防火墙SecPath 1080 链路聚合相关问题

缺省情况下，设备按照源IP地址和目的IP地址进行负载分担。

一、三款设备静态 / 手工聚合默认负载分担规则（精准答案）
1、SecPath1080 RAGG（Route-Aggregation 三层静态 Static 无 LACP）
三层 IP 报文（TCP/UDP，业务端口不通根源）：默认五元组 HASH 分担【源 IP + 目的 IP + 源端口 + 目的端口 + 协议号】
二层非 IP 报文：源 MAC + 目的 MAC+VLAN + 入端口
RAGG 是三层路由聚合，防火墙转发优先 L4 端口字段，同一源目 IP 不同端口会哈希分到不同物理链路
2、H3C S10512 静态 Bridge-Aggregation Static 无 LACP
三层 IP 流量：五元组（源目 IP + 源目端口 + 协议）
二层 access 流量：源 MAC + 目的 MAC+VLAN 哈希
整机默认自适应报文类型自动选分担字段
3、华为 E9000 Eth-Trunk manual 手工无协商模式（接入侧 access 二层）
二层 access 接口默认：源 MAC + 目的 MAC 哈希分担
三层路由口默认：源 IP + 目的 IP 哈希（不含 L4 端口）
manual 模式所有成员口全部转发、无备份链路
二、故障根因（端口有的通有的断、切换 RAGG 优先级正反通断反转、S10512 双成员 up 业务闪断，关闭单口恢复）
核心诱因：两端负载分担 HASH 字段不一致→TCP 来回报文走防火墙 RAGG 不同成员口→来回路径不一致、防火墙会话表不对称丢包
组网路径：
终端→华为 E9000（手工 Trunk，按 MAC 分流）→防火墙 SecPath1080 RAGG（静态聚合按五元组（含端口）分流）→上行 S10512（五元组分流）
下行 E9000 按 MAC 分链路，同终端所有端口报文固定走 E9000 其中一条聚合成员
防火墙入方向同 MAC 流量进来，基于五元组（端口）哈希，不同目的端口分到 RAGG 两个不同物理口
TCP 回程报文从防火墙另一个 RAGG 网口回包，S10512 上行五元组分流再次乱分链路
防火墙安全策略全通，但来回流量进出 RAGG 不同物理口→防火墙会话表入 / 出接口不一致，部分 TCP 端口会话被防火墙丢弃（端口不通）
修改 RAGG 主备优先级 = 修改 RAGG 链路选路 HASH 基准→流量切换链路，原来不通端口变通、通的变不通（现象完全匹配）
S10512 聚合双口同时 UP：来回继续错链路；关掉 S10512 其中一个聚合成员，只剩单链路，来回同口、路径一致，业务全通
三、整改配置（二选一，推荐方案 1 统一 HASH）
方案 1：全网统一负载分担字段（最优，不用改聚合模式为 LACP）
① SecPath1080 RAGG 口修改分担为【仅源目 IP，剔除 L4 端口】
plaintext
system-view
interface Route-Aggregation X
link-aggregation load-sharing mode source-ip destination-ip
② S10512 对接聚合口同样改成源目 IP 分担
plaintext
interface Bridge-Aggregation X
link-aggregation load-sharing mode source-ip destination-ip
③ 华为 E9000 Eth-Trunk 改成 src-dst-ip（放弃默认 MAC 分担）
plaintext
interface Eth-Trunk X
load-balance src-dst-ip
三方统一基于源目 IP 哈希，同一终端进出永远同一条链路，来回路径一致。
方案 2：全部改成 LACP 动态聚合（LACP 标准协商，消除 HASH 错配）
防火墙 RAGG 改成mode lacp-static
S10512 BAGG 改成mode lacp-static
华为 E9000 Eth-Trunk 改成mode lacp-static
LACP 协商选路，两端链路选择逻辑一致，根治来回错路。
四、快速验证命令
plaintext
# 查看防火墙RAGG分担模式
display link-aggregation load-sharing mode interface Route-Aggregation X
# S10512查看聚合分担
display link-aggregation verbose Bridge-Aggregation X
# 华为查看trunk分担
display eth-trunk X

一、 各设备 Static / Manual 模式下的默认负载分担机制

• H3C SecPath 1080 & S10512：静态聚合（Static）模式下，默认使用 l2+l3 负载分担算法。对于 IP 类型的数据包，系统会根据“源 IP + 目的 IP”做哈希运算来决定数据流从哪个物理接口转发；非 IP 数据包则根据 MAC 地址计算。
• 华为 E9000 (Eth-Trunk manual 模式)：缺省情况下，同样是基于源 IP 与目的 IP 地址进行异或运算（SIP-XOR-DIP）选择出接口。

二、 为什么会出现“有的端口通，有的不通”？

三、 故障排查与解决建议

1. 检查两端负载分担算法是否严格一致

2. 调整负载分担算法以优化流量分布

• 方案 A（推荐）：将负载分担模式修改为基于 “源 MAC + 目的 MAC”（SA-XOR-DA）。这在终端异构环境中通常能提供更均衡的分发效果。
• 方案 B：如果业务涉及同一对 IP 之间的大量多线程连接，可尝试增加端口维度，配置为基于 “源/目的 IP + 源/目的端口” 进行哈希。

3. 检查物理链路与双工状态

• 速率、双工方式、流控配置是否绝对一致。
• 光模块是否存在衰减，或者网线是否存在接触不良导致的偶发性丢包。

4. 考虑升级至 LACP 动态协商模式