策略路由旁挂防火墙不通问题

H3C防火墙旁挂、pbr 引流；

物理旁挂、逻辑串行组网；

需要再核心交换机关闭 快转；

• 开启时 (ip fast-forwarding load-sharing)：
  • 设备根据报文的五元组信息（源IP、目的IP、源端口、目的端口、协议号） 标识一条数据流。
  • 对于同一条五元组流，无论从哪个入接口进入设备，都将被视为同一条流，使用同一条快转表项进行转发。
  • 可能导致环路风险：常见于策略路由(PBR)结合防火墙旁挂组网或不对称路径场景。例如，初始数据流从端口A进入，被PBR重定向到防火墙；但防火墙处理完返回的流量（源目IP已反转）从端口B进入交换机时，如果仍被视作原来的数据流（因为初始生成的五元组快转表项指定了出接口到防火墙），就会形成环路。
• 关闭时 (undo ip fast-forwarding load-sharing)：
  • 设备在识别数据流时，除了五元组信息外，还会额外考虑入接口作为关键标识特征。
  • 即使是相同五元组的数据流，如果进入交换机的接口不同，也会被视为不同的流，分别生成快转表项或按路由转发。
  • 解决环路问题：在旁挂防火墙等复杂路径场景中，关闭此功能后，防火墙返回的流量（从不同端口进入）不再被错误地识别为原来的出向流量，而是被视为新流，从而正确路由，打破环路。