M9000域间策略问题故障排查.pdfVIP

M9000域间策略问题故障排查 一、开始 M9000域间策略问题定位故障的思路是：首先在M9000上查看业务流所 对应的会话表项是否存在。若会话表项存在，则需要仔细检查会话表 版权所有:杭州华三通信技术有限公司 项所包括的源/目的安全区域、发起方/响应方五元组、协议状态、双 向报文接收端口等信息是否符合组网预期，否则，需要检查域间策略 是否存在配置错误。若M9000上虽然可以查询到会话表项，但没有响应 方报文统计，这种情况很可能是由于路由交换网络未能将会话反向报 文正确转发至M9000造成的，此时需要从整网角度，尤其是报文转发路 径方面着手排查。若M9000上业务流对应的会话表项不存在，一种可能 是由于业务报文被域间策略阻断而未能创建会话，针对这种情况需要 重点检查对应该条流是否配置了含有允许动作的域间策略；另一种可 能是设备确实没有接收到该条流的业务报文，针对这种情况则需要排 查网络中M9000上游其他设备是否存在转发故障。域间策略是M9000的 基础安全特性，运维过程中遇到的故障主要以配置问题和流量转发路 径问题为主，在接下来的章节中将以IPv4协议为例进行详细说明。 1、是否存在会话表项 M9000作为H3C Comware V7平台防火墙部署，属于典