SR66/SR66-X系列路由器包过滤防火墙在丢包问题中的应用

一．    应用场景

导致客户网络中出现丢包的原因有很多，比如说线路质量不好、对端设备故障、本端设备故障，等等。定位问题发生的原因，有助于我们快速的解决问题，使客户网络恢复正常。

我们首先要查看对应接口的报文统计，查看是否有错包，overruns等统计，进行初步的排查。

如果接口报文统计正常，这时我们就需要使用包过滤防火墙这一神器。我们需要使用的并不是防火墙的过滤功能，而是其报文统计功能，通过查看数据报文的收发统计，来定位报文丢在哪里。

二．    举例说明

如上图所示，在一个月黑风高的夜晚，客户在机房闲着无聊，ping一下度娘试试，结果度娘没回复，客户很生气。客户表示一定要揪出那个射下白鸽的“郭靖”，这是我们就要帮助客户按图索骥，揪出罪魁祸首。

第一步：我们首先要通过ping测试，了解报文丢在了哪里。因为SR66路由器为局域网出口路由器，去往公网的报文一定要过SR66路由器，所以我们直接在SR66路由器上做相应测试，排查问题。我们在SR66设备上分别ping 用户PC与公网网关，这必然会出现丢包现象。

第二步：假如ping公网网关23.0.0.2时发生丢包现象，这时我们就需要祭出终极神器firewall，来定位具体的丢包位置。

1.      首先全局开启firewall功能：firewall enable;

2.      写两条ACL，分别匹配从23.0.0.1到23.0.0.2与从23.0.0.2到23.0.0.1的icmp报文：

acl number 3100

  rule 0 permit icmp source 23.0.0.1 0 destination 23.0.0.2 0

acl number 3200

rule 0 permit icmp source 23.0.0.2 0 destination 23.0.0.10

3.      在G0/0口的出、入方向下应用firewall：

firewall packet-filter 3100 outbound

  firewall packet-filter 3200 inbound

4.      测试前，先清空G0/0接口的防火墙统计信息：

reset firewall-statistics interface G0/0

5.      从SR66路由器ping公网网关23.0.0.2 50个包，然后查看接口统计信息：

display firewall-statistics interface g0/0

dis firewall-statistics interface GigabitEthernet 0/0

  Interface: GigabitEthernet0/0

  In-bound Policy: acl 3200

  From 2013-12-14 8:14:09 to 2013-12-14 8:17:00

     50 packets, 4200 bytes, 0% permitted,

     0 packets, 0 bytes, 0% denied,

     421438 packets, 84622789 bytes, 100% permitted default,

     0 packets, 0 bytes, 0% denied default,

  Totally 421488 packets, 84626989 bytes, 100% permitted,

  Totally 0 packets, 0 bytes, 0% denied.

  Interface: GigabitEthernet0/0

  Out-bound Policy: acl 3100

  From 2013-12-14 8:14:09 to 2013-12-14 8:17:00

     50 packets, 4200 bytes, 0% permitted,

     0 packets, 0 bytes, 0% denied,

     553218 packets, 585289690 bytes, 100% permitted default,

     0 packets, 0 bytes, 0% denied default,

  Totally 553268 packets, 585293890 bytes, 100% permitted,

  Totally 0 packets, 0 bytes, 0% denied.

 观察上述信息，会有以下两种现象：

1)    Out-bound方向的permit报文为0或者不到50个，则证明报文是在SR66路由器内部丢失的，请排查SR66路由器的配置，以及板间转发信息。

2)    Out-bound方向的permit报文为50个，但是In-bound方向为0或者不到50个，则证明SR66路由器并没有收到回应报文，报文在线路或者对端设备丢失，请排查公网线路及设备问题。

以上排查方法即可定位报文在哪里丢失，后续只需交由专人排查相应问题，揪出罪魁祸首，还我度娘即可。