S6812 M-LAG + EVPN VXLAN 分布式网关转发问题

流统发现是能到A过来的流量是能到B设备的Peer-Link接口上的，就是没法转发下去B设备下的DR接口

在 M-LAG + EVPN VXLAN 分布式网关场景下，DR 成员端口倒换时出现流量卡在 Peer-Link 出方向、无法到达目的接口的问题，需从M-LAG 一致性同步、EVPN 路由交互、VXLAN 转发逻辑、二层转发表项四个核心维度定位，具体步骤如下：
一、优先核查 M-LAG 基础状态与一致性（核心前提）
M-LAG 的两台设备（A 和 B）需保持配置与状态一致性，否则会导致 Peer-Link 流量转发异常。
1. 检查 M-LAG 整体状态
# 查看M-LAG是否建立成功，Peer-Link是否正常
display m-lag summary
display m-lag peer-link
关键指标：M-LAG Status需为Established，Peer-Link State为Up，Peer-Link Error Count无持续增长（排除链路错包）。
若 Peer-Link 状态异常（如 Down 或 Flapping），需先排查物理链路、光模块、端口配置（如port link-mode bridge、trunk模式是否一致）。
2. 核查 DR 接口的 M-LAG 配置一致性
DR 接口（双挂的成员端口）需属于同一 M-LAG 组，且两台设备配置完全一致：
# 查看DR接口所属M-LAG组配置（A、B设备分别执行）
display interface GigabitEthernet 1/0/xx # 替换为DR接口
display m-lag interface GigabitEthernet 1/0/xx
关键检查项：M-LAG Group ID是否相同、LACP Mode是否均为dynamic、Port Priority是否一致、是否加入相同 VLAN（port trunk permit vlan xxx）。
若配置不一致，会导致 LACP 协商失败或流量负载不均，倒换时流量无法切换到 B 设备。
3. 检查 M-LAG 一致性检查结果
M-LAG 会对关键配置（VLAN、VXLAN、EVPN 等）进行一致性校验，不一致会导致流量被 Peer-Link 过滤：
display m-lag consistency-check
若存在Inconsistent项（如 VLAN 配置、VNI 绑定、EVPN 实例），需优先修正，确保 A、B 设备配置完全一致。
二、验证 EVPN 路由与 ARP 同步是否正常（分布式网关核心）
分布式网关下，A、B 设备需通过 EVPN 同步主机的 MAC/IP 路由和 ARP 信息，否则倒换后 B 设备可能无法识别目的主机。
1. 检查目的 IP 的 EVPN MAC/IP 路由（Type 2 路由）
# 在B设备上查看目的主机的EVPN MAC/IP路由（替换IP为目的主机IP）
display evpn mac-ip ip 192.168.x.x
关键指标：Route Type应为MAC-IP，Next Hop应为 B 设备本地 DR 接口对应的 VTEP LoopBack0（或 A 设备 LoopBack0，取决于主机双挂情况），Origin应为Local（若主机在 B 本地）或Remote（若从 A 同步）。
若未查询到该路由，说明 EVPN 路由未同步，需检查：
EVPN 实例配置（evpn instance xxx的vni、rd、rt是否一致）；
BGP EVPN 邻居状态（display bgp evpn peer需为Established）；
主机是否发送了 ARP/ND 报文（可在 B 设备 DR 接口抓包验证）。
2. 验证 ARP 表项的有效性
虽然用户提到 “有 ARP 条目”，但需确认条目是否为本地有效或同步自 A 设备，且出接口正确：
# 在B设备上查看目的IP的ARP条目（替换IP和VLAN）
display arp vlan 10 ip 192.168.x.x # VLAN需与主机所属VLAN一致
关键指标：Interface应为 B 设备的本地 DR 接口（如GigabitEthernet 1/0/2），而非 Peer-Link 或其他接口；Age应为动态学习（非静态），且未老化。
若 ARP 条目出接口为 Peer-Link，说明 B 设备错误认为主机在 A 设备侧（但 A 的 DR 接口已关闭），导致流量通过 Peer-Link 回传（形成环路或丢弃）。
三、追踪流量在 B 设备内的转发路径（定位丢包点）
通过流统或报文捕获，确认流量进入 B 设备后是否被正确转发到目的接口，或在某环节被丢弃。
1. 在 B 设备上部署流统，定位流量走向
# 1. 定义流分类（匹配目的IP）
acl advanced 3000
rule 0 permit ip destination 192.168.x.x 0 # 目的主机IP

