H3C SecPath F1000+二层透明部署不通

策略是any，上下行使用VLAN10进行透传

检查下接口和策略放行情况

配置能发吗？

H3C SecPath F1000 系列防火墙二层透明部署不通，通常由几个关键配置问题导致。绝大多数情况下，经过以下步骤排查都能定位问题。

🔍 第一步：基础连通性测试

在进行任何复杂配置检查前，先做一个最简单的测试来缩小问题范围：

• 跳过防火墙测试：将防火墙从网络中物理移除，用一根网线直接连接其上下联设备（如路由器和核心交换机）。

• 结果判断：

  • 如果跳过防火墙后网络恢复通畅，则问题100%出在防火墙的配置上。

  • 如果跳过防火墙后网络依然不通，则问题出在更基础的网络层面（如线路、设备配置等），与防火墙无关。

⚙️ 第二步：检查接口与桥接配置

如果问题锁定在防火墙上，首先检查其接口配置。

1. 接口必须为二层模式 (Bridge Mode)：用于透传流量的接口不能是三层路由口。

   bash

   interface GigabitEthernet1/0/1 port link-mode bridge

   • 查看命令：display interface brief，确认接口的“Link”和“Protocol”状态均为 UP。

2. 接口必须加入正确的桥组（Bridge Group）：上下行接口需要在同一个桥组中，才能实现二层数据转发。

   bash

   interface GigabitEthernet1/0/1 port access bridge-domain 1 interface GigabitEthernet1/0/2 port access bridge-domain 1

   • 查看命令：display bridge-domain，检查接口是否在正确的桥组中。

🛡️ 第三步：检查安全域与策略（最常见遗漏点）

这是防火墙“通”与“不通”的关键，也是配置中最容易遗漏的一步。

1. 接口必须加入安全域 (Security Zone)：二层口也必须加入安全域。

   bash

   security-zone name Untrust import interface GigabitEthernet1/0/1 vlan 1 to 4094 security-zone name Trust import interface GigabitEthernet1/0/2 vlan 1 to 4094

   • 注意：如果需要透传多个VLAN，import时必须指定VLAN范围，如 vlan 1 to 4094。

2. 必须放通安全策略 (Security Policy)：即使接口配置正确，没有策略允许流量通过，网络仍然不通。

   • 快速测试（验证后需收紧）：可以先创建一条全放通策略来验证。

     bash

     security-policy ip rule 0 name permit_all action pass

   • 查看命令：display security-policy ip。

   • 类型确认：部分版本可能存在新旧两套策略体系，需要确认当前使用的是哪种。

     • 使用 display current-configuration | include security-policy 查看。

     • 如果输出是 security-policy disable 或没有信息，则使用 zone-pair security 方式配置。

🌐 第四步：检查VLAN透传

如果网络中存在多个VLAN，必须确保防火墙能正确透传这些VLAN标签。

• 接口类型：根据上下联设备接口类型，防火墙接口需配置为 access 或 trunk 模式。

  bash

  interface GigabitEthernet1/0/1 port link-type trunk port trunk permit vlan all # 或指定具体的VLAN ID列表

• 查看命令：display interface brief 可以查看接口的链路类型。

🚫 第五步：检查特殊配置

某些高级功能可能会意外阻塞流量。

• STP（生成树协议）：如果开启，可能会阻塞接口。使用 display stp interface GigabitEthernet1/0/1 检查，若被阻塞，可考虑关闭或调整拓扑。

• 接口IP地址：透明模式下的业务接口不需要配置IP地址，否则可能引发问题。

🧪 第六步：检查会话表与MAC地址表

如果以上配置都正确，可以通过查看表项来确认流量是否真的经过了防火墙。

• 查看会话表：display session table ipv4。如果没有任何会话，说明流量可能根本没到达防火墙，或到达后被丢弃了。

• 查看MAC地址表：display mac-address dynamic。检查防火墙是否学习到了上下行设备的MAC地址。如果没有，说明二层链路本身有问题。

📡 第七步：抓包分析（终极手段）

如果以上所有步骤都无法解决问题，可以尝试在防火墙上进行抓包，以最精确的方式定位问题。

• 抓包命令：

  bash

  packet-capture interface GigabitEthernet1/0/1 inbound packet-capture interface GigabitEthernet1/0/2 outbound

  • 通过抓包，可以明确看到数据包是否进入防火墙（inbound），以及防火墙是否尝试将其发出（outbound）。

F1000-AK 二层透明部署不通 完整排查方案（V7 平台，由高频故障→低频故障排序）
核心原理
F1000 透明模式本质是二层网桥转发，设备不做三层路由，但安全域、安全策略依然生效，绝大多数不通故障都是「安全策略拦截」「接口不是二层桥模式」「同域互访未放行」三个问题。
一、先确认标准透明最简配置（对照检查是否配错）
组网假定
GE1/0/1 接内网交换机（Trust 域）、GE1/0/2 接外网核心 / 网关（Untrust 域），全网同网段无需三层路由。
plaintext
# 1、接口改为二层桥模式（必配，默认是三层路由口）
interface GigabitEthernet 1/0/1
port link-mode bridge
port access vlan 1
zone trust
undo shutdown
interface GigabitEthernet 1/0/2
port link-mode bridge
port access vlan 1
zone untrust
undo shutdown

