• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 全部
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索

F5000-X06+VRRP

2天前提问
  • 0关注
  • 0收藏,66浏览
粉丝:0人 关注:0人

问题描述:

1、防火墙和交换机通过VRRP协议互联,互联vlan1001 trunk模式;两台交换机VRRP状态正常,两台防火墙VRRP都是主。
2、防火墙配置:
FW-01:
vlan 1001
interface Bridge-Aggregation1
 port link-type trunk
 undo port trunk permit vlan 1
 port trunk permit vlan 1001
 link-aggregation mode dynamic
#
interface Vlan-interface1001
 description to-KYFW-DS-9600-PSW
 ip address 172.17.100.4 255.255.255.248
 vrrp vrid 100 virtual-ip 172.17.100.6 active
 vrrp vrid 100 priority 200
#
interface HundredGigE0/2/1
 port link-mode bridge
 port link-type trunk
 undo port trunk permit vlan 1
 port trunk permit vlan 1001
 port link-aggregation group 1
#
interface HundredGigE0/2/2
 port link-mode bridge
 port link-type trunk
 undo port trunk permit vlan 1
 port trunk permit vlan 1001
 port link-aggregation group 1
#
security-zone name Trust
 import interface Vlan-interface1001
 import interface HundredGigE0/2/1 vlan 1001
 import interface HundredGigE0/2/2 vlan 1001
#
security-policy ip
 rule 1 name untrust-trust
  action pass
  logging enable
  counting enable
  source-zone Untrust
  destination-zone Trust
 rule 2 name trust-untrust
  action pass
  logging enable
  counting enable
  source-zone Trust
  destination-zone Untrust
 rule 3 name untrust-local
  action pass
  logging enable
  counting enable
  source-zone Untrust
  destination-zone Local
 rule 4 name local-untrust
  action pass
  logging enable
  counting enable
  source-zone Local
  destination-zone Untrust
 rule 5 name trust-local
  action pass
  logging enable
  counting enable
  source-zone Trust
  destination-zone Local
 rule 6 name local-trust
  action pass
  logging enable
  counting enable
  source-zone Local
  destination-zone Trust
 rule 7 name trust-trust
  action pass
  logging enable
  counting enable
  source-zone t
  source-zone Trust
  destination-zone Trust
 
FW-02:
vlan 1001
interface Bridge-Aggregation1
 port link-type trunk
 undo port trunk permit vlan 1
 port trunk permit vlan 1001
 link-aggregation mode dynamic
#
interface Vlan-interface1001
 description to-KYFW-DS-9600-PSW
 ip address 172.17.100.5 255.255.255.248
 vrrp vrid 100 virtual-ip 172.17.100.6 standby
#
interface HundredGigE0/2/1
 port link-mode bridge
 port link-type trunk
 undo port trunk permit vlan 1
 port trunk permit vlan 1001
 port link-aggregation group 1
#
interface HundredGigE0/2/2
 port link-mode bridge
 port link-type trunk
 undo port trunk permit vlan 1
 port trunk permit vlan 1001
 port link-aggregation group 1
#
security-zone name Trust
 import interface Vlan-interface100
 import interface HundredGigE0/2/1 vlan 1001
 import interface HundredGigE0/2/2 vlan 1001
#
security-policy ip
 rule 1 name untrust-trust
  action pass
  logging enable
  counting enable
  source-zone Untrust
  destination-zone Trust
 rule 2 name trust-untrust
  action pass
  logging enable
  counting enable
  source-zone Trust
  destination-zone Untrust
 rule 3 name untrust-local
  action pass
  logging enable
  counting enable
  source-zone Untrust
  destination-zone Local
 rule 4 name local-untrust
  action pass
  logging enable
  counting enable
  source-zone Local
  destination-zone Untrust
 rule 5 name trust-local
  action pass
  logging enable
  counting enable
  source-zone Trust
  destination-zone Local
 rule 6 name local-trust
  action pass
  logging enable
  counting enable
  source-zone Local
  destination-zone Trust
 rule 7 name trust-trust
  action pass
  logging enable
  counting enable
  source-zone t
  source-zone Trust
  destination-zone Trust
 
