SR8800下发"rule deny ip any"包过滤导致直连不通问题的解决办法

 

SR8800下发“rule deny ip”包过滤导致直连不通问题的解决办法

 

【产品型号】

　　SR8800路由器

 

【涉及版本】　

　　R3228及之前的R322X系列版本（R312X版本无此问题）

 

【问题描述】

如下图中：

 

当网络管理员在SR8800路由器上按照图片左上方的实现方案,只允许10.1.1.0/24 网段的IP业务报文(rule permit ip source 10.1.1.0/24;filter permit)，不允许其他任意网段IP业务报文进入SR88路由器的G3/1/1(rule permit ip;filter deny)。正确地配置了SR88后，如果此时shut/undo shut 端口G3/1/1,端口重新UP后，SR88和G3/1/1端口直连设备间无法Ping通。

 

【原因分析】

　　由于SR8800路由器R3228及之前的R322X系列版本缺陷，导致“rule permit ip”这条规则会匹配非IP报文， ARP等非IP的二层报文命中了filter deny规则中的“rule permit ip”而被丢弃，因此出现了直连不通的故障现象。

　　目前该缺陷对于所有的非IP报文都能匹配，包括STP、MPLS等二层报文。

 

【规避措施／解决方案】

不要采用rule permit/deny ip这类规则，改为采用rule permit/deny ip source x.x.x.x 0.y.y.y这类带有指定源/目的网段的规则。

3月上旬发布版本R3229解决。

 

 

如有问题，请联系杭州华三通信技术有限公司服务热线：4008100504/8008100504