哈希（默认已包含IP），确保同一流分片走同一成员口。
4. 检查IP重组及防攻击策略
bash
display ip statistics # 关注reassembly相关计数
display attack-defense statistics ip fragment
若设备开启分片报文限速或重组超时时间过短，可能导致分片被丢弃。检查：
bash
display attack-defense policy
确认是否对分片报文有drop动作。
5. 对比测试
在网关VLAN接口抓包确认分片是否上送CPU：
bash
debugging ip packet acl 3000 # 谨慎使用，影响性能
或使用packet-capture功能抓取CPU收包。
关键点：ping网关时，分片报文需上送CPU处理重组，若设备对分片重组有速率限制或CPU队列拥塞，会导致丢包；而ping其他网段时分片报文仅需硬件转发，不涉及重组，因此能通。重点检查CPU队列及分片重组相关配置。
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论