3、核心交换机配置:
SW-01:
vlan 100
interface Vlan-interface1001
 ip address 172.17.100.2 255.255.255.248
 vrrp vrid 100 virtual-ip 172.17.100.1
 vrrp vrid 100 priority 200
m-lag mad exclude interface Vlan-interface1001
#
interface bridge-aggregation 101
 link-aggregation mode dynamic
interface HundredGigE1/2/1
 port link-aggregation group 101
interface bridge-aggregation 101
 port m-lag group 101
 port link-type trunk
 undo port trunk permit vlan 1
 port trunk permit vlan 1001
#
interface bridge-aggregation 102
 link-aggregation mode dynamic
interface HundredGigE1/2/2
 port link-aggregation group 102
interface bridge-aggregation 102
 port m-lag group 102
 port link-type trunk
 undo port trunk permit vlan 1
 port trunk permit vlan 1001
 
SW-02
vlan 1001
interface Vlan-interface1001
 ip address 172.17.100.3 255.255.255.248
 vrrp vrid 100 virtual-ip 172.17.100.1
m-lag mad exclude interface Vlan-interface1001
#
interface bridge-aggregation 101
 link-aggregation mode dynamic
interface HundredGigE1/2/1
 port link-aggregation group 101
interface bridge-aggregation 101
 port m-lag group 101
 port link-type trunk
 undo port trunk permit vlan 1
 port trunk permit vlan 1001
#
interface bridge-aggregation 102
 link-aggregation mode dynamic
interface HundredGigE1/2/2
 port link-aggregation group 102
interface bridge-aggregation 102
 port m-lag group 102
 port link-type trunk
 undo port trunk permit vlan 1
 port trunk permit vlan 1001

4、拓扑图如下:
 
 

 

3 个回答
粉丝:2人 关注:9人

排查步骤&命令:
1. 基础链路检查:
执行display interface brief确认BAGG1、Vlan-1001协议up;display link-aggregation verbose BAGG1确认聚合成员口均为Selected状态;display port trunk permitted Bridge-Aggregation1确认 trunk已放通VLAN1001。
2. 安全策略检查:
执行display security-policy rule match destination-ip 224.0.0.18 protocol 112,确认local域到互联口所属安全域已放通VRRP(协议号112)流量,无包过滤拦截。
3. 报文&交换机侧检查:
防火墙抓包packet-capture interface Vlan-interface1001 capture-filter "ip proto 112",若收不到对端报文,交换机执行display stp vlan 1001确认无端口被生成树阻塞。
4. VRRP配置校验:
确认两台防火墙VRID一致、虚拟IP同网段,未同时配置active强制主关键字(仅允许1台配强制主,否则必双主)。

修复提示:
配置变更前执行save备份配置,若双主因强制active导致,可删除备用墙的active关键字

暂无评论

粉丝:9人 关注:1人

根据你提供的配置和拓扑描述,核心问题在于:两台防火墙的VRRP状态都显示为Master,这通常意味着VRRP心跳报文没有正常交互,导致备防火墙无法感知主的存在。结合整体组网,还存在几个关键配置隐患。


 主要问题诊断

1. 防火墙VRRP双主的原因及修复

可能原因:

  • 二层隔离:防火墙之间VLAN1001的广播/组播报文被阻断,VRRP通告(组播224.0.0.18)无法到达对端。

  • 安全策略未放行VRRP:虽然你放行了Trust-Trust区域的所有IP流量,但VRRP是独立于IP的协议(协议号112),需要明确放行。

  • 聚合接口状态异常:防火墙的聚合口Bridge-Aggregation1可能未正常选中成员端口,导致底层链路不通。

  • VRRP配置不一致:FW-01配置了active关键字和priority 200,FW-02配置了standby,但两者virtual-ip相同。active/standby是非标准参数(Comware V7中通常用vrrp vrid 100 priorityvrrp vrid 100 preempt-mode),可能导致状态机异常。

修复步骤:

  1. 检查聚合链路状态
    在两台防火墙上执行:

    display link-aggregation verbose Bridge-Aggregation 1 确保每个聚合组至少有一个端口为Selected状态。如果为空,检查物理连线及交换机侧M-LAG配置。
  2. 放行VRRP协议
    在安全策略中添加明确规则(如果已放通Trust-Trust所有IP,VRRP仍需单独放行,因为它不是IP报文):

    security-policy ip
    rule 8 name trust-trust-vrrp action pass source-zone Trust destination-zone Trust protocol 112
  3. 验证VRRP报文互通
    在FW-01上执行:

    debugging vrrp packet
    terminal monitor 观察是否能收到来自FW-02的VRRP通告。若无,检查二层连通性(ping 172.17.100.5 -vlan 1001)。
  4. 简化VRRP配置(推荐)
    移除active/standby关键字,使用标准写法:

