RBM中控制通道的两个地址应该可以互通吧
- 0关注
- 0收藏，107浏览
问题描述：
请教一下，RBM实验配置完成后，使用互联接口作为控制通道和数据通道，两个接口复用。两台rbm直接相连，配置完成后发现HA的互联的两个地址不通，但是看现象应该没有问题啊
RBM_P[FW1]display remote-backup-group status
Local remote backup group information:
Backup mode: Active/standby
Device management role: Primary
Device running status: Active
Data channel interface: GigabitEthernet1/0/3
Data channel interface current state: Up
Data channel mode: Layer2
Local IP: 10.2.1.1
Remote IP: 10.2.1.2 Destination port: 60064
Control channel status: Connected
Keepalive interval: 1s
Keepalive count: 10
Configuration consistency check interval: 12 hour
Configuration consistency check result: Not Performed
Configuration backup status: Auto sync enabled
Static route backup status: Disabled
Running-data auto sync status: Enabled
Session backup status: Hot backup enabled
Mirroring Status:Disabled
Uptime since last switchover: 0 days, 0 hours, 16 minutes
Peer remote backup group information:
Backup mode: Active/standby
Device management role: Secondary
Device running status: Standby
Data channel interface: GigabitEthernet1/0/3
Data channel interface current state: Up
Local IP: 10.2.1.2
Remote IP: 10.2.1.1 Destination port: 60064
Control channel status: Connected
Keepalive interval: 1s
Keepalive count: 10
Configuration consistency check interval: 12 hour
Configuration consistency check result: Not Performed
Configuration backup status: Auto sync enabled
Static route backup status: Disabled
Running-data auto sync status: Enabled
Session backup status: Hot backup enabled
RBM 控制通道已经 Connected 正常建连，但数据通道二层模式下本身就不需要、也不会 ping 通 10.2.1.1/2 这对 IP，这是正常现象，不影响 HA 和会话热备。
谢谢
谢谢
根据你提供的信息，RBM控制通道状态为 Connected 是一个关键线索，这说明两台防火墙之间的核心心跳通信是正常的。无法 ping 通对端的IP地址，更多是受限于防火墙自身的安全策略。
ping 操作属于访问防火墙本地（Local）域的行为，默认会被安全策略拦截。即使RBM控制通道已经建立，也不意味着自动放行了 ping 这种管理性探测流量。
你可以按下面的步骤来排查：
📝 第一步：检查并放行安全策略
这是最常见的原因，需要为ping流量（ICMP）建立双向的放行策略。
确认接口所在安全域
首先需要确认用于互联的接口GigabitEthernet1/0/3属于哪个安全域。在系统视图下使用以下命令查看：display security-zone 通常物理接口会被划入Trust或Untrust域。为了后续配置，请记下这个接口所属的域，这里暂时记为Trust。创建并应用域间策略
由于流量是去往防火墙自身的Local域，因此需要放行“Trust到Local”方向的策略。在系统视图下配置：acl advanced 3000 rule 0 permit icmp quit # 创建域间策略，放行从Trust到Local的ICMP流量 zone-pair security source Trust destination Local packet-filter 3000 quit # 同时放行回程流量（从Local到Trust），以便ping能得到回应 zone-pair security source Local destination Trust packet-filter 3000 quit 完成上述配置后，可以再次尝试# 创建高级ACL，用于匹配ICMP协议ping对端地址，问题很可能已经解决。
🔍 第二步：如果策略放行后问题依旧，请继续排查
如果配置了策略但仍然不通，可以按以下顺序进一步排查：
检查接口Ping功能是否关闭：确认接口没有被禁用ping响应。
undo icmp-reply fast disable # 确保此命令存在或未被配置 quitinterface GigabitEthernet1/0/3检查基础网络连接：确认网线连接正常，接口指示灯是否亮起，两台设备互连的接口
GigabitEthernet1/0/3的物理和协议状态都是up。display interface GigabitEthernet1/0/3检查是否被其他策略或攻击防范拦截：可以通过查看安全策略统计计数器来确认。在
ping测试的同时，使用display packet-filter statistics interface GigabitEthernet1/0/3命令，观察是否有匹配的报文计数增长。此外，display anti-attack all命令可以检查是否开启了攻击防范功能，某些规则可能会丢弃ICMP报文。
1. 为什么 RBM 显示 Connected，但互 ping 不通？
Control channel status: Connected- 两端
Data channel interface state: Up - 主备状态正常、同步也开启
（1）RBM 走的是内部私有协议通道，不是普通三层转发
- 华三防火墙 RBM 在数据通道口不使用常规 IP 转发
- 而是直接在接口上封装 RBM 私有协议报文（端口 60064）
- 系统不会把这个 IP 交给普通 IP 协议栈处理，所以 ICMP/ping 不通
（2）接口是二层模式（Layer2），更不会参与普通三层互通
Data channel mode: Layer2
2. 那这两个 IP 到底 “能不能互通”？
- RBM 控制通道：互通（已 Connected，正常）
- 普通 IP 层（ping/HTTP/SSH 等）：不通，是正常现象
3. 怎么验证 RBM 确实正常？
display remote-backup-group status
- 两端
Control channel status: Connected - 本地
Active，对端Standby Configuration backup status: Auto sync enabled- 修改配置，看对端是否自动同步（最准）
4. 如果你非要让这两个 IP 能 ping 通（不推荐）
- 数据通道改为 三层模式
- 域间策略放通 Local 域 ↔ HA 接口所在安全域 的 ICMP
简单总结
display remote-backup-group status显示Connected→ 控制通道就是通的，RBM 正常- HA 互连接口 IP ping 不通→ 正常现象，不是故障，不用管
- 只要配置能同步、主备切换正常，就没问题
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
谢谢