• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 全部
  • 全部
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
高级搜索

SecPath ACG1000-PE acg突然业务不通

2021-05-30 发表
  • 0关注
  • 0收藏,28浏览
粉丝:0人 关注:0人

组网及说明

组网:如图,acg旁挂核心,从防火墙出去访问公网,olt下面为内网用户

户业务流向:用户(olt)--核心--ACG1000—核心----防火墙---公网   回来:公网-防火墙-核心-acg-核心-用户

 


问题描述

现场组网如上图所示。75E作为网关,旁挂ACG,上联FW

业务流量走向为,终端访问外网时,报文从终端到了olt,然后到达网关75E设备,然后网关75E会通过缺省路由将报文通过bagg 7发给ACG设备,ACG设备上写了缺省路由,下一跳为FWvlan 1002地址172.16.20.1,然后ACG将报文发给75E,由于目的macFW的地址,所以在75E上为二层转发,然后发给FWFW再发给其他设备,出外网。

        核心172.16.20.3 vlan1002 bag71/0/27,2/0/27-------acg 172.16.20.2 agg0------核心 bag11/0/25,2/0/25-----bag1(1/0/24,1/0/25) f1070  172.16.20.1---1/0/23 123.155.153.50出口

   故障时:发现内网IP无法访问外网。


过程分析

1、通过核心S7506更改路由走向,跳过ACG,业务恢复正常


2、然后现场用OLT上同网段地址去ping 114.114.114.114发现,ping 5个包,在bagg 7上会有300多个包。

Interface: Ten-GigabitEthernet1/0/27

  Direction: Inbound

  Policy: ltj

   Classifier: ltj

     Operator: AND

     Rule(s) :

      If-match acl 3000

     Behavior: ltj

      Accounting enable:

        322 (Packets)

        0 (pps)

 

Interface: Ten-GigabitEthernet1/0/27

  Direction: Outbound

  Policy: ltj

   Classifier: ltj

     Operator: AND

     Rule(s) :

      If-match acl 3000

     Behavior: ltj

      Accounting enable:

        321 (Packets)

        0 (pps)

Interface: Ten-GigabitEthernet2/0/27

  Direction: Inbound

  Policy: ltj

   Classifier: ltj

     Operator: AND

     Rule(s) :

      If-match acl 3000

     Behavior: ltj

      Accounting enable:

        313 (Packets)

        0 (pps)

 

Interface: Ten-GigabitEthernet2/0/27

  Direction: Outbound

  Policy: ltj

   Classifier: ltj

     Operator: AND

     Rule(s) :

      If-match acl 3000

     Behavior: ltj

      Accounting enable:

        314 (Packets)

        0 (pps)


3、在acgdebug看有ttl=1丢弃的告警。

ACG 上的debug信息

<2021-05-17 00:34:30> Packet dropped 192.168.13.89:64630 -> 221.12.33.227:53 UDP len 64: ttl 1 is too small, send back icmp packet

<2021-05-17 00:34:30> Packet dropped 192.168.13.192:33469 -> 221.12.1.227:53 UDP len 64: ttl 1 is too small, send back icmp packet

<2021-05-17 00:34:30> Packet dropped 192.168.13.192:42695 -> 221.12.1.227:53 UDP len 64: ttl 1 is too small, send back icmp packet

<2021-05-17 00:34:30> Packet dropped 192.168.11.140:45177 -> 221.12.1.227:53 UDP len 68: ttl 1 is too small, send back icmp packet

<2021-05-17 00:34:30> Packet dropped 192.168.11.140:21384 -> 221.12.33.227:53 UDP len 68: ttl 1 is too small, send back icmp packet

<2021-05-17 00:34:30> Packet dropped 192.168.15.47:28565 -> 114.114.114.114:53 UDP len 60: ttl 1 is too small, send back icmp packet

<2021-05-17 00:34:30> Packet dropped 192.168.10.161:46070 -> 221.12.1.227:53 UDP len 61: ttl 1 is too small, send back icmp packet

<2021-05-17 00:34:30> Packet dropped 192.168.9.239:53436 -> 114.114.114.114:53 UDP len 62: ttl 1 is too small, send back icmp packet

<2021-05-17 00:34:30> Packet dropped 192.168.14.8:62158 -> 180.76.76.76:53 UDP len 60: ttl 1 is too small, send back icmp packet

<2021-05-17 00:34:30> Packet dropped 192.168.9.199:53436 -> 221.12.1.227:53 UDP len 62: ttl 1 is too small, send back icmp packet

<2021-05-17 00:34:30> Packet dropped 192.168.9.199:53436 -> 221.12.33.227:53 UDP len 62: ttl 1 is too small, send back icmp packet

<2021-05-17 00:34:30> Packet dropped 192.168.14.8:37557 -> 221.12.33.227:53 UDP len 60: ttl 1 is too small, send back icmp packet


定位报文在acg和核心之间来回互扔。

解决方法

通过查看交换机配置发现,现场int vlan1002下配置了本地arp代理。本地代理ARP的应用场景为:想要互通的主机连接到设备的同一个三层接口上,且这些主机不在同一个广播域中。

现场FWACG之间没有二层隔离,是在一个广播域下的,ACG请求FW上的下一跳地址的arp时,有可能会出现FWS75E代理同时给ACG回应ARP reply的情况,ACG收到两个arp replay后,应该会有一个学习的先后顺序,这时有可能会出现ACG学习的arp的目的mac为交换机的int vlan 1002的目的mac。这种情况下ACG发回给交换机的报文,目的mac则为交换机的目的mac,交换机此时会进行三层转发,而三层转发时路由仍然为那条缺省路由,此时就会将报文再次发回给ACG,而ACG又继续通过缺省路由把报文发回给交换机,从而出现路由环路,出现业务异常。

向现场确认,确实代理是最近才配置的。

现场删除int vlan 1002的arp代理,后故障未复现 

建议现场修改不同网段互联acg、fw与交换机


0 个评论

该案例暂时没有网友评论

编辑评论

举报

×

侵犯我的权益 >
对根叔知了社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔知了社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明

提出建议

    +

亲~登录后才可以操作哦!

确定

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作