问
F1000+ACG+S7003 IPV6 双协议栈，核心交换机公网不通问题
1天前提问
- 0关注
- 0收藏，71浏览
问题描述：
原网络 互联网----防火墙----ACG---核心---各网段 组网结构
ACG为二层，防火墙与核心为三层互联，核心交换机VLANIF上多网段
现在需要做IPV6双栈的改造
在运营商处已经获取ND,PD（64位前缀） GATEWAY地址并配置
准备将64位前缀拆分为80位的前缀满足各网段需要
但是配置后发现，
1.在防火墙上能ping通DNS
2.防火墙上以向核心方向的80位前缀的互联地址为源地址，也能ping通DNS
3.核心交换机，ping 不通DNS，但是 能ping通公网出口PD地址，以业务地址段的IP为源也是这种情况
各位大神有什么好的解决方法吗？或者我哪里没有注意到？改方案用nat66还是尽量不NAT？
已采纳
核心问题分析
根本原因：回程路由问题或策略路由缺失核心交换机能ping通公网出口PD地址（运营商网关），但ping不通DNS，这表明：- 请求包路径：核心 → ACG（透明）→ 防火墙 → 互联网（正常到达）
- 回复包路径：DNS服务器 → 运营商网络 → 防火墙可能未将回复包正确送回核心交换机
故障排查与解决方案
请按照以下步骤逐一排查，大概率能解决您的问题。步骤一：检查防火墙的回程路由（最可能的原因）
这是最常见的原因。防火墙必须有指向核心交换机的明确路由，用于将返回流量送达正确的网段。- 登录防火墙，检查IPv6路由表：
display ipv6 routing-table - 查找关键路由：确认是否存在一条路由，将您分配的
80位前缀指向核心交换机与防火墙互联的地址。- 目标网段：
您的80位前缀::/80 - 下一跳：核心交换机与防火墙互联的VLANIF的IPv6地址。
- 目标网段：
- 在防火墙上添加静态路由（示例）：
- 系统视图下配置：
ipv6 route-static 2001:db8:你的前缀::/80 下一跳IPv6地址 # 示例：ipv6 route-static 2001:db8:1111:2222::/80 2001:db8:fe80::1
步骤二：检查防火墙的安全策略
IPv6流量同样受防火墙安全策略控制。确保您有放行从“信任区域”（Trust）到“非信任区域”（Untrust）的IPv6流量，并且也放行了返回的流量。- 检查安全策略：
display security-policy rule all - 确认策略存在：找到一条策略，其源安全域为
local（对于防火墙发起的ping测试）和trust，目的安全域为untrust，并且服务包含ping和您需要通行的协议。 - 创建或修改策略：如果不存在，创建一条允许IPv6流量的策略。
security-policy ipv6 rule name permit_ipv6_outbound source-zone trust destination-zone untrust source-address 你的80位前缀::/80 action permit
步骤三：检查核心交换机的默认路由
虽然核心能ping通运营商网关，但仍需确认默认路由配置正确。- 在核心交换机上检查IPv6默认路由：
display ipv6 routing-table - 确认存在：必须有一条
::/0的默认路由，下一跳指向防火墙的内网接口IPv6地址，而不是直接指向运营商网关。- 正确配置：
ipv6 route-static ::/0 防火墙内网接口IPv6地址
- 正确配置：
步骤四：检查ACG的透明模式配置
由于ACG是二层透明部署，理论上不应影响三层路由。但需要确认：- ACG上是否针对IPv6流量配置了任何安全策略或应用控制策略，可能会阻断ICMPv6或特定流量。
- 确认ACG的接口允许IPv6协议通过。
关于NAT66的决策建议
强烈建议：尽量不使用NAT66，采用原生IPv6路由方案。| 方案 | 优点 | 缺点 | 推荐度 |
|---|---|---|---|
| 原生IPv6（无NAT） | - 符合IPv6设计初衷，端到端通信 - 路径简单，易于排查 - 性能更好 | - 内网每个网段都需要公网可达的IP地址 - 需要更精细的安全策略 | ★★★★★（推荐） |
| NAT66 | - 隐藏内网结构，类似IPv4 NAT - 只需一个/64前缀即可满足多个网段 | - 破坏端到端通信，复杂应用可能失败 - 配置复杂，增加故障点 - 性能有损耗 | ★★☆☆☆（不推荐） |
排查命令总结（按顺序执行）
- 在核心交换机上：
display ipv6 routing-table # 查默认路由 tracert -6 2001:4860:4860::8888 # 跟踪路径，看包在哪一跳丢失 - 在防火墙上：
display ipv6 routing-table # 查回程路由 display security-policy rule all | include ipv6 # 查IPv6安全策略 display session table source-ip <核心交换机地址> # 查看是否有会话生成
tracert -6命令，这会最直观地告诉您流量是在哪一跳中断的，然后集中精力排查那一跳设备的路由和策略。希望这些步骤能帮助您快速定位并解决问题！在核心上以业务地址为源跟踪到DNS，tracert ipv6 -a 240E:66F:9B0:80D0:10::1 240e:d:0:100::6 只有防火墙内网的记录 1 240E:66F:9B0:80D0::2 2.655 ms 2.043 ms 1.942 ms 2 * * * 3 * * *
zhiliao_nc8pPj
发表时间：23小时前
感谢，你提醒我了，防火墙的IPV6策略是单独的，新建一条IPV6的A-A permit解决了
zhiliao_nc8pPj
发表时间：23小时前
配置路由协议了吗，没配置路由不通呀
解决了，防火墙的IPV6策略是单独的，新建一条IPV6的A-A permit，直接全搞定
zhiliao_nc8pPj
发表时间：23小时前
更多>>
两边互相指了路由，不然业务地址是ping不通PD地址的
zhiliao_nc8pPj
发表时间：23小时前
解决了，防火墙的IPV6策略是单独的，新建一条IPV6的A-A permit，直接全搞定
zhiliao_nc8pPj
发表时间：23小时前
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
感谢，你提醒我了，防火墙的IPV6策略是单独的，新建一条IPV6的A-A permit解决了