    # FW-01
    interface Vlan-interface1001 vrrp vrid 100 virtual-ip 172.17.100.6 vrrp vrid 100 priority 200 vrrp vrid 100 preempt-mode # 可选,默认开启 # FW-02 interface Vlan-interface1001 vrrp vrid 100 virtual-ip 172.17.100.6 vrrp vrid 100 priority 100

2. 整体组网架构的潜在隐患

你采用了“防火墙VRRP + 交换机M-LAG”的混合模式,虽然可行,但需注意以下几点:

组件当前配置问题风险说明
防火墙聚合组未配置undo link-aggregation load-sharing mode,默认负载分担可能将部分流量哈希到故障链路,建议改为主备模式以匹配VRRP主备切换:
link-aggregation selected-port maximum 1
交换机M-LAGm-lag mad exclude interface Vlan-interface1001已配置,但未配置m-lag system-numbersystem-macM-LAG协商可能失败,检查display m-lag summary确认状态正常
防火墙安全域FW-02的security-zone name Trust中错误导入了Vlan-interface100(应为1001)导致接口不在安全域内,流量被丢弃:
undo import interface Vlan-interface100
import interface Vlan-interface1001
RBM(未配置)拓扑图中有RBM,但配置中缺失如果希望防火墙间配置同步和会话热备,必须启用RBM(Remote Backup Management),而不是VRRP。VRRP仅提供网关冗余,不会同步会话表,切换时会导致业务中断。


根据你的实际需求(防火墙双机热备),建议二选一:

方案A:保持当前VRRP模式(轻量级冗余)

  • 修复上述VRRP双主问题。

  • 在防火墙聚合口启用主备模式selected-port maximum 1),确保上下行路径一致。

  • 缺点:主备切换时,已建立的会话会中断(除非应用层具备重连机制)。

方案B:改用RBM(推荐,生产环境标准)

  • 禁用VRRP,配置RBM(支持Active-Standby或Active-Active)。

  • RBM会自动同步会话表、NAT映射、路由等,实现业务无感知切换。

  • 参考配置:

    # 在两台防火墙上
    remote-backup group backup-mode active-standby local-ip 172.17.100.4 # FW-01 remote-ip 172.17.100.5 # FW-02 device-role primary # FW-01为主 vrrp vrid 100 virtual-ip 172.17.100.6 active 交换机侧仍需保持VRRP(或M-LAG),防火墙RBM与交换机VRRP可共存。


暂无评论

粉丝:7人 关注:2人

F5000-X06 双主 VRRP 故障根因分析与完整整改方案

先给核心结论:两台防火墙同时成为 VRRP 主设备,本质是「VRRP 报文被二层环路阻断 / 无法正常交互」,导致 FW-02 收不到 FW-01 的 VRRP 通告,误以为自己是主设备,结合你提供的配置和拓扑,根因和整改方案如下:

一、先定位根因(按优先级排序)

🔴 致命错误 1:FW-02 安全域配置笔误,直接阻断 VRRP 报文

plaintext
# FW-02 Trust域配置错误:把Vlan-interface1001写成了Vlan-interface100 security-zone name Trust import interface Vlan-interface100 # ❌ 错误!应该是Vlan-interface1001 import interface HundredGigE0/2/1 vlan 1001 import interface HundredGigE0/2/2 vlan 1001
  • 后果:FW-02 的 Vlan-interface1001 未加入 Trust 安全域,VRRP 报文(目的 IP 224.0.0.18)属于跨域(Local→Trust)流量,被防火墙默认拦截,FW-02 完全收不到 FW-01 发送的 VRRP 通告报文,因此 FW-02 超时后自动升为主,出现双主。
  • 优先级最高:这是最直接、最致命的错误,必须第一时间整改。

🟠 错误 2:防火墙侧 Trunk 聚合组与交换机 M-LAG 拓扑不匹配,形成二层环路

你的拓扑是防火墙双机→交换机 M-LAG 双归,正确的互联方式是:
  • FW-01 的聚合组 1 → 仅连接 SW-01 的聚合组 101
  • FW-02 的聚合组 1 → 仅连接 SW-02 的聚合组 102
  • 两台防火墙之间不能互联(你拓扑中 FW-01/FW-02 之间的 RBM 链路是冗余,不能和业务 Trunk 混接)
但你当前的配置是:
  • FW-01 和 FW-02 的聚合组 1 都放通了 VLAN1001,且通过交换机 M-LAG 形成了全互联二层环路
  • 交换机侧仅做了 M-LAG,但防火墙侧未开启 M-LAG / 生成树,导致:
    • VLAN1001 内出现二层环路,VRRP 报文被环路泛洪、丢包、延迟
    • FW-02 无法稳定收到 FW-01 的 VRRP 通告,频繁超时升主,最终双主

