问

ACG1000;T1000;F5000

流量统计

2026-07-04提问

0关注
0收藏，229浏览

zhiliao_TBj9oK

zhiliao_TBj9oK 四段

粉丝：0人关注：0人

问题描述：

客户现场网络拓扑未：核心交换机（192.168.0.2）双链路上行ACG1000（二层）双链路上行T1000（二层）两条单链路至F5000出口防火墙主备RBM（主实地址192.168.0.3备实地址192.168.0.4虚网关192.168.0.1）上行互联网公网地址

现在带源地址ping百度服务器或者虚网关地址、互联网公网地址都会会出现不规律丢包，我如何在安全设备做流通，策略开启命中次数感觉不太准

traffic behavior liutong

accounting packet（到这里就报错了）

组网及组网描述：

现在带源地址ping百度服务器或者虚网关地址、互联网公网地址都会会出现不规律丢包，我如何在安全设备做流通，策略开启命中次数感觉不太准

traffic behavior liutong

accounting packet（到这里就报错了）

最佳答案

zhiliao_GeOM0O

zhiliao_GeOM0O 九段

粉丝：23人关注：2人

一、先解决你 accounting packet 命令报错问题
报错根因
语法格式错误
正确命令必须带空格分隔参数，不能直接写 accounting packet；
Comware V7 安全设备（ACG/T1000/F5000）两种统计区分
方式 1：QoS 流统计（精准逐段计数，排查丢包首选，你需要这个）
完整可复制配置（匹配内网 ping 互联网双向 ICMP 流量）
plaintext
system-view
# 1. ACL匹配双向ping流量（源内网、目的公网/虚网关）
acl advanced 3999
rule permit icmp source 192.168.0.0 0.0.0.255 destination any counting
rule permit icmp source any destination 192.168.0.0 0.0.0.255 counting
quit
# 2. 流分类绑定ACL
traffic classifier liutong_class operator and
if-match acl 3999
quit
# 3. 流行为开启报文统计（正确语法：accounting 空格 packet/byte）
traffic behavior liutong_act
accounting packet
# 可选同时统计字节
accounting byte
quit
# 4. 创建流策略绑定分类+行为
qos policy liutong_policy
classifier liutong_class behavior liutong_act
quit
关键部署规范（二层串联设备必须双向应用）
ACG/T1000/F5000 都是透明串联，上下行接口入方向都要应用流策略，才能完整统计进 / 出报文数量对比丢包：
plaintext
# 内网侧上联接口（接核心交换机）
interface GigabitEthernet 1/0/1
qos apply policy liutong_policy inbound
# 外网侧下联接口（接下一台安全设备）
interface GigabitEthernet 1/0/2
qos apply policy liutong_policy inbound
查看统计对比丢包
plaintext
# 查看接口QoS策略收包总数，对比上下游设备数值，差值=链路/设备丢包
display qos policy interface GigabitEthernet 1/0/1 inbound
display qos policy interface GigabitEthernet 1/0/2 inbound
# 清空统计重新观测
reset qos policy statistics interface GigabitEthernet 1/0/1 inbound
reset qos policy statistics interface GigabitEthernet 1/0/2 inbound
方式 2：安全策略自带统计（你说 “命中次数不准” 的原因）
安全策略 rule hit 统计仅匹配首包，回程报文不计入命中次数；ICMP ping 双向报文只会算 1 次命中，无法精准统计丢包，所以排查丢包不能依赖这个，只能用上面 QoS 流统。
开启策略完整统计命令：
plaintext
security-policy statistics rule-hit enable
# 查看策略命中
display security-policy statistics rule-hit
二、你的组网逐段丢包定位逻辑（核心拓扑：核心→ACG1000 二层→T1000 二层→F5000 RBM 主备）
分段排查顺序（从内到外，缩小丢包范围）
阶段 1：先区分丢包区间（分段 ping）
内网终端 ping 核心上联 ACG 互联地址：无丢包 → 内网无问题；丢包 = 核心交换机故障
终端 ping ACG 与 T1000 互联地址：丢包区间在【核心↔ACG】或【ACG 内部丢弃】
终端 ping T1000 与 F5000 互联地址：丢包区间在【ACG↔T1000】或【T1000 内部丢弃】
终端 ping F5000 虚网关 192.168.0.1 / 公网：丢包区间在【T1000↔F5000】或 F5000 RBM 主备问题
阶段 2：每台安全设备都部署上面 QoS 流统，数值对比定位丢包位置
举例判断逻辑：
ACG 入接口收包 1000 个，出接口转发 800 个 → ACG 内部丢包（ACG 策略 / 带宽 / 连接数限制丢弃）
ACG 出接口转发 1000 个，T1000 入接口仅收到 700 个 → ACG-T1000 之间链路丢包（网线 / 双工 CRC / 端口故障）
T1000 出入数值一致，但 F5000 入包变少 → T1000 到 F5000 链路问题
F5000 入包多、出公网包少 → F5000 NAT / 安全策略 / RBM 主备切换丢包
三、各设备专属丢包高发原因（贴合你二层串联 + RBM 组网）
1. ACG1000（二层透明）丢包诱因
应用控制策略、带宽限流、P2P / 视频缓存限流主动丢弃 ICMP 报文；
特征库检测误拦截 ICMP，开启应用日志查看丢弃记录：display acg log session
接口双工不匹配、CRC 错包：display ethernet statistics 看 error 计数持续增长
CPU / 内存过高，报文处理延迟溢出丢弃：display cpu-usage / display memory
2. T1000 流量管理网关（二层）丢包诱因
流量管控、应用优先级、带宽保障策略丢弃小包；
会话表满，新建 ICMP 会话直接丢弃：display session table summary
七层检测深度解析占用 CPU，突发流量丢包。
3. F5000 RBM 主备二层串联（最高发丢包点）
RBM 特有问题（不规律随机丢包）
主备会话同步延迟：大量并发流量时，新会话未同步到备机，主备切换瞬间会话断裂丢包；
监控 track 接口频繁震荡，主备无感知切换，短时断流；
上下行双链路上行 RBM，两台 F5000 回包路径不一致，往返报文分走主备设备，会话失效丢包；
二层透明模式下，RBM 虚拟网关 ARP 同步异常，终端 ARP 指向备机，回程报文被丢弃。
F5000 通用丢包
NAT 地址池耗尽，外网回包无地址映射丢弃；
安全策略临时会话老化、ICMP 超时时间过短；
连接数上限达到阈值，新 ICMP 报文直接丢弃。
四、辅助精准定位工具（流统无法区分丢弃原因时使用）
1. 报文示踪（packet trace，V7 防火墙 / ACG/T1000 内置）
精准查看报文在哪一业务模块被丢弃，输出丢弃原因（策略拦截、带宽超限、会话失效、RBM 同步失败）
plaintext
# 跟踪内网源ping公网所有ICMP报文
packet-trace profile icmp-test match icmp source 192.168.0.0 0.0.0.255 destination any
packet-trace start profile icmp-test duration 30
# 查看丢弃详情
display packet-trace history profile icmp-test
2. 接口底层错误统计（物理链路丢包）
plaintext
display ethernet statistics slot 1
# 持续观察CRC、Error、Drop计数是否增长
3. RBM 主备会话同步排查（仅 F5000）
plaintext
display rbm summary
display rbm session synchronization statistics
# 查看会话同步失败计数，数值持续上涨=同步丢包根源
五、极简落地操作步骤
所有设备（ACG/T1000/F5000）全部部署 QoS 双向流统，使用正确accounting packet配置；
分段 ping 定位丢包在哪两台设备之间；
对比上下游接口流统报文计数，区分是设备内部丢弃还是链路物理丢包；
对应设备开启 packet-trace 报文示踪，查看精确丢弃模块与原因；
F5000 额外检查 RBM 会话同步、track 监控、NAT 地址池资源。

