华为防火墙故障案例：FW已收到正向报文，但将其丢弃了

现象描述

在FW上做流量统计，根据流量统计结果判断是否有丢包。如下所示，DisnFrag（丢弃的非分片报文数）字段显示丢包数为3，Discard detail information（丢包详细信息）字段中Packet default filter packets discarded提示流量命中了默认安全策略导致丢包。

<sysname> system-view
[sysname] acl 3000
[sysname-acl-adv-3000] rule permit tcp source 10.1.1.1 0 destination 10.1.2.1 0
[sysname-acl-adv-3000] quit
[sysname] diagnose
[sysname-diagnose] firewall statistics acl 3000 enable
[sysname-diagnose] display firewall statistics acl
Protocol(tcp) SourceIp(10.1.1.1) DestinationIp(10.1.2.1)   
 SourcePort(53552) DestinationPort(80) VpnIndex(public)   
                 RcvnFrag    RcvFrag     Forward     DisnFrag    DisFrag   
 Obverse(pkts) : 3           0           0           3           0             
 Reverse(pkts) : 0           0           0           0           0          
   
 Discard detail information:
  Packet default filter packets discarded:     3

相关告警与日志

无

原因分析

• 安全策略丢包
• 流量超过带宽限制
• ARP缺失
• 接口访问控制管理丢包
• 路由缺失

操作步骤

下表仅列出常见丢包原因及操作步骤，更多丢包原因请参考丢包原因速查表 。

<sysname> system-view
[sysname] interface GigabitEthernet1/0/3
[sysname-GigabitEthernet1/0/3] service-manage enable
[sysname-GigabitEthernet1/0/3] service-manage https permit
[sysname-GigabitEthernet1/0/3] service-manage ping permit

<sysname> system-view
[sysname] display ip route-table ip-address