双机防火墙接口不停报链路故障，导致主备切换排查思路

很详细，学习了，感谢分享！

实用干货，感谢分享。

感谢楼主的分享，学习学习~~~

感谢分享

感谢分享

楼主的文章图文并茂，清晰易懂

问题描述：

eht4口一直显示链路故障，一会正常，一会故障，在系统故障日志中看到，一直有提示接口发生故障，探测ping丢包现象

现象截图：

在控制台上ping网关也有丢包：

处理过程及思路：

中午把电脑的IP配置成防火强eth4口的IP，然后用跟网线直连上放交换机，长ping两个小时均无丢包

排除是防火强到运营商的问题

下载当时出现故障日志的数据包看出，防火强接口确实已经发出了ping包，无回包

在防火墙上ping网关同时抓取数据包，可以发现，防火强直接去ping下一跳还是出现丢包现象

同时过滤arp包，发现arp信息是正常的，没有请求多余的公网地址（因为ARP请求了多个公网地址，多半是运营商给的掩码比较大导致，很容易变成arp欺骗）：

PS：detected那个广播包是免费ARP包，是防火强自身探测有没有谁用了自己的IP

在控制台查看arp表，发现确实也学到对端正确的arp：

查看主机高可用配置，发现eth4口没有加入监视口：

根因出在这里：由于业务口没有加入监视口，导致对于上联交换机来说，主备机的eth4口都是活的，导致部分回包回到了备机。也由于之前反馈说之前是有加监视口，仍有此现象，导致思路没有往这方面考虑。

于是登录上备机抓包，同时用主机去ping，发现可以在备机上抓到回包，备机抓包如下：

因此可以断定是回包到备机了

在回想之前客户运维人员，反馈有将eth4口加入监视口，却还是有丢包现象，追溯根因是由于，高可用性的配置是不会自动同步到备机的，需要我们自己登录备机添加，也就是之前反馈加了监视口只是在主机上添加了，备机上没有将4口加入监视口，所以对于上联设备来说，两个接口仍然都是活的，发生IP冲突，回包的时候随机丢给主备机。

调整完之后，数据包正常，无丢包现象。

补充：

如果添加网口监视，当其中的一个接口发生ping链路故障的时候，是不会发生主备切换的，只有当整个接口端口，或者down的时候才会进行主备切换的。