暂无评论

3 个回答

按时间按赞数

已采纳

刘浩存

刘浩存九段

粉丝：26人关注：1人

你在 ACG1000 上执行 accounting packet 命令报错，是因为 H3C的ACG系列（应用控制网关）和传统的交换路由产品（如交换机、F5000防火墙）使用的是两套不同的配置逻辑。

在交换机或F5000防火墙上：配置流量统计（流统）的标准方法是 traffic behavior + accounting packet。
在ACG1000上：它的核心功能是“应用识别与行为管理”，流量统计功能集成在“流量控制策略”或“应用审计策略”中，不支持通过 traffic behavior 下的 accounting packet 命令来配置。

针对你“带源地址ping百度服务器或者虚网关地址会出现不规律丢包”的问题，需要在 ACG1000、T1000 以及 F5000 这三台设备上分别进行排查。

🛠️ 在 ACG1000（二层透明模式）上配置流量统计

由于你的 ACG1000 是二层透明部署，推荐通过 Web界面 配置 流量控制策略 来进行统计。

登录 ACG1000 Web 管理界面。
创建 IP 地址对象：进入“对象管理” -> “地址对象”，新建两个地址对象，分别代表源IP（内网测试PC）和目的IP（如百度服务器、虚网关）。
创建流量控制策略：
- 进入“策略配置” -> “流量控制策略” -> “流量控制”。
- 点击“新建”，配置策略：
  - 源地址：选择你创建的内网源IP对象。
  - 目的地址：选择你创建的目的IP对象。
  - 动作：选择“限流”或“不限流”（不限流也可以做统计）。
- 在策略中，确保开启流量统计功能（通常默认开启）。
查看统计结果：策略生效后，可在“流量监控”或“策略命中统计”中查看匹配到的报文数和字节数。

如果无法使用Web界面，可以通过命令行查看接口的实时流量速率：

bash

display statistics device-traffic seconds display statistics device-traffic minutes

🛠️ 在 T1000 上检查流量

T1000 作为入侵检测/防御系统（IDS/IPS），通常也是旁路或透明部署，主要关注威胁日志，本身不是流量统计的主力设备。

检查端口统计：通过命令查看接口是否有错包：
bash
display counter inbound interface display counter outbound interface
查看威胁日志：确认是否有安全策略将ICMP报文误判为攻击而丢弃。

🛠️ 在 F5000 主备防火墙（RBM）上配置流量统计

F5000 是出口网关，是排查丢包问题的重中之重。可以使用标准的 QoS流统 功能。

配置步骤：

创建高级ACL（匹配ICMP报文）：
bash
acl advanced 3990 description liutong # 匹配从内到外的ICMP请求 rule 0 permit icmp source 192.168.0.x 0 destination 公网IP 0 counting # 匹配从外到内的ICMP应答 rule 5 permit icmp source 公网IP 0 destination 192.168.0.x 0 counting
创建流分类并关联ACL：
bash
traffic classifier liutong operator and if-match acl 3990
创建流行为并放行：
bash
traffic behavior liutong filter permit
创建QoS策略：
bash
qos policy liutong classifier liutong behavior liutong
在接口上应用QoS策略：
将策略分别应用到内网接口（inbound 和 outbound 方向）。
bash
interface Route-Aggregation1 qos apply policy liutong inbound qos apply policy liutong outbound
查看统计结果：
bash
display qos policy interface Route-Aggregation 1
通过对比出入方向的报文计数，可以判断丢包是否发生在 F5000 上。