S7506X-G ping 超融合平台不通

可能有的

网关全部在 S7506X-G，172.16.32.0 无线可以通 172.16.11.0（超融合）；172.16.37.0 无线 ping 不通 11 段；核心交换机无 ACL、无路由策略

重点：这种 “一个 SSID 通、另一个 SSID 不通”，大概率不是核心三层转发问题，优先查 AC 无线侧策略、其次是超融合分布式防火墙 / 安全组

一、先做快速定位（判断丢包位置，最关键）

1. 拿 37 网段无线终端，ping 核心 VLANIF 11 段网关（172.16.11.1）
   • ✅ 如果能 ping 通 11 段网关：核心三层转发没问题，问题在超融合侧回包拦截（超融合分布式防火墙 / 虚拟机系统防火墙）
   • ❌ 如果连 11 段 VLANIF 网关都 ping 不通：流量根本没到超融合，问题在 AC/SSID 策略、WLAN ACL、用户隔离
2. 在 S7506X-G 上抓包：

或者用tracert，看是在核心就断，还是包已经发到超融合、回包没回来

二、无线 AC 侧排查（最高概率，很多人忽略）

H3C AC 上 SSID 可以单独绑定 WLAN ACL、用户隔离、策略模板，32 和 37 是两个不同 SSID，策略可以不一样：

1. 检查 37 对应的 WLAN 模板有没有绑定 WLAN ACL（WLAN ACL 是在 AC 上拦截，交换机看不到）

32 模板没配拒绝，37 模板里面有拒绝 172.16.11.0 的规则，交换机上看不到这个 ACL！

2. 检查是否开启客户端隔离（user-isolation）：开启后无线用户只能访问网关，不能访问其他网段内网
3. 转发模式核对：集中转发 / 本地转发，37 的 VLAN 是否在 AC 放行、隧道是否正常
4. 确认 37 网段 VLANIF 在交换机上正常：display ip routing-table，172.16.37.0/24、172.16.32.0/24、172.16.11.0/24 三条直连路由都存在

三、超融合侧访问控制怎么查看（你问的重点）

超融合（H3C CAS/UIS、深信服 HCI、华为 FusionCompute）基本都有分布式防火墙 / 安全组，独立于物理交换机，物理交换机看不到这条策略：

1. H3C UIS/CAS
   • 网页：虚拟化平台 → 网络 → 安全组 / 分布式防火墙
   • 找到超融合虚拟机所属安全组，检查入站策略：是否允许源 172.16.37.0/24 访问，是否只放了 172.16.32.0
   • 临时测试：把安全组策略改成全放通，再 ping 测试
2. 深信服 HCI
   • 控制台→网络→分布式防火墙，按 IP 组 / 虚拟机查看策略，看源地址对象是否包含 37 段
3. 虚拟机系统本身防火墙（Windows 防火墙、Linux firewalld/iptables） Windows：wf.msc 高级防火墙，看入站 ICMP、回包策略 Linux：firewall-cmd --list-all / iptables -L -n

典型坑：超融合安全组只添加了 32 段为可信内网，漏掉 37 段，32 能通、37 直接被分布式防火墙丢弃，物理交换机没有任何丢弃日志

四、其他容易踩坑点

1. ARP 问题：37 网段的 ARP 能不能正常学到超融合虚拟机 MAC

2. 有没有黑洞 MAC、端口隔离，只在 37 对应的 VLAN 生效
3. 有没有单独在 VLANIF 37 下应用 qos、攻击防范丢弃 ICMP

4. 确认 37 网段无线终端网关是 172.16.37.1（核心 VLANIF），不是别的网关

最简排查顺序建议

1. 37 无线终端 ping 172.16.11.1（11 段网关）
   • 能通 → 直接去超融合平台查分布式防火墙 / 安全组
   • 不通 → 登录 AC，检查 37 这个 SSID 的 service-template、policy 模板、WLAN ACL、用户隔离
2. 通了网关还是 ping 不通虚拟机 → 超融合安全组放行 172.16.37.0/24