数据包丢包

检查下防火墙的配置，是不是ips,av这些内容安全把业务数据当成威胁给阻断了？

H3C F1000‑AK9130 透明模式：ping 通、大流量传数据丢包不通
拓扑：总部专线 → F1000‑AK9130 (透明二层) → 二层交换机 → 服务器
现象：
去掉防火墙直连：业务数据传输正常
经过防火墙：ping 可以通，大文件 / 业务传输就失败
ping 小包可以过，大数据报文被拦截 / 丢弃，典型是 MTU、会话、安全策略、应用检测、硬件转发、流缓存问题。
排查顺序（按优先级）
1.MTU/MSS 问题（最高概率）
透明模式下防火墙不修改 IP 头，但会处理 TCP MSS。
ping 通是小包，业务大数据报文超过 MTU，分片被防火墙丢弃。
1）先确认链路 MTU，内网一般 1500；专线常见 1492/1480。
现象：ping ‑f ‑l 1500 服务器 IP 不通，小包能通。
shell
#查看接口MTU
display interface GigabitEthernet 0/0
透明模式域间接口 MTU 要和上下游设备一致。
开启 TCP‑MSS 裁剪，透明模式强烈建议配置：
plaintext
system‑view
tcp mss 1460
如果专线侧 MTU 是 1492，MSS 设置 1452。
不做 MSS 裁剪，TCP 大包分片被安全策略 / IPS 丢弃，ping 小包不受影响。
2. 透明模式域间策略放通（最容易踩坑）
透明模式，接口属于不同安全域。
ping（ICMP）放通了，但是业务 TCP/UDP 端口没有完整放通。
注意：有些版本默认允许 ICMP，不允许业务端口，就会出现 ping 通业务不通。
shell
display security‑policy
确认域间策略：比如 Trust‑Trust / Untrust‑Trust，业务源‑目的双向允许对应业务端口。
透明模式不等于不做安全策略！透明只是二层转发，域间策略依旧生效。
临时测试：放通全 IP 策略，测试业务是否正常。
plaintext
security‑policy
rule 1 permit ip source‑zone untrust destination‑zone trust
生产测试完务必删除，仅定位故障。
3. 会话表、会话老化、TCP 会话检测
1）看会话表，业务访问时有没有生成会话
plaintext
display session table verbose source‑ip x.x.x.x destination‑ip y.y.y.y
没有会话：策略没放通、报文没有上 CPU、二层 VLAN/PVID 问题。
会话频繁被删除：会话老化时间太短；或者 tcp 非正常报文被重置。
查看会话老化时间：
plaintext
display session aging‑time
大文件传输（FTP、大 TCP 流）建议调大 TCP 老化时间，避免长连接被提前切断：
plaintext
session aging‑time tcp 3600
2）TCP 异常报文检查：开启会话统计看丢弃计数
plaintext
display session statistics
重点看：tcp‑syn‑check、tcp‑invalid‑packet 丢弃计数是否持续上涨。
如果 invalid tcp 报文大量丢弃：防火墙校验 TCP 序列号，部分老旧业务设备会被误判。
临时关闭 TCP 严格校验定位：
plaintext
undo tcp syn‑check enable
4.IPS/ 应用识别 / 防攻击模块丢弃报文（高频）
ping 小包不受 IPS 影响，大流量、大报文会被 IPS、防攻击、流量防护丢弃。
plaintext
display defense statistics
display ips statistics
临时关闭 IPS 策略、攻击防范，测试业务是否恢复。
plaintext
system‑view
undo ips enable
undo defense enable
如果关闭后业务恢复：说明是 IPS 特征、防攻击阈值触发丢包。
常见：会话数阈值、每秒新建连接、流量阈值触发防护。
plaintext
display defense statistic threshold
看是否有 tcp‑scan、sessions‑limit 命中计数上涨。
注意：F1000‑AK9130 硬件高性能，一旦开启 IPS，大文件传输会经过安全检测，容易出现分片报文误丢。
5. 二层透明模式本身问题（VLAN/PVID、STP、硬件转发）
透明模式两个接口必须属于同一个 VLAN，接口 PVID 一致。
plaintext
display vlan
display interface GigabitEthernet brief
透明模式接口不要配置 access/trunk 错乱；不要配置隔离 VLAN。
查看硬件丢包统计：
plaintext
display counter interface GigabitEthernet 0/0
看 input/output error、dropped 字段。
如果接口存在 CRC、错包，是物理层问题；
如果接口计数器正常，丢包发生在防火墙内部转发平面，看上面会话、IPS 统计。
透明模式下，不要在透明接口上配置 ip 地址（管理 IP 除外）。
6. 分片报文丢弃
防火墙默认对 IP 分片报文做检测，部分业务大量分片报文直接丢弃，小包不受影响。
查看分片统计：
plaintext
display firewall fragment statistics
如果分片丢包计数持续上涨，可以临时放开分片检测定位：
plaintext
firewall fragment‑policy loose
定位操作步骤（实操流程）
带防火墙：ping ‑f ‑l 1472 服务器 IP，测试大包是否通，判断 MTU 问题。
配置 tcp mss 1460，测试业务。
临时放开域间全 IP 策略，验证是否安全策略端口没放通。
业务传数据同时，实时看：
display session table、display defense statistics、display ips statistics，观察哪个计数器持续增长。
依次关闭 IPS、攻击防范、tcp‑syn‑check，定位哪个模块丢包。
对比：跳过防火墙业务正常，说明报文源目 IP、业务本身没问题，问题 100% 出在防火墙处理层面。
典型现象对应根因速查
表格
现象 大概率原因
ping 通，大文件传一半断，ping‑f 大包不通 MTU/MSS 不匹配
会话表不生成 域间策略拒绝，二层 VLAN/PVID 错误
会话可以建立，传输一会断开 TCP 会话老化太短，tcp‑syn‑check 校验
会话建立，大量报文被丢弃 IPS / 攻击防范触发防护、分片策略
补充注意点
F1000‑AK9130 透明模式：管理 IP 配置在 Vlan‑interface，业务接口二层，不要业务接口配置三层 IP。
透明模式下，域间策略依旧生效，很多人误以为透明模式不需要做策略，这是最常见故障点。