🟡 错误 3:VRRP 报文交互链路存在阻断风险

  • 防火墙侧安全策略中,trust-trust规则存在语法错误(source-zone t),规则未生效,可能导致同域内 VRRP 报文被拦截
  • 交换机侧 M-LAG 配置中,聚合组 101/102 的 VLAN 放通、接口状态未完全对齐,可能导致 VRRP 报文单向通

🟢 设计隐患:防火墙双机 + 交换机 M-LAG 的 VRRP 组网,原生存在环路风险

该拓扑的核心矛盾是:防火墙双机 VRRP 需要二层互通,而交换机 M-LAG 双归会形成二层环路,如果不做环路抑制,必然导致 VRRP 报文异常,出现双主。

二、完整整改方案(按步骤执行,100% 解决双主)

步骤 1:紧急修复 FW-02 安全域配置(立即生效)

plaintext
# FW-02 执行以下命令,修正VLAN接口归属 system-view security-zone name Trust undo import interface Vlan-interface100 # 删除错误配置 import interface Vlan-interface1001 # 正确加入Vlan1001 # 修正trust-trust规则的语法错误 security-policy ip rule 7 name trust-trust undo source-zone t # 删除错误配置 source-zone Trust destination-zone Trust
  • 验证:display security-zone name Trust 确认 Vlan-interface1001 已加入 Trust 域
  • 验证:display security-policy ip rule 7 确认规则语法正确、状态为 active

步骤 2:重构拓扑与链路,彻底消除二层环路(核心整改)

拓扑调整(必须严格执行)

  • 断开 FW-01 与 FW-02 之间的业务互联链路(仅保留 RBM 心跳链路,禁止业务 VLAN1001 通过该链路)
  • 防火墙与交换机互联方式修正
    • FW-01 的 Bridge-Aggregation1 → 仅连接 SW-01 的 Bridge-Aggregation101
    • FW-02 的 Bridge-Aggregation1 → 仅连接 SW-02 的 Bridge-Aggregation102
    • 两台防火墙之间不做业务 Trunk 互联,彻底消除环路

交换机侧配置修正

plaintext
# SW-01 修正聚合组配置,仅允许FW-01接入 interface bridge-aggregation 101 port m-lag group 101 port link-type trunk undo port trunk permit vlan 1 port trunk permit vlan 1001 # 禁止FW-02的链路接入SW-01的聚合组101 interface HundredGigE1/2/2 # 原连接FW-02的端口 shutdown # 或改为其他用途,禁止接入VLAN1001 # SW-02 修正聚合组配置,仅允许FW-02接入 interface bridge-aggregation 102 port m-lag group 102 port link-type trunk undo port trunk permit vlan 1 port trunk permit vlan 1001 # 禁止FW-01的链路接入SW-02的聚合组102 interface HundredGigE1/2/2 # 原连接FW-01的端口 shutdown

步骤 3:防火墙侧 VRRP 与环路抑制配置(关键)

方案 A:防火墙开启 M-LAG,与交换机 M-LAG 联动(推荐,华三官方标准方案)

plaintext
# FW-01 配置M-LAG,与SW-01联动 system-view mlag m-lag system-mac 0000-1111-2222 # 两台防火墙配置相同的系统MAC m-lag system-number 1 # FW-01为1,FW-02为2 m-lag system-priority 100 # FW-01优先级高于FW-02 # 配置聚合组为M-LAG成员 interface Bridge-Aggregation1 m-lag group 1 link-aggregation mode dynamic port link-type trunk undo port trunk permit vlan 1 port trunk permit vlan 1001 # 配置VRRP跟踪M-LAG状态 interface Vlan-interface1001 vrrp vrid 100 track m-lag 1 reduced 150 # M-LAG故障时,优先级降低150,自动切备 # FW-02 配置M-LAG,与SW-02联动 system-view mlag m-lag system-mac 0000-1111-2222 # 与FW-01一致 m-lag system-number 2 m-lag system-priority 50 interface Bridge-Aggregation1 m-lag group 1 link-aggregation mode dynamic port link-type trunk undo port trunk permit vlan 1 port trunk permit vlan 1001 interface Vlan-interface1001 vrrp vrid 100 track m-lag 1 reduced 150
  • 优势:M-LAG 会自动抑制环路,确保 VRRP 报文正常交互,同时实现上下行联动切换,彻底解决双主。

