访问LB没有响应

安全策略没限制吧 

1. 检查虚服务器的“服务类型”与端口

健康检查通常只探测端口连通性（TCP），但业务访问可能涉及协议类型不匹配。

• 问题点：虚服务器配置的服务类型是TCP，但业务是HTTP/HTTPS，或者虚服务器监听的端口与真实服务器提供的端口不一致。

• 检查方法：

  • 确认虚服务器的 service-type 与实际业务一致（如HTTP选HTTP，HTTPS选HTTPS）。

  • 确认虚服务器的 port 与客户端访问的端口一致。

  • 如果是四层TCP负载，检查是否有七层高级策略（如HTTP header重写）导致转发异常。

2. 检查会话保持（Session Persistence）残留

如果之前做过配置变更，可能会存在会话保持表项残留，将新请求错误地指向了已下线或异常的真实服务器。

• 问题点：会话保持表未清除，流量被固定转发到某个有问题的实服务器。

• 解决方法：

  • 在LB上清除会话保持表：reset loadbalance session（具体命令视设备而定，谨慎操作）。

  • 或者暂时禁用会话保持，测试能否正常访问。

3. 检查安全策略（防火墙/ACL）

LB本身可能启用了安全策略，或者中间网络设备拦截了流量。

• 问题点：

  • LB设备上，虚服务器所在接口的安全域未放行流量（常见于H3C防火墙+LB融合设备）。

  • 客户端到虚服务器IP的网络路径上存在ACL或防火墙，拦截了业务端口。

• 检查方法：

  • 在LB上执行 display security-policy ip 检查是否有策略放行客户端到虚服务器IP、端口。

  • 用 ping 测试虚服务器IP的连通性，用 telnet 虚服务器IP 端口 测试端口是否可达。

  • 如果telnet不通，说明链路层或安全策略有问题；如果telnet通但HTTP无响应，则可能是七层策略问题。

4. 检查源NAT（SNAT）配置

负载均衡器转发请求到真实服务器时，默认会携带客户端的源IP。但很多真实服务器的防火墙或应用只允许来自特定IP的请求。

• 问题点：真实服务器上没有允许LB的IP访问，或者没有回程路由。

• 解决方法：

  • 在LB上开启源地址转换，将请求的源IP转换为LB自己的内网IP或一个代理IP。

  • 确认真实服务器的防火墙允许来自LB的IP访问业务端口。

  • 确认真实服务器有指向LB的回程路由（如果真实服务器与LB不在同一网段）。

5. 检查真实服务器的本地防火墙与监听

虽然“测试负载服务器ok”是直接访问通的，但可能存在监听地址绑定的问题。

• 问题点：真实服务器上的服务只监听了 127.0.0.1，而不是 0.0.0.0，导致来自LB（非本机）的请求被拒绝。

• 检查方法：

  • 在真实服务器上执行 netstat -anp | grep 端口号，确认服务监听的IP是 0.0.0.0 或实际网卡IP。

6. 检查虚服务器状态是否为“可用”

有时虚服务器因健康检查失败或手动禁用而处于“不可用”状态。

• 检查命令：

  display loadbalance virtual-server查看 State 是否为 Active。若为 Inactive 或 Disabled，则无法处理请求。

7. 抓包分段

如果以上都检查过仍无解，建议在LB上进行抓包，分两段看：

1. 客户端侧：在LB的入接口抓包，确认客户端请求是否到达LB。

2. 服务器侧：在LB的出接口抓包，确认LB是否将请求转发给真实服务器，以及真实服务器是否有响应。

若请求到了LB但没转发，说明LB策略或实服务器组配置有问题；若转发了但服务器无响应，说明服务器端处理异常。