F1000防火墙同接口进出问题

有问题：F1000 V7 默认不允许同接口入、同接口出（同域回流），首包建会话会失败、不通；这个场景叫单接口回流。

流量：20→核心→防火墙入接口 1.1.1.2→查路由又从同一个接口发回给核心，属于入和出是同一个接口、同一个安全域。

两个解决办法（二选一）

1. 推荐方案（改组网思路，不用回流） 不在交换机用策略路由强引 20<->30 走防火墙； 把 VLAN20、VLAN30 网关迁移到 F1000 上，防火墙起 VLANIF，天然跨接口跨域转发，正常走安全策略，无同接口限制。
2. 非要保留当前组网、走单接口回流 F1000 V7 开启同接口转发（same-interface forwarding），同时：

• 接口划入同一个安全域；
• 放通域内策略（V7 默认同域拒绝）；
• ASPF/TCP 严格状态检查容易断 TCP 业务，建议按需调整会话宽松模式。 命令：

system-view same-interface forwarding enable

⚠️ 缺点：不建议生产长期用，DPI、部分 ASPF、应用识别容易异常，排障麻烦。

补充提醒

交换机上的策略路由要精确，别误伤外网流量；防火墙回指路由保留不变。

这种情况在F1000防火墙上默认会有问题，核心原因是同接口收发会导致防火墙的会话状态检测异常，可能出现丢包或连接不建立。
问题原理：
防火墙基于会话转发，会话表包含入接口和出接口信息。当数据包从1.1.1.2进入，又需要从同一接口1.1.1.2发出时，防火墙默认会认为这是异常流量（类似环路或攻击），可能直接丢弃。
解决方案：
1. 开启同接口转发功能（推荐）
在接口下配置：

interface GigabitEthernet1/0/x
ip address 1.1.1.2 255.255.255.252
security-zone name Untrust
manage ping
undo shutdown
ip forwarding enable
ip last-hop hold

关键命令是 ip last-hop hold，允许基于上一跳进行同接口转发。
2. 配置安全策略放行
确保安全策略允许20网段和30网段互访，且源目安全域都是Untrust（或对应域）：

security-policy ip
rule name same-if
source-zone Untrust
destination-zone Untrust
source-ip 192.168.20.0 0.0.0.255
destination-ip 192.168.30.0 0.0.0.255
action pass

3. 如果仍不通，检查会话同步
确认没有开启会话同步或IRF等影响会话的功能。
验证命令：
display session table verbose | include 192.168.20
display ip forwarding-table
debugging security-policy packet ip
通常配置 ip last-hop hold 后即可解决同接口进出问题。