H3C SecPath F1000-AK125防火墙+正向通，反向不通问题请教。

回复1：事实上是pc2能ping通pc1，但反过来是不通的。 回复2：把网关写成192.168.15.1也是不行，上面我说了实际上pc1发过去的请求数据包并没有到达F2

谢谢您的回复

经过再次测试，您第2点说的果然没错，就是把网关设置为192.168.15.1就通了，之前明知道你回复是不小心少写了个1，自己输ip的时候也跟着少输一个1，才没通的，真的蒙了，哈哈。 果然是高手，现实中有你这样的良师益友指点就好了。不过透明模式下“报文示踪”检测不到数据流的吗？还有，为啥把网关设置为192.168.15.2（vlan15接口ip）不行呢？三层交换机都是可以通过接口ip转发的。

我说的是在F2的“报文示踪里”检测不到通往192.168.15.3的数据流，F1是有的。

我想了想，F2报文示踪检测不到数据流是因为在F1中直接将包转发给了pc2了，目的mac并不是F2是吗？ 但是在会话列表中又有这个会话。

终于又搞董为啥把网关设置为192.168.15.2（vlan15接口ip）不行呢？ 是一位老师（网名：奇怪的流量）回答我另一个问题时的答案，同样也能解释这个问题，经过测试确认了。 因为pc1 ping pc2来回的路径是不一样的。Pc1请求到达F1，F1直接将包发给pc2，pc2收到包回复时通过F2，并没有直接发回给F1。防火墙是基于会话来管理流量的，F2在没有ping的请求报文建立会话的情况下就直接收到ping的响应报文自然会认为这是异常报文丢弃。 如果想在这种情况下使用，建议通过session state-machine mode loose将会话机改为宽松模式。这种情况下即使是网关是192.168.15.2也可以通。 相反pc2 ping pc1 走的来回路径都是一样的，所以就会通。

不好意思，这几天没来社区，那位老师说的是对的，防火墙是基于会话来管理流量的，你原来的设置，会使用来去路径不一致，那么来去就不是一个会话了，如果F2的G2到G1的安全策略设置不禁止，那么你原来的设置就ping不通了。