防火墙pppoe问题
- 0关注
- 0收藏，90浏览
问题描述：
两条宽带接入防火墙，物理接口采用路由模式部署 PPPoE 拨号均能正常上线；将接口切换为二层桥模式、通过 Vlanif 三层接口承载 PPPoE 拨号后，VLAN20 链路拨号稳定正常，VLAN30 链路拨号异常，持续反复发起拨号请求后即刻断开，无法建立 PPPoE 会话
4:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:43:50:362 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:43:50:362 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:43:55:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:43:55:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:44:01:362 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:44:01:362 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:44:06:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:44:06:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:44:12:362 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:44:12:362 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:44:17:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:44:17:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:44:23:362 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:44:23:362 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:44:28:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:44:28:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:44:34:367 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:44:34:367 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:44:39:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:44:39:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:44:45:362 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:44:45:362 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:44:50:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:44:50:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:44:56:362 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:44:56:362 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:45:01:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:45:01:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:45:07:362 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:45:07:362 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1.
*Aug 10 13:45:12:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Received a dialer message(DDR_DIALPRIM_CONN_REQ) for bundle 1.
*Aug 10 13:45:12:862 2026 FW PPPOEC/7/EVENT: -COntext=1; Successfully sent a dialer message(DDR_DIALPRIM_DISCONN_IND), bundle 1
组网及组网描述：
现象：
物理路由模式，电信 VLAN20、联通 VLAN30 两条 PPPoE 拨号全部正常；
改成二层桥模式，Vlanif20（电信）拨号稳定；Vlanif30（联通）不停：CONN_REQ → 立刻 DISCONN_IND，循环反复，无法建立 PPP 会话。
日志特征：DDR_DIALPRIM_CONN_REQ收到拨号请求，立刻主动下发DDR_DIALPRIM_DISCONN_IND，是防火墙本地 DDR 拨号模块主动断开，不是对端 BRAS 返回断开。
组网要点：外网交换机做二层 Trunk，VLAN20 给电信 PPPoE，VLAN30 给联通 PPPoE，防火墙上联口配置为二层桥，分别 Vlanif20/Vlanif30 做 PPPoE‑Client 拨号。
核心根因分类（按现场概率）
1、Dialer‑bundle 资源冲突（最高概率）
日志中始终打印 bundle 1，说明联通拨号也复用了 bundle 1。
❗每一个 Vlanif PPPoE 拨号，必须绑定独立的 dialer‑bundle 编号，不能共用 bundle。
Vlanif20 → dialer‑bundle 1（电信）
Vlanif30 → dialer‑bundle 2（联通，不能再用 bundle1）
错误示例：
plaintext
interface Vlan‑interface20
pppoe‑client dial‑bundle 1
interface Vlan‑interface30
pppoe‑client dial‑bundle 1 # ❌冲突！两个拨号共用同一个bundle，会反复断开重建
正确配置：
plaintext
interface Vlan‑interface20
pppoe‑client dial‑bundle 1
quit
interface Vlan‑interface30
pppoe‑client dial‑bundle 2
quit
dialer‑bundle 1
user‑name xxx@telecom
password simple xxx
quit
dialer‑bundle 2
user‑name xxx@unicom
password simple xxx
quit
现象就是你看到的：一个 bundle 被两个 Vlanif 争抢，一发起连接就本地主动 disconn。
2、外网交换机二层链路问题（VLAN30）
VLAN20 正常，说明整体 PPPoE 功能没问题；VLAN30 侧二层问题：
外网交换机上联联通的端口，VLAN30 配置错误：不是 untag、或者 Trunk 漏放 VLAN30；
链路存在环路、端口 CRC 错包；
联通 BRAS 侧收不到防火墙的 PADI 报文；
排查：在外网交换机镜像 VLAN30，看是否能看到防火墙发出的 PADI 广播报文。
3、Vlanif 接口配置缺失
Vlanif30 下，不要配置 IP 地址；PPPoE‑client 场景 Vlanif 三层接口不需要静态 IP。
plaintext
interface Vlan‑interface30
undo ip address any
pppoe‑client dial‑bundle 2
4、Dialer bundle DDR 参数异常
检查 dialer‑bundle 里面配置：不要配置dialer timer idle空闲挂断、不要配置错误的 dialer‑rule。
plaintext
display dialer‑bundle
#确认bundle2没有配置idle‑cut，按需拨号触发错误。
5、IRF 双机场景额外坑（看你的组网图是双防火墙 IRF）
双机 IRF 环境，Vlanif 属于全局逻辑接口：
外网交换机两条上联到两台防火墙，VLAN30 在两台防火墙都存在；
外网交换机如果没有做跨设备链路隔离，VLAN30 二层环路，PADI 报文回灌，防火墙 PPPoE 模块异常断开。
外网交换机到防火墙 IRF 的两条链路，做聚合，不要分开两个独立 Trunk。
现场排查命令（防火墙执行）
bash
#查看dialer‑bundle状态
display dialer‑bundle
display pppoe‑client session
#打开PPPoE调试，看PADI/PADO交互
debugging pppoe client packet
terminal debugging
#看VLAN、Vlanif状态
display vlan brief
display interface Vlan‑interface 20
display interface Vlan‑interface 30
调试观察：Vlanif30 是否发出 PADI 广播；有没有收到运营商 BRAS 的 PADO 应答。
只发 PADI，收不到 PADO：二层链路 / VLAN 问题；
还没收到 PADO，防火墙就打印 DISCONN_IND：本地 DDR/bundle 配置冲突（90% 是 bundle 编号重复）。
快速验证手段
把联通 PPPoE 账号临时挪到 Vlanif20 对应的 bundle 测试，账号是否正常；排除账号本身问题。
把 VLAN30 的 Vlanif 改成路由物理接口模式拨号，确认联通账号本身是否正常。
1. 基础配置核对
确认VLAN30对应的物理接口已加入对应VLAN（access/trunk允许通过），Vlanif30已绑定PPPoE客户端、dialer bundle对应正确：
display vlan 30
display interface Vlan-interface 30
display pppoe-client session summary
2. 桥模式下PPPoE报文转发检查
二层模式下检查VLAN30的物理接口是否存在报文丢弃，确认桥MAC学习正常：
display interface GigabitEthernet X/X/X（VLAN30对应物理口）
display mac-address vlan 30
同时抓包确认VLAN30方向是否收到运营商PPPoE的PADO/PADS报文：
packet-filter interface GigabitEthernet X/X/X inbound vlan 30 rule 0 permit pppoe-discovery
3. 常见故障点排查
检查Vlanif30的MTU是否为1492（PPPoE默认需减8字节），避免协商阶段报文被丢弃：
display interface Vlan-interface 30 | include MTU
确认dialer-group规则匹配正确，无异常流量触发DDR主动断开：
display dialer-group
display dialer interface Vlan-interface 30
排查是否存在同VLAN下其他PPPoE服务器冲突，或运营商绑定了原物理接口MAC，可尝试修改Vlanif30的MAC地址测试：
interface Vlan-interface 30
mac-address xxxx-xxxx-xxxx
4. 日志深度分析
开启PPPoE/PPP调试，定位断开具体阶段（LCP/认证/NCP）：
debugging pppoe-client all
debugging ppp all
terminal debugging
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论