SecPath F1005启用出链路负载均衡后，私网侧两个网段不能互通
- 0关注
- 1收藏，857浏览
问题描述：
SecPath 1005防火墙公网侧接 一条PPPoE链路，两条数据专线，分别接入F1005 GE1/0/8、GE1/0/10、GE1/0/11口。私网侧连接172.30.0.0/16、172.31.0.0/16两个子网，按照负载均衡典型配置以后，从172.31.0.0网段ping/ssh无法连接 172.30.0.0网段主机。172.31.0.0网段上网正常。
# (1) 创建ICMP类型的NQA模板t1
# (1.1) 创建固定IP的ICMP模板
nqa template icmp egress-lb-internet-1
reaction trigger per-probe
quit
组网及组网描述：
一条PPPoE链路，两条数据专线，分别接入F1005 GE1/0/8、GE1/0/10、GE1/0/11口。GE1/0/0口接172.30.0.0/24网段交换机， GE1/0/1口接172.31.0.0/24网段交换机，PPPoE接口为Dia1。
出链路负载均衡前采用路由分担转发模式，偶现Web页面需要多次刷新才能显示图片问题。
[H3C]dis ip routing-tableDestination/Mask Proto Pre Cost NextHop Interface
0.0.0.0/0 Static 60 0 0.0.0.0 Dia1 # PPPoE
0.0.0.0/0 Static 60 0 182.1xx.xxx.xxx GE1/0/10 # 专线1
0.0.0.0/0 Static 60 0 223.8x.xxx.xxx GE1/0/11 # 专线2
172.30.0.0/24 Static 60 0 172.30.xxx.xxx GE1/0/0 # 私网内部转发
172.31.0.0/16 Static 60 0 172.31.xxx.xxx GE1/0/1 # 私网内部转发
- 2022-04-24提问
- 举报
-
(0)
最佳答案
找个时间临时把负载均衡服务关一下看看能不能互访。
你的负载均衡类、动作、策略都没写，然后虚服务器的缺省动作是把流量在三条线上负载均衡。
建议增加一条策略，匹配172.30.0.0/24到172.31.0.0/16以及172.31.0.0/16到172.30.0.0/24的流量，动作是直接转发。在虚服务器下调用该策略。
- 2022-04-24回答
- 评论(7)
- 举报
-
(0)
我在其他答案中曾看到，开启出链路负载均衡，需要把原来的默认静态路由删除，目前我仍然保留这几个路由。这几条静态路由需要删除吗？
原来的这几条 0.0.0.0/0 Static 60 0 0.0.0.0 Dia1 x.x.x.x GE1/0/10 x.x.x.x GE1/0/11
正在学习你的思路，有个疑问，你说的增加一条策略是负载均衡策略吗？ 我的做法： > [H3C]loadbalance class intranet-office-to-svrs type link-generic match-all > [H3C-lbc-link-generic-intranet-office-to-svrs]match destination ip address 172.30.0.0 16 > [H3C-lbc-link-generic-intranet-office-to-svrs]match source ip address 172.31.0.0 16 > [H3C-lbc-link-generic-intranet-office-to-svrs]quit > [H3C]loadbalance class intranet-svrs-to-office type link-generic match-all > [H3C-lbc-link-generic-intranet-svrs-to-office]match destination ip address 172.31.0.0 16 > [H3C-lbc-link-generic-intranet-svrs-to-office]match source ip address 172.30.0.0 16 > [H3C-lbc-link-generic-intranet-svrs-to-office]quit > [H3C]loadbalance action intranet-direct-forward type link-generic > [H3C-lba-link-generic-intranet-direct-forward]forward all //// 这里似乎不对吧，这个Action好像是让负载均衡转发到外网的意思呢
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
组网拓扑有吗，环路在fw有没有日志，tc变化接口哪个
我比较小白，并且隔日才发现专线被移动封端口。使用dis logbuffer日志没有看到环路信息。网络结构很简单：防火墙在内网测接两个核心交换机，分别.30和.31网段。两个交换机各自下联接入交换机。两个核心交换机已经开启生成树协议，接入交换机开启环路检测功能。此前已正常运行数月。
网络架构不知道的话，不好排查
我在其他答案中曾看到，开启出链路负载均衡，需要把原来的默认静态路由删除，目前我仍然保留这几个路由。这个会不会和负载均衡冲突引起环路呀？
跟这个关系应该不大，你这两个网段是私网地址，互相访问跟外网没关系，在配置负载均衡之前可以互相访问吗
可以的，配置负载均衡前一切正常。配置完成当时发现：私网两个网段不能互访。隔一天发现移动指出我们曾经有环路（但是不确定是否配置负载均衡引起）。
https://zhiliao.h3c.com/Theme/details/97578
简单回顾一下问题。 第一次配置负载均衡时，按照指导手册的典型配置照搬，没有制作类、动作、策略。可以把虚服务的VSIP理解为默认负载均衡策略。按照典型配置 VSIP设置为0.0.0.0 0 时，匹配所有流量，都转发给LB对外发送。这实际上造成了三个问题： 1. 内网A发给内网B的流量被转出内网 2. 内网B发给内网A的流量被转出内网 3. 外网发入的流量被发回（造成环路） 解决方案： 1. 添加四个负载均衡类 - 内网A至内网B - 内网B至内网A - 任意网址至内网（acl类) - 其它单独路由的流量（acl类） 2、指定动作forwar all 3、指定策略，上述所有类都应用forward all 动作 4、在虚服务中启用上述策略