核心交换机报TTL耗尽

路由写环路了？

该日志表示在槽位2检测到TTL过期告警。
你好请参考这个H3C S12500G-AF&S12500CR系列交换机 日志信息参考-R8064-6W101-新华三集团-H3C

TTL耗尽是环路了

日志含义

Slot2 单板检测到大量 TTL 耗尽报文；日志参数：THRESHOLD=10，60 秒统计周期，当前速率CURRENTRATELOW=6252，已经远超告警阈值 10，触发告警。 本质：大量 IP 报文到达这张单板时 TTL 已经变成 0/1，设备丢弃报文，统计速率超过阈值就打印这条告警。 典型诱因：三层路由环路、路由黑洞、回灌路由、旁挂 AC / 设备的回包异常、终端 tracert 大量探测报文Cisco。

组网背景：核心交换机旁挂 AC；核心仅一条缺省静态路由指向上联安全设备；核心下联汇聚、接入交换机。

优先排查方向（按概率从高到低）

1、检查是否产生路由环路（最高概率）

核心只有一条缺省指向上联安全设备；上联安全设备是否把某些网段又回指回核心，就会形成环路：报文核心→安全设备→核心来回转发，TTL 逐跳递减直到耗尽，产生大量 TTL‑expired 报文触发告警Cisco。

排查命令在核心交换机执行：

• 重点看：有没有本地下联业务网段，下一跳指向上联安全设备；同时安全设备又把该网段回指核心，双向来回。
• 在上联安全设备查看路由表，确认是否存在回灌给核心的路由。

现象特征：告警持续不断；业务可能伴随随机丢包。

2、旁挂 AC 是否异常发出大量 TTL=1 的报文

AC 旁挂核心，AC 本身做无线网关、DHCP、隧道，有可能 AC 侧故障、配置错误，向外大量发出 TTL=1 报文（tracert 探测、隧道封装异常、无线终端异常流量）。

1. 在核心上，对旁挂 AC 接入的接口做流量统计，匹配 TTL=1 报文：

观察该接口 inbound 方向匹配计数是否持续上涨，如果计数暴涨，流量来自 AC，需要排查 AC 配置 / 版本，抓包看源目的 IP。

3、下联汇聚、接入侧环路 / 终端大量 tracert 探测

接入层二层环路、或者有服务器 / 终端循环执行 tracert，会产生大量 TTL 从 1 开始递增的探测报文，会在核心产生 TTL 耗尽统计。

查看TTL exceeded计数器是否持续快速上涨华为。

• 看各 VLAN、各下联接口，通过 ACL+QOS 统计，定位哪个接口进来大量 TTL=1 报文，定位是哪台汇聚 / 接入方向过来。

4、确认告警阈值机制

日志参数INTERVAL=60，THRESHOLD=10：每 60 秒，如果 TTL 耗尽报文速率超过 10 就告警；当前CURRENTRATELOW=6252，每秒几千包，不是零星 tracert，是持续性流量。

注意：不建议直接关闭该告警，关闭告警只是屏蔽日志，不解决背后环路问题，会持续消耗 CPU / 转发资源。

定位报文源目 IP（关键步骤）

1. 配置 ACL 统计 TTL 等于 1 的报文，在各个可疑接口 inbound 方向应用 QOS 策略，看哪个接口匹配计数快速增长，定位流量来源是：上联安全设备方向 / 旁挂 AC 方向 / 下联汇聚方向。
2. 找到入接口后，镜像该接口流量，抓包看源 IP、目的 IP，看这些 TTL 耗尽报文的源目，即可定位是哪一段网段在循环转发。

典型场景复盘（匹配用户组网）

场景：核心缺省路由指向防火墙 / 安全设备；防火墙没有完整业务网段明细，收到业务网段的报文后，查路由又把报文扔回核心，形成环路，报文来回转发 TTL 不断减，大量 TTL=0 报文送到核心的 slot‑2 单板，触发IPFW/4/IPFW_TTLEXP_ALARM告警Cisco。 ✅解决方案：在上联安全设备上配置所有业务网段明细路由，指向下联核心交换机，避免报文回灌形成环路。

临时规避与收集信息

1. 不要直接关闭告警，优先找到环路根源；如果需要联系 H3C 技术支持，请收集：

同时提供抓包报文（TTL=1 的报文）。

补充小知识点

ip ttl‑expires enable是控制设备自己是否向外发送 TTL 超时报文，不会控制 IPFW_TTLEXP_ALARM 告警；告警是统计收到 TTL 耗尽的报文，该命令对这条告警无效，不要在这个配置上浪费时间H3C。