问

路由器对接防火墙bgp

3天前提问

0关注
0收藏，165浏览

zhiliao_MQtY5F

zhiliao_MQtY5F 零段

粉丝：0人关注：0人

问题描述：

路由器与secpath防火墙对接，secpath防火墙不发包

组网及组网描述：

我有台路由器ppppoe拨号，然后bgp 10

peer 202.1.1.2 as-number 200

peer 202.1.1.2 ebgp-max-hop 255

peer 203.1.1.2 as-number 100

peer 203.1.1.2 ebgp-max-hop 255

address-family ipv4 unicast

network 192.168.10.0 255.255.255.0

network 192.168.20.0 255.255.255.0

network 192.168.30.0 255.255.255.0

peer 202.1.1.2 enable

peer 203.1.1.2 enable

#防护墙的配置

bgp 100

peer 200.1.1.2 as-number 10

peer 200.1.1.2 connect-interface GigabitEthernet1/0/0

peer 200.1.1.2 ebgp-max-hop 255

peer 201.1.1.2 as-number 10

peer 201.1.1.2 connect-interface GigabitEthernet1/0/0

peer 201.1.1.2 ebgp-max-hop 255

address-family ipv4 unicast

network 192.168.50.0 255.255.255.0

network 192.168.60.0 255.255.255.0

peer 200.1.1.2 enable

peer 201.1.1.2 enable

<FW>dis security-policy ip

Security-policy ip

TotalRule: 3

TotalGroup: 0

rule 80 name untrusticmp

action pass

rule 81 name permitbgp

action pass

destination-zone local

rule 82 name allow-bgp-200

action pass

source-zone untrust

destination-zone local

service bgp

3 个回答

按时间按赞数

zhiliao_DmXTP

zhiliao_DmXTP 六段

粉丝：1人关注：3人

BGP邻居配置问题：

路由器端配置了peer 203.1.1.2 as-number 100，但防火墙端配置的是peer 200.1.1.2 as-number 10。这会导致AS号不匹配，BGP邻居无法建立。需确保两端AS号互为对方的AS值。
- ✅ 修正方案：防火墙应配置peer 200.1.1.2 as-number 10（与路由器AS 10对应）。

connect-interface用法（防火墙侧）：
- peer 200.1.1.2 connect-interface GigabitEthernet1/0/0是正确配置，作用是指定BGP报文使用此接口的IP地址作为源地址。
- 🔍 前提：接口GigabitEthernet1/0/0需配置IP地址且与对端（200.1.1.2）路由可达。
PPPoE+BGP关键点：
- 动态IP问题：若PPPoE获取的IP非固定，BGP邻居IP需动态适应（或使用DDNS）。静态配置的peer IP（如203.1.1.2）需与实际PPPoE公网IP一致。
- 策略配置建议（参考案例）：
  # 防火墙侧需启用IPv4邻居并指定源接口 bgp 100 peer 200.1.1.2 enable peer 200.1.1.2 connect-interface GigabitEthernet1/0/0
验证步骤：
- 检查物理接口状态：display interface GigabitEthernet1/0/0
- 确认IP可达性：ping 200.1.1.2
- 排查BGP状态：display bgp peer，观察状态是否为"Established"。

⚠️ 注：若路由器PPPoE获取的IP与203.1.1.2不符，需调整peer IP或部署动态地址同步机制。

为您推荐相似问题：
MSR3640路由器的BGP邻居建立过程出现问题

展开

BGP邻居建立不起来可参考如下链接排查：
根叔的云图：https://zhiliao.h3c.com/theme/Chart，点击“公共协议”>“IP路由”>“BGP故障排查”
IBGP邻居无法建立：https://zhiliao.h3c.com/Theme/details/66010

复制

再试一次

有用

没用

转人工

MSR G2路由器PPPoE拨号网速较慢？ >

MSR3640-X1路由器PPPOE拨号失败的可能原因是什么？ >

根叔的云图

轻松开局

IT一站式查询

漏洞查询

硬件自动化诊断

内容由AI大模型生成，请仔细甄别

相关文档

更多图片

典型配置MSR G2 PPPoE server 多域拨入配置案例

知了社区|2016-07-24|424次浏览

经验案例SR8804-X BGP路由条件通告经验案例

知了社区|2017-03-28|134次浏览

经验案例BGP等价路由负载均衡

知了社区|2016-01-31|791次浏览

典型配置MSR路由器BGP路由协议基础功能的配置

知了社区|2006-09-08|828次浏览

典型配置MSR路由器MPLS L3VPN CE-nPE功能配置

知了社区|2006-08-30|839次浏览

FAQHCL模拟器BGP/MPLS配置问题

知了社区|2018-01-02|4223次浏览

典型配置SR6600路由器MPLS L3VPN CE-nPE配置

知了社区|2008-10-06|623次浏览

典型配置The configuration of BGP4+ Routing Reflect In MSR Series

知了社区|2008-10-14|489次浏览

典型配置NE20/NE20E产品MPLS/BGP VPN跨域Option A的配置

知了社区|2006-12-31|893次浏览

典型配置SR6600路由器MPLS L3VPN 及OSPF多实例配置

知了社区|2008-10-06|717次浏览

根叔云图BGP邻居状态异常排查云图-翁青山(w12943)

