SecPathU200-CS虚拟分片重组是否会拦截大流量包？

虚拟分片重组功能原理
虚拟分片重组（VFR）用于处理分片IP包，将多个分片重组后进行安全检测（如入侵防御、应用识别），默认对分片包进行重组，若重组后的包超过设备处理阈值（如最大重组缓存、单流重组包数限制），会导致丢包或会话中断。
与故障的关联性分析
1. 批量提交的数据包特征：JDBC批量提交可能产生大尺寸或分片数据包，过墙时触发VFR重组；若重组后的包超过设备阈值（如默认单流重组包数限制、缓存大小），会被拦截或丢弃，导致会话卡死。
2. 本地/跳板机正常的原因：本地或跳板机未经过防火墙的VFR检测，无重组限制，因此无异常。
排查步骤及命令
1. 查看VFR配置：
bash
display firewall virtual-fragment-reassembly # 查看VFR全局及接口配置
display firewall virtual-fragment-reassembly statistics # 查看VFR统计（是否有重组失败/丢弃）

2. 检查会话及丢包：
bash
display session table destination [数据库IP] # 查看过墙会话是否异常断开
display acl logging # 查看是否有ACL拦截日志
display firewall session statistics # 查看会话建立/删除情况

3. 临时关闭VFR测试（验证是否为VFR导致）：
bash
system-view
firewall virtual-fragment-reassembly disable # 全局关闭VFR（测试后需恢复）

解决建议
1. 调整VFR参数（若关闭后故障消失）：
bash
system-view
firewall virtual-fragment-reassembly max-fragments-per-stream 1000 # 增大单流最大分片数（默认可能较小）
firewall virtual-fragment-reassembly timeout 30 # 调整重组超时（避免缓存堆积）

2. 排除其他因素：检查防火墙的应用识别、入侵防御规则是否拦截JDBC流量；确认数据库服务器的MTU设置与防火墙一致（建议1500）。
补充信息（若需进一步定位）
防火墙型号及软件版本（display version）；
数据库服务器的IP及端口；
故障时防火墙的display logbuffer输出（是否有VFR相关错误）。