接口urpf部署导致业务流量不通故障案例.docxVIP

接口urpf部署导致业务流量不通故障案例问题描述：上行通过接口int2（G2/0/0）连接NE5000E,NE40E-1通过NE5000E和其他节点的NE40E-2通信。 NE40E-1和NE5000E通过ISIS路由且ISIS邻居能正常建立，ibgp邻居也能正常建立，NE5000E下发缺省路由到NE40E-1，NE40E-1能正常学习默认路由，并通过缺省路由将上行数据发送到NE5000E。当前的问题是NE40E-1到NE5000E流量不通，从NE40E-1或NE40E-1下挂设备不能ping通其他地区NE40E-2接口地址218.200.50.1，在NE40E1 G2/0/0做流通也无法统计到icmp报文。网络拓扑：SWITCH-----(int 1)NE40E1(int g2/0/0)-----NE5000E---(INT3)NE40E2原因分析：1、路由问题，某台设备路由学习问题可能导致流量不通。2、错误配置将流量过滤掉了处理过程：1 、检查NE40E1到NE5000E的路由。经检查NE40E1与NE5000E上路由学习及发布都没有问题，因此路由的问题暂时排除。NE40E1到NE5000E的流量是通过默认路由转发的。[NE40E]dis ip routing-table? 218.200.50.1Route Flags: R - relay, D - download to fib------------------------------------------------------------------------------Routing Table : PublicSummary Count : 2Destination/Mask??? Proto?? Pre? CostFlags NextHop Interface? 0.0.0.0/0??IBGP??? 200? 15800????? RD?? 59.48.95.2????? GigabitEthernet2/0/02、通过NE40E1下挂设备ping NE40E2的接口地址int 3(218.200.50.1??)，在NE5000E的出入接口上做复杂流分类统计ping报文，可以统计到，说明NE5000E将报文正常转发并发回给NE40E1。3、在NE40E1流量的下行出口（如上拓扑图int 1）做流量分类统计，确认报文是否从NE40E1上转发出去。进行ping测试，查看int 1出口流量没有计数，可以确定报文没有出NE40E1发出去。 NE40Eping 218.200.50.1 PING 218.200.50.1: 56? data bytes, press CTRL_C to break Request time out Request time out Request time out Request time out Request time out? --- 218.200.50.1 ping statistics --- 5 packet(s) transmitted 0 packet(s) received100.00% packet lossNE40Edisplay traffic policy statistics interface GigabitEthernet 1/0/0 outbound verbose rule-based ----无法统计到报文Info: The statistics is shared because the policy is shared.Interface: GigabitEthernet1/0/0Traffic policy outbound: test123slot 1 :Traffic policy applied at 2013-03-11 20:01:53Statistics enabled at 2013-03-11 20:08:17Statistics last cleared: NeverRule number: 4 IPv4, 0 IPv6Current status: OK!?Classifier: 3800 operator orif-match ACL 3800 rule 5 permit icmp source 218.200.50.1 0 0 bytes, 0 packets Last 30 seconds rate 0 pps, 0 bps rule 10 permit icmp destination 218.200.50.1 0 0 bytes, 0 packets Last 30 seconds rate 0 pps, 0 bps?3、排查流量入口及出口相关配置，分析