• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
案例类型
搜索
取消
产品线
关键字
发布者
发布时间

某局点S10508(V5)接口加入VPN实例后与防火墙板卡直连不通的处理经验案例

2019-07-28发表
  • 0关注
  • 0收藏,389浏览
0

组网及说明

两台S10508做IRF堆叠,slot 1均装了二代防火墙板卡。


问题描述

S10508的vlan接口与防火墙板卡接口处于同一网段,在105的vlan接口加入VPN实例之前,两个接口互ping能通,但是加入VPN实例之后,两个接口互ping不通。


过程分析

1、在两边设备debugging ip packet,发现在交换机侧只能发出icmp echo,无法收到防火墙板卡的发出的icmp echo和icmp echo-reply,而防火墙板卡能够收到交换机发出的icmp echo并且给响应的icmp echo-reply。

交换机debug

*Jun 13 09:08:29:610 2019 SW ADDR/7/debug_icmp: ICMP Send: echo(Type=8, Code=0), Dst = 10.0.0.61

*Jun 13 09:08:31:831 2019 SW ADDR/7/debug_icmp: ICMP Send: echo(Type=8, Code=0), Dst = 10.0.0.61

*Jun 13 09:08:34:058 2019 SW ADDR/7/debug_icmp: ICMP Send: echo(Type=8, Code=0), Dst = 10.0.0.61

防火墙板卡debug

*Jun 13 09:08:30:076 2019 FW ADDR/7/debug_icmp: ICMP Send: echo(Type=8, Code=0), Dst = 10.0.0.58

*Jun 13 09:08:31:737 2019 FW ADDR/7/debug_icmp: ICMP Receive: echo(Type=8, Code=0), Src = 10.0.0.58, Dst = 10.0.0.61

*Jun 13 09:08:31:737 2019 FW ADDR/7/debug_icmp: ICMP Send: echo-reply(Type=0, Code=0), Src = 10.0.0.61, Dst = 10.0.0.58

2、尝试在交换机侧做流统,发现交换机ping防火墙流统来回都是5,防火墙有回报文给交换机,但是防火墙ping交换机流统inbound方向为5,但是outbound方向为0,交换机没有回防火墙。结合上面的debug判断交换机的内联口能够收到防火墙的报文,但是没有上送CPU处理。

交换机ping防火墙流统结果

  Interface: Ten-GigabitEthernet1/1/0/1

 

  Direction: Inbound

 

  Policy: at

   Classifier: at

     Operator: AND

     Rule(s) : If-match acl 3333

     Behavior: at

      Accounting Enable:

        5 (Packets)

 

  Direction: Outbound

 

  Policy: at

   Classifier: at

     Operator: AND

     Rule(s) : If-match acl 3333

     Behavior: at

      Accounting Enable:

        5 (Packets)

防火墙ping交换机流统结果

  Interface: Ten-GigabitEthernet1/1/0/1

 

  Direction: Inbound

 

  Policy: at

   Classifier: at

     Operator: AND

     Rule(s) : If-match acl 3333

     Behavior: at

      Accounting Enable:

        5 (Packets)

 

  Direction: Outbound

 

  Policy: at

   Classifier: at

     Operator: AND

     Rule(s) : If-match acl 3333

     Behavior: at

      Accounting Enable:

        0 (Packets)

3、经确认,客户开启了路由优化功能l3unicast-optimization enable。开启这个功能时,主控板不在承担硬件转发功能,这样可以提升主控板的处理能力和设备防攻击能力,在业务板的类型全都一致的情况下,开启路由优化功能可以提高整机的路由收敛性能。但是绑定vpn实例后,主控板相当于做一个代理功能,需要硬件表项来进行转发,所以需要关闭路由优化配置,才能正常转发。

在开启路由优化功能的时候,查看看底层l3表项,加入vpn实例后主控没有对应表项生成:

[SW-diagnose]bcm 4 0  l3/defip/show

Unit 0, Total Number of DEFIP entries: 12289

#     VRF     Net addr             Next Hop Mac        INTF MODID PORT PRIO CLASS HIT VLAN

关闭路由优化功能并重启对应vlan虚接口后,主控板硬件学到了相关表项,问题解决。

[SW]undo l3unicast-optimization enable

 l3uc optimization mode disabled!

[SW-diagnose]bcm 4 0 l3/defip/show

Unit 0, Total Number of DEFIP entries: 12289

#     VRF     Net addr             Next Hop Mac        INTF MODID PORT PRIO CLASS HIT VLAN

0     8        10.0.0.58/32         00:00:00:00:00:00 100001    0     0     1   32 n

0     8        10.0.0.56/29         00:00:00:00:00:00 100001    0     0     1   32 n


解决方法

绑定VPN实例后,主控板相当于做一个代理功能,需要硬件表项来进行转发,所以需要关闭路由优化配置,才能正常转发。

关闭路由优化功能

[SW]undo l3unicast-optimization enable

 l3uc optimization mode disabled!

  

0 个评论

该案例暂时没有网友评论

编辑评论

举报

×

侵犯我的权益 >
对根叔知了社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔知了社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明

提出建议

    +
自动化解放运维
参与话题讨论
赢取积分大奖!

亲~登录后才可以操作哦!

确定

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作