本帖最后由 999的demo 于 2024-6-24 01:33 编辑
客户问题(AF为8.0.45版本) AF的WAN口连接的设备ping AF的LAN口不通(可以ping通AF的WAN口) 当AF ping 了WAN口的网关后,AF的WAN口连接的设备ping AF的LAN口就可以ping通了
进行抓包分析数据流1、确认是防火墙有收到icmp数据包,没有回包 2、确认路由信息,是有回包路由的,但是无法学习到路由下一跳网关的mac 3、抓取ARP数据包,发现AF发送了ARP请求去请求上行交换机网关的MAC地址(100.100.102.254对应的MAC地址),只不过请求的源IP为AF的LAN口,此时AF没有收到核心交换机的应答
排查结果1、为什么AF会以LAN发送ARP请求去请求WAN口网关IP对应的MAC AF的arp_announce默认为0(arp_announce的作用是控制系统在对外发送arp请求时,如何选择arp请求数据包的源IP地址) 查看防火墙的arp_announce配置 2、为什么核心交换机没有回应ARP请求 核心交换机-100.100.102.254应该是配置了arp_ignore为2或其他模式(arp_ignore参数的作用是控制系统在收到外部的arp请求时,是否要返回arp响应)
解决方法1.下一跳网关修改arp_ignore为0(需要客户修改,不建议)
2.af修改聚合口的arp_announce为1或2防火墙默认为0,不建议修改)
3.配置bond1的链路探测,同网段持续Ping,持续学习到mac(建议) |