# 2. 在Peer-Link入方向统计（确认流量从A通过Peer-Link到达B）
traffic classifier c1 operator and
if-match acl 3000
traffic behavior b1
statistic enable
traffic policy p1
classifier c1 behavior b1
interface Peer-Link1 # 替换为实际Peer-Link接口名
traffic-policy p1 inbound

# 3. 在B设备本地DR接口出方向统计（确认是否转发到目的接口）
interface GigabitEthernet 1/0/2 # B设备的DR接口
traffic-policy p1 outbound
若Peer-Link入方向有统计但DR接口出方向无统计，说明 B 设备内部未将流量转发到本地 DR 接口，需排查二层转发逻辑。
2. 检查 B 设备的 MAC 地址表项
流量从 Peer-Link 进入 B 设备后，需通过 MAC 表转发到本地 DR 接口，若 MAC 表项错误会导致丢包：
# 查看目的主机MAC对应的表项（替换MAC和VLAN）
display mac-address vlan 10 00e0-fcxx-xxxx
关键指标：Port应为 B 设备的本地 DR 接口（如GigabitEthernet 1/0/2），Flag应为D（动态）或M（M-LAG 同步）。
若 MAC 表项的Port为Peer-Link或Invalid，说明 MAC 地址未正确同步到 B 设备（M-LAG MAC 同步失败），需检查：
m-lag mac-address synchronization enable是否配置（全局启用 MAC 同步）；
主机是否在 A 设备 DR 接口关闭后重新发送了 ARP/gratuitous ARP（触发 B 设备学习 MAC）。
3. 检查 VXLAN 解封装与 VLAN 映射（若流量经过 VXLAN 隧道）
若流量是通过 VXLAN 隧道进入 B 设备（而非纯二层转发），需确认解封装和 VLAN 映射正确：
# 1. 检查VXLAN默认解封装配置（A、B设备需一致）
display vxlan configuration
# 关键：`Default decapsulation source interface`应为LoopBack0，且IP与EVPN发布的VTEP IP一致

# 2. 检查VLAN与VNI的绑定（确保目的主机VLAN对应正确VNI）
display vlan vni binding
# 示例：VLAN 10绑定VNI 10010，且A、B设备配置一致
若 VLAN 与 VNI 绑定错误，VXLAN 解封装后会被丢弃；若 LoopBack0 IP 未在 EVPN 中发布，会导致隧道建立失败。
四、排查其他可能的阻塞因素
1. 安全策略或 ACL 过滤
检查 B 设备是否有 ACL 或安全组规则（如packet-filter）过滤了该流量：
display acl all # 查看是否有针对目的IP的拒绝规则
display interface GigabitEthernet 1/0/2 # 检查接口是否应用了入/出方向ACL
2. STP 与 M-LAG 的协同问题
M-LAG 通常需关闭 STP 或配置 STP 兼容模式，否则 STP 可能在倒换时阻塞 DR 接口：
display stp brief # 查看B设备DR接口的STP状态，需为`Forwarding`
若状态为Blocking，需配置stp edged-port enable（DR 接口设为边缘端口）或全局关闭 STP（undo stp global enable，仅在纯 M-LAG 环境）。
3. 硬件转发表项异常
设备硬件表项（如 FIB、MAC 表）可能存在老化或同步延迟，可尝试手动刷新：
reset arp all # 刷新ARP表（谨慎操作，生产环境建议低峰期）
reset mac-address vlan 10 # 刷新指定VLAN的MAC表
总结定位流程
先确认 M-LAG 基础状态：Peer-Link 正常、配置一致，排除基础通信问题；
再验证 EVPN 与 ARP 同步：确保 B 设备能通过 EVPN 获取目的主机的路由和 ARP，且表项有效；
最后追踪 B 设备内转发路径：通过流统确认流量是否到达 B 设备，以及 MAC 表是否指向本地 DR 接口，排除二层转发异常。
若以上步骤仍未定位，可收集 A、B 设备的display m-lag、display evpn mac-ip、display mac-address、display arp输出，结合华三技术支持分析硬件转发日志（需开启debug调试，生产环境谨慎）。