6850流统问题

对于6850交换机，大包分片ping测网关时ICMP流统统计不到信息，核心原因确实是分片报文处理路径不同。
排查步骤：
1. 确认分片报文是否上送CPU：
display ip statistics # 查看分片报文计数
display cpu-usage # 观察ping大包时CPU是否有变化
2. 检查流统配置是否匹配分片报文：
display qos policy control-plane
display traffic behavior
原理说明：
小包ping（<1500字节）是完整ICMP报文，正常上送CPU处理，流统能统计到。
大包分片后，只有第一个分片包含ICMP头部信息，后续分片只有IP头。6850交换芯片对分片报文的处理策略通常是：
首片可能上送CPU
非首片由硬件转发，不上送CPU
如果流统规则匹配的是ICMP协议字段，非首片没有ICMP头，无法匹配，所以统计不到。
关键配置建议：
流统规则需要匹配分片报文，使用：
acl advanced 3000
rule permit ip fragment # 匹配所有分片
rule permit icmp # 匹配小包ICMP
或者使用：
rule permit ip source X.X.X.X 0 destination Y.Y.Y.Y 0
不指定协议，匹配所有IP报文包括分片。
大包ping不通的排查：
1. 检查MTU设置：
display interface # 查看接口MTU
2. 检查是否禁止分片：
display firewall session # 查看会话状态
3. 抓包确认分片报文是否到达交换机：
debugging ip packet # 谨慎使用，影响性能
大包ping不通通常是中间链路MTU问题或防火墙丢弃分片导致，需要逐跳排查MTU设置。

1. 小包 ping（不分片 ICMP Echo‑Request） 服务器发出完整不分片 ICMP 报文，目的 MAC 为 S6850 网关 Vlanif 的 MAC，报文上送到芯片，硬件流统 ACL 可以完整匹配五元组，流统计数上涨；报文上 CPU 应答 echo‑reply，所以流统可以看到计数。
2. 大包 ping 网关（产生 IP 分片，DF=0） 服务器发出大包，被切割成多个 IP 分片报文：

• 只有第一个分片携带四层 ICMP 头部；后续分片只有 IP 头，没有 ICMP 头部信息。
• S6850 硬件 ACL/flow‑statistics硬件无法识别非首分片里面的 ICMP 协议内容；硬件流统只能匹配 IP 协议号，无法匹配分片后的四层内容，分片报文硬件流统匹配失效，计数不上涨H3C。
• 目的是本机网关的分片报文，硬件不能直接应答 ping，必须上 CPU 进行 IP 分片重组；S6850 系列缺省ip reassemble local enable是关闭，IRF 环境分片报文要送到主主控重组；如果跨板 / 跨成员收到分片，重组失败，报文直接丢弃，表现为大包分片 ping 网关直接不通H3C。

关键点：分片报文不是转发流量，是目的本机网关；硬件流统统计不到分片；重组失败直接丢包，ping 不通。

⚠️注意：flow‑statistics是硬件流统计，不是 CPU 软件统计；display icmp statistics是 CPU 层面软件统计，二者是两套独立计数器。硬件流统看不到分片，但是display icmp statistics可以看到分片接收计数。

现象总结

1. flow‑statistics 硬件流统：只能统计完整不分片 ICMP 报文；IP 分片（包括首片）无法正常被 ACL‑流统计数。
2. 大包分片 ping 网关不通：缺省关闭本地分片重组；目的为本机的分片报文需要送主控重组，跨板收到分片会重组失败丢包，ping 无回应。
3. 小包不分片 ping：报文完整，硬件匹配流统，计数正常。

验证命令

#1、硬件流统（你配置的flow‑statistics），大包分片ping，计数不上涨 display flow‑statistics #2、CPU层面ICMP软件统计，可以看到分片报文接收，和硬件流统分开 display icmp statistics #3、查看IP分片重组配置，S6850缺省关闭 display current‑configuration | include reassemble

测试验证区分

1. 用ping -f（DF 置 1 不分片）大包测试：DF=1 不分片，报文完整，流统可以统计，但是因为超过 MTU 设备直接回复 ICMP 需要分片，ping 不通；

-f参数禁止分片，报文是完整单包，硬件可以识别 ICMP，流统计数上涨，设备回复需要分片，ping 本身不通，但是流统能看到包。

2. 普通大包 ping（DF=0 允许分片）：产生多片 IP 分片，硬件流统不计数；跨板收到分片报文重组失败直接丢弃，ping 无回复。

可行处理方案

方案 1：如需硬件流统观测 ping 网关流量

不要使用分片大包去测试流统；用小包，或者ping -f（DF=1 禁止分片）测试，保证报文是完整单包，硬件 ACL 流统才能正常匹配计数。

分片报文属于芯片硬件限制，flow‑statistics 硬件流统无法统计 IP 分片，无法通过修改 ACL 解决。

方案 2：希望 S6850 网关可以正常应答分片大包 ping（解决大包 ping 不通）

⚠️IRF 堆叠场景开启有风险：分片来自不同单板 / 不同 IRF 成员依然重组失败。

system‑view ip reassemble local enable

开启本地重组，本单板收到的分片可以在接口板完成重组，不再全部上交主控，本板接入服务器大包分片 ping 网关可以通；跨板 / 跨 IRF 成员收到分片依旧会重组失败丢包，该限制硬件无法规避H3C。

方案 3：如果想看分片 ICMP 报文计数，放弃硬件 flow‑statistics，使用

display icmp statistics，这是 CPU 层面软件统计，可以统计分片报文。