pc业务网关在核心交换机上,现在核心交换机旁挂一台安全设备和核心交换机三层互联,需要把客户流量引入到安全设备,然后安全设备再返回流量,核心交换机继续处理,拓扑图如下
现发现pc流量通过策略路由引入到安全设备后,安全设备通过默认路由把流量返回到核心交换机,核心交换机理论上就会匹配静态路由做下一步转发了,但是实际流量又被引入了安全设备,这样就一直在安全设备和核心交换机之间环路,直到ttl减少到0
不知道是什么原因导致流量在安全设备返回到核心交换机后,核心交换机又把流量转给安全设备了。策略路由的配置如下
policy-base-route aaa permit node 5
if-match acl 3000
apply next-hop 10.10.6.2
int vlan 300
ip add 192.168.100.1
ip policy-base-route aaa
(0)
最佳答案
看样子是流量又匹配到了策略路由,又发到了防火墙上,检查一下配置是不是又匹配了到了ACL 3000
(0)
没有匹配了吧,就只有192.168.100.1这个网关有做策略路由
安全设备与核心交换机几根线互联?你这肯定是安全设备上回城路由没设置好
(0)
一根线,一对互联ip,安全设备回程路由只有一条默认路由,下一跳指向核心交换机
核心交换机的路由配置检查下,流量从安全设备到核交了,怎么匹配路由去互联网的
这个问题我遇到过,一样的现象,ping测试说TTL传输中过期,就是产生了环路。
也不是PBR的配置问题,就是华三交换机的快速负载分担机制导致的,把这个load-sharing关闭问题就解决了。
原因是这个快速负载分担默认开启,开启的情况下交换机不会以流量的入接口来标识流量,而是以5元组来标识流量,所以你从安全设备回注到交换机的流量和匹配策略路由的流量的5元组是一样的,他就一直匹配那个快速转发表,也就是一直会把流量的下一跳指向安全设备。
把这个功能关闭后,他就不仅仅根据5元组转发了,而是5元组+入接口,也就是这6元组来标识这个流量,入接口不同自然不会再将流量一直发给安全设备了。
(1)
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
抄袭了我的内容
×
原文链接或出处
诽谤我
×
对根叔社区有害的内容
×
不规范转载
×
举报说明
172.30.0.1是去互联网的,理论上192.168.100.100 这台pc上行流量进入到安全设备后,安全设备返回流量到核心,核心就会默认路由将数据转发到互联网了,但是现在是核心又将流量发给安全设备了
流量从安全设备回来再交换机上是哪个vlan?看下目的路由的下一跳地址是哪个。