# 2、全局开启网桥MAC学习（透明转发必备）
bridge enable
bridge mac-address learning enable

# 3、安全策略放行流量（最容易遗漏）
security-policy
# 内网访问外网放行
rule name Trust->Untrust
source-zone trust
destination-zone untrust
action pass
# 外网回程放行
rule name Untrust->Trust
source-zone untrust
destination-zone trust
action pass
# 【重中之重】同安全域内网设备互相访问默认阻断，内网PC互通必须放行
security-zone intra-zone default permit

# 4、配置透明管理IP（仅用来登录防火墙，不影响业务转发）
interface Vlan-interface 1
ip address 192.168.1.254 255.255.255.0
二、TOP6 高频不通原因（90% 故障在此）
1、安全策略缺失：同安全域主机互访被防火墙拦截（头号坑）
F1000 防火墙默认禁止同一安全域内终端互相通信。
现象：内网电脑互相 ping 不通，但电脑能 ping 通外网网关。
修复命令：
plaintext
security-zone intra-zone default permit
2、上联 / 下联接口仍是三层模式，未改成 port link-mode bridge
接口默认为三层路由模式，无法做二层透明转发。
校验命令：
plaintext
display interface GigabitEthernet 1/0/1 | include link-mode
正确输出：Port link-mode: bridge；如果是 route，执行 port link-mode bridge 修改。
3、上下行接口划入不同 VLAN、Trunk 允许 VLAN 不匹配
两端接入 Access 口必须属于同一个 VLAN；
上联 Trunk 场景，两个接口的port trunk allow-pass vlan必须放行完全一致的业务 VLAN。
4、安全域策略没双向放行，回程报文被丢弃
只放通 Trust→Untrust，没有 Untrust→Trust 回程策略，外网回包被防火墙丢弃。
临时验证手段：配置全域全通策略，测试能否通信，能通则说明是策略问题：
plaintext
security-policy
rule name ALL_PASS
source-zone any
destination-zone any
action pass
5、全局未开启网桥功能 bridge enable
没有开启网桥，防火墙不会二层转发流量，所有跨接口流量全部丢弃。
查看：display current-configuration | include bridge enable，无输出则补上 bridge enable。
6、物理层故障
接口物理 Down：display brief interface 查看 GE1/0/1、GE1/0/2 是否 UP；
光口对接：两端光模块速率、单模 / 多模必须一致，光纤收发不要插反；
对接交换机端口开启 STP，误将防火墙端口阻塞，更换交换机端口测试。
三、中层隐性故障（策略放行仍不通）
ARP 抑制开启导致 ARP 报文被拦截
防火墙默认 ARP 抑制会丢弃部分 ARP 请求，终端无法解析 MAC，表现 ARP 一直 incomplete。
关闭测试：
plaintext
arp suppression disable
接口开启端口安全、MAC 限制，MAC 学习被限制
查看 MAC 表：display mac-address dynamic，如果无法同时学到内网终端 MAC 与网关 MAC，关闭接口 MAC 限制：
plaintext
int range g1/0/1 to g1/0/2
undo port-security enable
undo mac-address max-mac-count
TCP 代理 / 应用安全拦截
临时关闭应用特征库检测、TCP 状态检测排查：
plaintext
inspect tcp disable
四、兜底排查手段（精准定位丢包位置）
1、防火墙本地抓包，判断报文进得来、能不能发出去
plaintext
debugging enable
debugging packet interface GigabitEthernet 1/0/1 inbound
debugging packet interface GigabitEthernet 1/0/2 outbound
terminal debugging
报文进入 GE1/0/1，但没有从 GE1/0/2 发出 = 防火墙内部丢弃（策略 / 网桥未开）；
两边都抓不到报文 = 上游交换机 / 网线故障。
2、排查是否 VLAN 冲突、管理 IP 网段冲突
Vlan-interface 管理 IP 和业务网段冲突，会干扰二层转发，管理 IP 建议使用独立管理网段。
3、关闭安全特性极简测试
依次关闭：特征检测、入侵防御、URL 过滤、病毒过滤，排除安全功能误拦截流量。
五、典型两种场景快速修复
场景 1：内网电脑互相 ping 不通、能上外网
执行：security-zone intra-zone default permit 即可解决。
场景 2：完全断网，内外网全都不通
确认接口 link-mode bridge；
执行 bridge enable；
配置 any-any 全通安全策略测试。
六、避坑补充
透明模式不需要配置路由、SNAT，加了反而造成转发异常；
不要在业务 VLAN 的 Vlanif 接口配置多余 IP，仅配置管理 IP 用于运维；
对接交换机建议关闭接入端口 STP，避免端口被阻塞断网。
极简总结
不通最高概率两点：没放行同域互访、接口没改成 bridge 二层模式；
先开全域放行策略测试连通性，连通后再收紧安全策略；
抓包是最快定位丢包位置的手段。