h3c Secpath F100-A-SI透明聚合部署不通问题

# SecPath F100‑A‑SI 二层透明 Inline（接口对 + Bridge‑Aggregation）问题分析

>
> 组网：核心交换机 ↔ F100‑A‑SI（透明 inline） ↔ 监控交换机；使用**二层聚合 Bridge‑Aggregation 做接口对**；现象：**关闭 Bypass 只能通 22 端口，其他业务端口不通；开启 Bypass 全部业务正常**；版本 7.1.064 R9660P58H3C。

## 问题 1：二层 Bridge‑Aggregation 做接口对思路是否正确？

✅ **思路本身是合法可行的**：V7 防火墙接口对支持二层聚合接口（Bridge‑Aggregation）作为成员接口，用来做 inline 透明串接，**但是你的配置存在致命错误**：

>
> 你现在：
>
>
> ```
> security‑zone name Trust
> import interface Bridge‑Aggregation2 vlan 1 13 1601 to 1602 4000
> import interface GigabitEthernet1/0/14 vlan 1 13 1601 to 1602 4000
> import interface GigabitEthernet1/0/15 vlan 1 13 1601 to 1602 4000
> ```
>
>
> **聚合组成员物理接口（G1/0/14、G1/0/15）重复导入安全域！**
> Bridge‑Aggregation2 已经是聚合逻辑接口，**成员物理口不能再单独 import 进安全域**；同理 Untrust 域也重复导入 BAGG1 和成员物理口。
>
>
> 👉 错误后果：**同一个二层报文同时被两个接口接收，会话表异常、二层转发错乱，只有部分短连接（如 22 SSH）能建立，长连接 / 其他业务直接被丢弃**，这就是你 “22 能通，8080 不通” 的根源。

### ✅正确安全域配置

```
security-zone name Trust
import interface Bridge-Aggregation2 vlan 1 13 1601 to 1602 4000
! 删除下面两行，不要导入物理成员口
! import interface GigabitEthernet1/0/14 vlan ...
! import interface GigabitEthernet1/0/15 vlan ...

security-zone name Untrust
import interface Bridge-Aggregation1 vlan 1 13 1601 to 1602 4000
! 删除G1/0/12、G1/0/13物理口导入
```

>
> 接口对的两个成员是**BAGG1、BAGG2**；安全域只需要导入**聚合逻辑接口**，**严禁把聚合物理成员口再次加入安全域**。

>
> 补充：接口对工作模式为**转发**，是 Inline 透明串接，流量经过防火墙做安全策略检测；
> Bypass 开启：设备故障时硬件旁路，流量绕过防火墙；**正常运行时，Bypass 开启不等于流量绕过防火墙**，只是启用故障旁路保护功能H3C。

## 问题 2：接口对工作模式为转发是否正确？Bypass 是否必须开启？为什么关闭 Bypass 只有 22 端口通？

1. **工作模式：转发 ✅正确**

>
> 接口对工作模式 = 转发：流量从接口一进、接口二出，经过防火墙安全策略处理，是 Inline 串接标准模式。
> 反射 / 黑洞模式不适合本场景。

2. **Bypass 功能：不是必须开启**

>
> - 关闭 Bypass：正常业务流量必须经过防火墙安全业务；设备故障，链路直接断；
> - 开启 Bypass：**正常工作流量依旧经过防火墙处理；仅当设备故障 / 硬件异常，触发硬件旁路，两端交换机直连**，**不会正常情况下绕过防火墙**H3C。

>
> ⚠️你现在现象：关闭 Bypass，只有 22 端口通，其他业务不通。
> 根因不是 Bypass 本身，而是**安全域重复导入聚合成员物理接口，造成会话表、二层转发异常**。
> SSH 22 是短会话，会话表可以建立；8080 长连接、多报文业务会被异常丢弃。
> 开启 Bypass 后，触发内部 Bypass，流量绕过防火墙的安全业务，直接二层透传，业务全部通，掩盖了配置错误。

>
> 重要：**不要依赖开启 Bypass 来解决业务不通，Bypass 是故障保护手段，不是业务正常运行的配置**。

## 问题 3：接口对高级设置：隧道报文转发依据、VLAN ID 检查功能

### ①隧道报文转发依据

- 你的场景：普通二层透明业务，**保持【封装后报文】（当前截图配置），无需修改**H3C。

>
> 该参数仅对 IPsec/GRE 隧道报文生效，普通业务流量不受影响。
> 只有当你在防火墙内部做隧道业务，才需要切换为封装前报文。

### ②VLAN ID 检查功能

>
> 开启 VLAN ID 检查：**会话表会校验报文入接口 VLAN ID，VLAN 不匹配直接丢弃报文**H3C。
> 你是 Trunk 透传多 VLAN 的 Inline 透明部署：**建议关闭 VLAN ID 检查功能**。
>
>
> 风险：开启该功能，当报文在接口对转发过程中 VLAN Tag 发生变化，会直接丢包，会出现部分业务不通；
> 只有严格单 VLAN 场景才建议开启。

## 完整修正要点清单

1. **删除安全域中聚合组成员物理接口的 import 配置，只保留聚合逻辑接口 BAGG1、BAGG2 导入安全域**（最关键）。
2. 接口对：名称 BAGG1‑BAGG2，工作模式 = 转发；**Bypass 建议开启（故障保护），但业务不通不是 Bypass 造成**。
3. 高级设置：
- 隧道报文转发依据：**封装后报文（保持不变）**
- VLAN ID 检查功能：**关闭**。
4. 安全策略：Trust→Untrust、Untrust→Trust 双向放通，确认策略匹配源 / 目的网段，不要漏放 VLAN。
5. 检查聚合状态：

```
display link‑aggregation summary
display interface Bridge‑Aggregation1
display interface Bridge‑Aggregation2
```

确认聚合组成员 UP，无成员异常。

## 排错验证命令（修改配置后）

```
display security‑zone configuration
display session table verbose #观察8080业务会话能否正常建立
display interface‑pair #查看接口对状态
display logbuffer #看是否有丢包、VLAN不匹配的日志
```