F1000-S-EI防火墙外网出口不通问题

F1000-S-EI防火墙外网出口不通问题

一、   组网：

 某办事处重要局点用户外网采用一台F1000防火墙作为公网出口，通过协议转换器连接运营商线路。组网如下图所示：

二、   问题描述：

    客户反馈，内网用户会不定时的无法上网，这时间没有规律，故障发生的时候，在F1000上观察，F1000无法ping通公网对端IP地址，同时，也无法学习到相关的ARP及MAC地址表项，但重启F1000，故障现场立即消失。

三、   过程分析：

因为从故障现象看，断网时防火墙ping运营商下一跳不通，重启设备能恢复，很有可能是对端ARP学习错误导致的。当时制定排错方案如下：

1、用一台镜像的二层交换机接在防火墙F1000-S-EI与运营商协转器之间，当故障发生时，通过抓包看是不是防火墙发出报文后对端没有回，也可以观察到公网侧是否存在ARP欺骗报文等。

2、然后开启公网口免费ARP报文发送，如果对端支持对免费ARP报文的学习，那么不用up/down接口也能使网络恢复。

3、用一台笔记本模拟防火墙（包括MAC地址，IP地址），测试ping运营商下一跳，综合以上三点，这就可以直接证明问题根源不是防火墙的原因。

第一步排查的时候，偶然发现交换机连接协转器端口协商状态为半双工，再查看防火墙F1000-S-EI外网口g 0/5，发现在接口出方向有大量错误包：

<H3C>dis int g 0/5

GigabitEthernet0/5 current state: UP

Line protocol current state: UP

Description: GigabitEthernet0/5 Interface

The Maximum Transmit Unit is 1500

Internet Address is 222.168.25.94/28 Primary

IP Packet Frame Type: PKTFMT_ETHNT_2,  Hardware Address: 0023-89e6-6c61

IPv6 Packet Frame Type: PKTFMT_ETHNT_2,  Hardware Address: 0023-89e6-6c61

Media type is twisted pair, loopback not set, promiscuous mode not set

100Mb/s, Half-duplex, link type is autonegotiation

Output flow-control is disabled, input flow-control is disabled

Output queue : (Urgent queuing : Size/Length/Discards)  0/100/0

Output queue : (Protocol queuing : Size/Length/Discards)  0/500/0

Output queue : (FIFO queuing : Size/Length/Discards)  0/75/0

Last clearing of counters: 10:23:50  Fri 10/28/2011

    Last 300 seconds input rate 3709027 bytes/sec, 29672216 bits/sec, 3351 packets/sec

    Last 300 seconds output rate 217660 bytes/sec, 1741280 bits/sec, 2088 packets/sec

    Input: 1095929 packets, 0 jumboes, 1210342443 bytes, 1095929 buffers

           47 broadcasts, 0 multicasts, 0 pauses

           0 errors, 0 runts, 0 giants

           0 crc, 0 align errors, 0 overruns

           0 dribbles, 0 drops, 0 no buffers

    Output:684942 packets, 71761597 bytes, 684942 buffers

           0 broadcasts, 0 multicasts, 0 pauses

           371091 errors, 0 underruns, 110376 collisions

           260715 deferred, 0 drops, 0 lost carriers

从错误包来看，为什么在出方向上会有如此多的错误包，而在入方向上却没有呢？（半双工两端在一根线上传肯定是这样，以太网原理就是CSMA/CD的）

Collision:冲突帧的数量，冲突帧是指在发送过程中检测到冲突的而停止发送的报文。

Deferred:延迟报文的数量，延迟报文是指发送前检测到冲突而被延迟发送的报文。

四、   解决方法：

     从上述的分析可以看出，问题的根源在于F1000-S-EI端口协商成半双工模式，从而出现冲突、错包，严重可能造成用户全网中断。协调电信方面修改光端机及对端设备接口的双工协商状态，电信链路调通后，从防火墙上观察，防火墙与协议转换器之间接口自动协商成百兆全双工状态，接口未出现错误包，也未发生断网现象。从目前的情况看，之前产生的外网中断现象，很有可能与运营商侧设备接口配置有关系。