方案 B:防火墙开启生成树(STP/RSTP),抑制环路(备选,适合不改拓扑场景)

plaintext
# FW-01/FW-02 全局开启RSTP,配置为根桥 system-view stp global enable stp mode rstp stp root primary # 聚合组接口开启STP interface Bridge-Aggregation1 stp enable stp edged-port disable
  • 注意:交换机侧 M-LAG 会自动处理环路,防火墙侧开启 STP 仅做兜底,避免环路导致 VRRP 报文丢包。

步骤 4:VRRP 配置优化,增强稳定性

plaintext
# FW-01 优化VRRP配置,增加通告时间、抢占模式 interface Vlan-interface1001 vrrp vrid 100 virtual-ip 172.17.100.6 active vrrp vrid 100 priority 200 vrrp vrid 100 preempt-mode delay 10 # 抢占延迟10秒,避免震荡 vrrp vrid 100 timer advertise 1 # 通告时间1秒(默认1秒,可保持) vrrp vrid 100 track interface Bridge-Aggregation1 reduced 150 # 跟踪聚合组,故障降优先级 # FW-02 优化VRRP配置 interface Vlan-interface1001 vrrp vrid 100 virtual-ip 172.17.100.6 standby vrrp vrid 100 preempt-mode delay 10 vrrp vrid 100 timer advertise 1 vrrp vrid 100 track interface Bridge-Aggregation1 reduced 150

步骤 5:安全策略优化,确保 VRRP 报文正常转发

plaintext
# FW-01/FW-02 新增VRRP报文放行规则(兜底) security-policy ip rule 10 name permit-vrrp action pass logging enable counting enable source-zone Local destination-zone Trust service vrrp # 直接引用VRRP服务,精准放行
  • 验证:display security-policy ip rule 10 确认规则生效,VRRP 报文计数正常增长。

三、验证与测试(整改后必做)

1. 配置验证命令

plaintext
# 防火墙侧:查看VRRP状态,确认一主一备 display vrrp interface Vlan-interface1001 verbose # 预期:FW-01为Master,FW-02为Backup,VRRP报文收发计数正常 # 防火墙侧:查看安全域与策略 display security-zone name Trust display security-policy ip rule all # 交换机侧:查看M-LAG与VRRP状态 display m-lag verbose display vrrp interface Vlan-interface1001 verbose # 防火墙侧:查看聚合组状态 display link-aggregation verbose interface Bridge-Aggregation1

2. 故障切换测试

  1. 主防火墙 FW-01 断电 / 断网:查看 FW-02 是否在 3 秒内升为 Master,业务无中断
  2. 主链路 FW-01→SW-01 断开:查看 VRRP 是否自动切到 FW-02,聚合组状态正常
  3. 环路测试:断开所有整改链路,恢复原拓扑,确认 VRRP 双主复现,整改后彻底消失

四、常见隐患与避坑指南

表格
隐患后果整改方案
FW-02 安全域配置笔误VRRP 报文被拦截,双主修正 Vlan-interface1001 归属 Trust 域
二层环路导致 VRRP 报文丢包双主、业务震荡重构拓扑,开启 M-LAG/STP 抑制环路
VRRP 抢占无延迟主备频繁震荡配置preempt-mode delay 10
安全策略语法错误同域流量被拦截修正 trust-trust 规则,新增 VRRP 放行规则
防火墙与交换机 M-LAG 不联动上下行主备不一致,流量黑洞防火墙开启 M-LAG,与交换机联动

五、最终结论

  • 双主的核心根因:FW-02 安全域配置错误,导致 VRRP 报文被拦截,同时拓扑存在二层环路,加剧了 VRRP 报文异常。
  • 整改核心:先修复安全域配置,再重构拓扑消除环路,最后通过 M-LAG/STP 实现环路抑制,确保 VRRP 报文正常交互。
  • 组网建议:该拓扑的标准方案是防火墙 IRF 堆叠 + 冗余组 + Reth 接口,替代 VRRP+M-LAG 的混合组网,彻底避免环路和双主问题,稳定性更高。

补充:更优组网方案(替代当前 VRRP+M-LAG)

如果条件允许,建议将两台 F5000-X06 做IRF 堆叠,上行用 RBM 心跳,下行用聚合组对接交换机 M-LAG,通过冗余组统一管控主备,彻底消除 VRRP 双主、环路等问题,是华三防火墙的标准高可用方案。

暂无评论

编辑答案

你正在编辑答案

如果你要对问题或其他回答进行点评或询问,请使用评论功能。

分享扩散:

提出建议

    +

亲~登录后才可以操作哦!

确定

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作

举报

×

侵犯我的权益 >
对根叔社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明