防火墙丢包故障排查.pdfVIP

防火墙丢包故障排查 一、开始 防火墙丢包问题定位故障的思路是：首先确定发生丢包的具体位置和 丢弃报文方向，然后再具体分析产生丢包的原因。在现场条件允许的 版权所有:杭州华三通信技术有限公司 前提下，最好先利用交换机流量统计策略或抓包等方式判断丢包发生 的准确位置，确认是否防火墙造成；然后再依次对防火墙的端口状态 、CPU/内存、配置等进行检查；如果防火墙出现临时性丢包，则应重 点检查在发生丢包时，会话表项统计及快速转发统计，如果这些统计 值出现异常，往往是由于突发性的异常流量短时间内在防火墙上创建 了大量无用会话表项，影响了防火墙转发性能导致，通过合理地优化 配置或消除攻击源即可解决。 1、是否本防火墙丢包 通常情况下，丢包类问题是网络工程师利用ICMP Ping测试发现的。在现场条件允许的前提下，建议对Ping测试的数据 包实施流量统计，以明确丢包问题是否发生在本防火墙设备上。安全 产品目前不支持流量统计功能，因此需要在相连的上下行交换机端口 上进行操作，防火墙插卡可以直接在宿主路由交换主机与防火墙单板 的内联接口上进行操作。对于无法在路由交换设备上实施流量统计的 组网情形，可以通过在流量入/出防火墙的端口位置抓包，通过对比进 入防火墙之前和经