能ping通但tracert全是星号，而且你已经开启了 ip unreachables enable 和 ip ttl-expires enable，这说明问题不在基础配置，而在于防火墙生成了ICMP超时报文，但在发出或回程时被丢弃了。

 首要排查：攻击防范/报文检测（即使Web界面为空）

这是最常见的原因。H3C防火墙的攻击防范功能中，有一个针对 Traceroute 的签名检测，它会主动丢弃 Traceroute 探测报文或回应的 ICMP 超时报文。

关键点：你在Web界面看到攻击防范是空的，不代表命令行下没有配置。部分防御策略可能通过命令行下发，但未在Web界面同步显示。

请在防火墙命令行执行以下命令确认：

如果输出中包含 firewall defend tracert 或 signature detect traceroute action drop，这就是根因。

解决方法：关闭该功能

有案例显示，删除 signature detect traceroute action drop logging 后，tracert 回显立即恢复正常。

 次要排查：NAT 的 ICMP-Error ALG

如果你的防火墙对出方向流量做了 NAT（源地址转换），那么 ICMP 超时报文（Type 11）在经过 NAT 时，需要 ALG（应用层网关）辅助进行地址转换。如果 NAT ALG 未开启，ICMP 差错报文可能无法正确回送到发起 tracert 的终端。

确认方法：

解决方法：在系统视图下开启

官方案例明确指出，在防火墙上开启 nat alg icmp-error 后，NAT 场景下的 tracert 下一跳信息恢复正常显示。

再次确认：安全策略/域间策略

虽然你提到攻击防范为空，但仍需确认安全策略或域间策略是否放行了 ICMP 超时报文。

Traceroute 依赖的 ICMP 超时报文，其 Type = 11。如果策略中只放行了 ping（Type 8/0），而没有放行 Type 11，回程报文会被丢弃。

检查方法：

确认策略中是否有类似 permit icmp-type ttl-exceeded（即 Type 11）的放行规则。

 终极定位手段：Debugging

如果以上检查都正常，可以在终端发起 tracert 的同时，在防火墙上执行以下命令，观察报文被哪个模块丢弃：

有案例中，正是通过 debugging firewall packet-filter all 发现报文被丢到了 InLoopBack0，从而定位到是“路由跟踪防范”功能导致的。

你tracert的是哪里的地址，没有回显是因为中间设备没有开启回显

SecPath V7 防火墙：ping 正常，本机 tracert 全部 * * * 排障

现象：防火墙命令行本机发起 tracert（带‑a 指定源），全程全部星号；ping 同一目标完全通；ip unreachables enable、ip ttl‑expires enable全局已开启；攻击防范为空；能看到 UDP 探测会话表。

核心原理区分

1. ping：本机发出 ICMP‑Echo‑Request，对端回 ICMP‑Echo‑Reply，属于会话应答报文，可以正常匹配会话表放行到 Local 域。
2. traert（UDP 模式）：防火墙本机向外发 UDP 探测包；路径中间设备回复 ICMP Type‑11（TTL‑expires TTL 超时）。该 ICMP 差错报文不属于 UDP 会话的反向应答报文，无法匹配 UDP 会话，报文目的 IP 是防火墙自身，报文进入Local安全域，必须有安全策略允许该 ICMP 差错报文进入 Local 域，否则直接丢弃，输出***。
3. service icmp‑traceroute：只管控【穿越防火墙转发的业务流量】，对防火墙本机发起的 tracert 完全无效，有这条配置也解决不了本机 tracert 问题。

一、优先执行排查命令（逐条复制执行）

两种调试结果判断

1. debugging icmp 完全看不到 ICMP Type11 报文
   • 情况 A：any‑>local安全策略没有放行 ICMP 差错报文，报文到达防火墙就被安全策略丢弃（最高概率）。
   • 情况 B：中间网络设备关闭ip ttl‑expires enable，中间节点本身就不回复 TTL 超时报文。
2. debugging icmp 可以打印出 ICMP Type11 报文，但是 tracert 依旧全星号
   • 版本缺陷 bug，建议升级防火墙版本；或中间 NAT 设备异常修改 ICMP 差错报文。

二、Local 域策略问题临时验证配置（测试用，生产后收紧）

如果display security‑policy rule source‑zone any destination‑zone local输出没有允许 ICMP 的规则，会直接复现该故障。

⚠️生产环境不要永久配置 any→local 全放 ICMP；定位故障后，细化策略，仅放行ICMP Type‑3、Type‑11差错报文，缩小安全面。

三、其他容易遗漏点

1. 接口下 ICMP 过滤：接口视图是否配置icmp deny，拦截入方向 ICMP 差错报文。

2. IPS 特征库 / 签名检测：虽然攻击防范 web 为空，检查是否有 signature‑detect 丢弃 UDP 扫描报文，导致 ICMP 差错被联动丢弃。

3. NAT 场景：防火墙本机 tracert 带‑a 内网源 IP，设备本机出方向会做源 NAT；返回 ICMP type11 报文目的 IP 为 NAT 转换后公网 IP，报文匹配异常。

现象：不带‑a 源正常；带‑a 内网源 IP 就全部 *。解决：本机 tracert 尽量不指定内网源 IP；或者配置 NAT 回流处理本机源 NAT 场景。

四、快速区分判断总结

表格

补充：display firewall session table ipv4 destination‑ip只能看到本机向外发出的 UDP 探测会话；ICMP‑Type11 差错报文不会继承 UDP 会话，不会出现在这条会话中，所以能看到 UDP 会话，但 tracert 依旧全部星号，这是该故障典型迷惑现象。