知了社区|2020-10-16|4618次浏览

根叔云图NTP client无法向NTP server同步时钟故障排查

知了社区|2019-10-29|788次浏览

Web配置视频H3C ER系列路由器视频典型配置指导

典型配置H3C CR19000核心路由器典型场景配置案例集-6W100

配置指导H3C CR16000-M路由器配置指导-R838x-6W104

配置指导H3C SR8800-X路由器配置指导-R8380P21[R8385P21]-6W100

配置指导H3C SR8800-F路由器配置指导-R8630Pxx-6W100

配置指导H3C CR16000-M路由器配置指导-R8630Pxx-6W100

配置指导H3C SR6600_SR6600-X路由器配置指导(V5)-R3303(V1.23)

典型配置H3C CR16000-F路由器配置举例一本通-R8530Pxx-6W103

zhiliao_MQtY5F

zhiliao_MQtY5F 知了小白

粉丝：0人关注：0人

pppoe拨号时固定的ip地址

<FW>*Nov 18 07:26:24:012 2025 FW BGP/7/DEBUG: -COntext=1; BGP_TIMER.: 200.1.1.2 CR Timer Expired. *Nov 18 07:26:24:012 2025 FW BGP/7/DEBUG: -COntext=1; BGP.: 200.1.1.2 Receive ConnectRetryTimer_Expires event in CONNECT state. *Nov 18 07:26:24:013 2025 FW BGP/7/DEBUG: -COntext=1; BGP.: 200.1.1.2 state has changed from CONNECT to CONNECT. *Nov 18 07:26:24:013 2025 FW BGP/7/DEBUG: -COntext=1; BGP.: 200.1.1.2 Session connect failed, error is Operation not permitted.防火墙一直报这个错

zhiliao_MQtY5F 发表时间：3天前 更多>>

配置应该没有问题

zhiliao_MQtY5F 发表时间：3天前

啥也不会的攻城狮

啥也不会的攻城狮三段

粉丝：2人关注：4人

防火墙是不是少了一条 local 到untrust的安全策略呢？

connect没建立起来状态应该回到idle了防火墙debugging看下吧

回复zhiliao_MQtY5F:

也有可能，可以导出配置，关闭防火墙，删除在新建一个配置导进去试试吧或者用域间策略试一下

啥也不会的攻城狮发表时间：3天前 更多>>

200.1.1.2 state has changed from CONNECT to CONNECT，他这个是在connect状态吧，tcp建立有问题

无论云泥意贯一发表时间：3天前

回复无论云泥意贯一:

对的，除了idle任何一个状态出现错误状态会回到idle。

啥也不会的攻城狮发表时间：3天前

少打了个tcp 哈哈

啥也不会的攻城狮发表时间：3天前

回复啥也不会的攻城狮:

<FW>dis security-policy ip Security-policy ip TotalRule: 4 TotalGroup: 0 rule 80 name untrusticmp action pass rule 81 name permitbgp action pass destination-zone local rule 82 name allow-bgp-200 action pass source-zone untrust destination-zone local service bgp rule 83 name PolicyV4_0 action pass source-zone Local 都放行的了这是debug<FW>*Nov 18 07:26:24:012 2025 FW BGP/7/DEBUG: -COntext=1; BGP_TIMER.: 200.1.1.2 CR Timer Expired. *Nov 18 07:26:24:012 2025 FW BGP/7/DEBUG: -COntext=1; BGP.: 200.1.1.2 Receive ConnectRetryTimer_Expires event in CONNECT state. *Nov 18 07:26:24:013 2025 FW BGP/7/DEBUG: -COntext=1; BGP.: 200.1.1.2 state has changed from CONNECT to CONNECT. *Nov 18 07:26:24:013 2025 FW BGP/7/DEBUG: -COntext=1; BGP.: 200.1.1.2 Session connect failed, error is Operation not permitted

zhiliao_MQtY5F 发表时间：3天前

回复zhiliao_MQtY5F:

这个提示，刚才回复的大佬也说明了，tcp建立没成功，按照这个思路去排查，同时你也可以安全策略做一条 any到any试一下看是否是安全策略的问题导致。bgp的配置是看着没问题的

啥也不会的攻城狮发表时间：3天前

回复啥也不会的攻城狮:

策略都放行了就是不行不知道是不是模拟器bug

zhiliao_MQtY5F 发表时间：3天前

回复zhiliao_MQtY5F:

也有可能，可以导出配置，关闭防火墙，删除在新建一个配置导进去试试吧或者用域间策略试一下

啥也不会的攻城狮发表时间：3天前

编辑答案

分享扩散:

➤

网站相关: 关于我们; 服务条款; 隐私政策; 帮助中心; 经验与权限; 积分规则

联系我们: 联系我们; 建议反馈

常用链接: 标杆的神器下载

关注我们: H3C官网; 新华三服务公众号; 安仔远程运维服务; 新华三商城

内容许可: 除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1 浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定

✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

侵犯我的权益 >

对根叔社区有害的内容 >

辱骂、歧视、挑衅等（不友善）

侵犯我的权益

泄露了我的隐私 >

侵犯了我企业的权益 >

抄袭了我的内容 >

诽谤我 >

辱骂、歧视、挑衅等（不友善）

骚扰我

泄露了我的隐私

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。

1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
3. 是哪家企业？（营业执照，单位登记证明等证件）
4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

原文链接或出处

诽谤我

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

垃圾广告信息

色情、暴力、血腥等违反法律法规的内容

政治敏感

不规范转载 >

辱骂、歧视、挑衅等（不友善）

骚扰我

诱导投票

不规范转载

举报说明

产品线		搜索取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式	默认策略匹配全词匹配整句

路由器对接防火墙bgp

问题描述：

组网及组网描述：

编辑答案

提出建议