hcl模拟器配置1090防火墙后与pc不通，策略也放通了，这是怎么回事

HCL M1090 配置 VRF 后 PC 不通、域间策略已放行 完整根因 + 排查步骤
核心背景
未配置 VRF 时接口属于全局 public 路由表，直连路由自动互通；一旦接口绑定ip vpn-instance xxx，接口路由隔离进独立 VRF 路由表，90% 不通问题集中在路由隔离、策略未匹配 VRF、接口 / 安全域绑定错乱。
一、Top1 高频故障：路由隔离（最常见）
现象
策略命中计数为 0，防火墙收包后无回程路由丢弃报文
接口绑定 VRF 后，直连路由仅存在该 VRF 路由表，全局路由表看不到该网段；
两端 PC 分属不同 VRF / 一端 VRF 一端全局，无跨 VRF 路由泄露，流量转发失败；
直连 PC 看似同网段，但接口归属不同 VRF，路由表隔离，ping 不通。
验证命令
plaintext
# 查看全局路由表（看不到VRF内直连网段=路由隔离）
display ip routing-table
# 查看对应VRF独立路由表（只能看到本VRF直连）
display ip routing-table vpn-instance XXX
解决办法
同 VRF 内两台 PC 互通：无需跨 VRF 路由，仅需保证接口都绑定同一个 VPN 实例；
VRF ↔ 全局 public 互通：配置双向路由泄露二选一
方式 1：静态路由跨 VRF 泄露（模拟器通用）
plaintext
# 全局去往VRF网段
ip route-static 192.168.2.0 255.255.255.0 vpn-instance TEST 192.168.1.2
# VRF内去往全局网段
ip route-static vpn-instance TEST 192.168.1.0 255.255.255.0 192.168.1.1 public
方式 2：route-replicate复制直连路由（防火墙 V7 支持）
plaintext
ip vpn-instance TEST
route-replicate from public protocol direct
二、第二大故障：安全策略未匹配 VRF，规则不生效
关键原理
H3C 防火墙域间策略区分报文携带的 VPN 实例标签，只写源 / 目的域、IP，不指定 VRF 会匹配失败；
未配 VRF 时报文默认属于 public，策略正常命中；绑定 VRF 后报文带 VPN 标识，原有策略不再匹配。
错误示例（配置 VRF 后失效）
plaintext
security-policy
rule 1 permit source trust destination untrust
正确配置（必须增加 vpn-instance 匹配）
plaintext
security-policy
rule 1 permit vpn-instance TEST source trust destination untrust
验证策略是否命中
plaintext
display security-policy rule match
命中计数 0 = 策略缺少 VRF 匹配条件，报文直接被默认拒绝丢弃。
三、接口 & 安全域绑定错误
接口绑定 VRF 后，忘记加入安全域；或两端接口放同一安全域，域间策略不生效；
plaintext
interface GigabitEthernet 0/0
ip vpn-instance TEST
port security-zone trust // 必须绑定安全域
两端接口分到不同安全域，但策略只写单向，未双向放行；
接口 shutdown、地址掩码不一致、PC 网关写错成全局地址（未写防火墙 VRF 接口 IP）。
四、HCL 模拟器特有 BUG（容易忽略）
新增 / 修改 VRF 配置后，必须重启接口刷新转发平面，否则转发异常：
plaintext
interface GigabitEthernet 0/0
shutdown
undo shutdown
配置完 VRF 后旧会话缓存干扰，清空会话表：
plaintext
reset session table all
HCL 虚拟网卡时序问题：删除设备重新连线，重启防火墙、PC；关闭 Hyper-V 避免虚拟化冲突。
五、完整标准化排查流程（按顺序执行）
接口基础校验
plaintext
display ip vpn-instance
display interface brief | include vpn-instance
# 确认接口IP、UP、VPN实例、安全域绑定正确
路由校验
plaintext
display ip routing-table vpn-instance XXX
# 确认两端网段在对应路由表存在，跨VRF需双向泄露路由
安全策略校验
plaintext
display security-policy rule match
# 无命中计数 → 策略缺少vpn-instance匹配字段
转发调试（定位丢包点）
plaintext
debugging ip packet vpn-instance XXX
terminal debugging
terminal monitor
能收到入方向报文、无回包：回程路由缺失
收不到报文、直接丢弃：安全策略不匹配 VRF
极简总结
VRF 独立路由表，跨 VRF 必须配置双向路由泄露；同 VRF 只需接口绑定同一个 VPN 实例；
域间策略必须携带 vpn-instance 匹配条件，否则配置 VRF 后策略失效；
修改 VRF 后重启接口、清空会话表，规避 HCL 模拟器转发缓存 bug；
检查 PC 网关填写防火墙绑定 VRF 的接口 IP，不能填全局地址。

下载最新的模拟器看看

配置没问题的话，重启下设备