E200/E100在网上运行一段时间之后,防火墙接口突然没有流量,转发停止。
1、防火墙看起来运行正常,未出现死机等问题,检查防火墙故障接口信息,可以发现此接口能够接收报文,但不能发送单播报文。
2、使用ping检查对端设备,防火墙显示无法ping通,接口发送报文没有计数。
3、检查arp表项,可以看到问题接口下面并没有对端设备的arp地址。Shut/undo shut接口、插拔网线均无法解决问题,reset arp之后,无故障的接口可以很快学到对端mac地址,但故障接口仍然无法学到对端的arp表项。
4、检查防火墙的配置,可以看到防火墙在故障接口上使能了快转功能。
发生此问题的版本包括0307和0310版本,将故障设备升级到0313以上版本可以解决。
如果不方便升级,可以采取以下方式规避解决
对于流量很小的局点:
可以采用关闭快转的方式,命令行如下:
[eudemon-Ethernet0/0/0]undo ip fast-forwarding qff
输入完命令之后,使用display current interface可以看到类似
interface Ethernet0/0/0
ip address 172.29.100.1 255.255.255.0
的显示,其中没有ip fast-forwarding qff的命令会buildrun显示出来。
(E200 的0313之前的版本,快转功能缺省为关闭,如果显示接口buildrun信息没有ip fast-forwarding qff命令,则没有打开快转)
这种规避方法可以避免因为ARP表项产生的转发终止的问题,但要注意要保证所有的接口都将快转取消了,不要有的接口下使能快转,有的接口不使能快转,否则可能会造成转发问题。另一个要注意的是这种方式会比较大的影响防火墙性能,在流量超过10Mb的局点要谨慎使用。
对于接口掩码很长(30位)的组网情况:
对于这种组网,一个网络中只有一个本接口IP,一个对端IP。此时可以采用设置对端IP的静态ARP表项来解决,假设有如下接口:
interface Ethernet0/0/0
ip address 172.29.100.1 255.255.255.252
在该子网中,仅有的另一个地址就是对端地址172.29.100.2
那么,可以在防火墙上配置(假设对端接口MAC地址为00e0-fc00-0001)
[eudemon]arp static 172.29.100.2 00e0-fc00-0001
输入display arp可以看到
IP Address MAC Address Type Vrf Name Interface
172.29.100.2 00e0-fc00-0001 S
的显示,此时也可以规避这个问题。
这种解决方法可以屏蔽ARP插入失败引入的转发终止问题,但在接口下可能挂多个ARP表项的情况下很难使用。同时,如果对端更换了设备,要注意此ARP表项的更改,否则会造成转发不通。
对于老命令行的E100设备,通过升级新命令行版本可以解决问题。也可以采用以下方法配置规避:
对于流量很小的局点:
对于流量很小的局点,可以采用关闭快转的方式,命令行如下:
首先进入防火墙接口,然后输入取消快转的命令:
Quidway(config-if-Ethernet0)#no ip fast-forwarding qff
此时,show run int eth可以看到
interface Ethernet0
ip address 172.29.100.1 255.255.255.0
no ip fast-forwarding qff
这种规避方法可以避免因为ARP表项产生的转发终止的问题,但要注意要保证所有的接口都将快转取消了,不要有的接口下使能快转,有的接口不使能快转。否则可能会造成转发问题。另一个要注意的是这种方式会比较大的影响防火墙性能,老命令行E100上更要谨慎使用。
对于接口掩码很长(30位)的组网情况:
对于这种组网,一个网络中只有一个本接口IP,一个对端IP。此时可以采用设置对端IP的静态ARP表项来解决,假设有如下接口:
interface Ethernet0
ip address 172.29.100.1 255.255.255.252
在该子网中,仅有的另一个地址就是对端地址172.29.100.2
那么,可以在防火墙上配置(假设对端接口MAC地址为00e0-fc00-0001)
Quidway(config)#arp 172.29.100.2 00e0.fc00.0001
输入show arp可以看到
IpAddress Mac_Address Type
172.29.100.2 00e0.fc00.0001 Static
的显示,此时也可以规避这个问题。
这种解决方法可以屏蔽ARP插入失败引入的转发终止问题,但在接口下可能挂多个ARP表项的情况下很难使用。同时,如果对端更换了设备,要注意此ARP表项的更改,否则会造成转发不通。
该案例暂时没有网友评论
✖
案例意见反馈
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作