跟踪路由不显示下一跳

中间所有链路都开ttl回显才行

1. ✅双活网关（分布式 /anycast 网关）本身不会直接 “吃掉 TTL、跳过三层跳数”；但来回路径不一致、报文二层穿越汇聚设备，会造成 tracert 看不到汇聚节点H3C。
2. tracert 显示节点的必要条件：报文经过该设备做三层转发（TTL 减 1），并且设备回复 ICMP‑TTL‑exceeded 超时报文；如果报文只是二层透传经过交换机，没有做三层路由，TTL 不递减，则不会在 tracert 出现该设备H3C。

最常见两种根因（你的现象大概率第 1 种）

原因 1：流量在汇聚交换机是二层转发，没有执行三层路由（最高概率）

场景：PC 网关是汇聚双活虚拟网关；访问外网，报文三层终结在汇聚（TTL‑1），发给防火墙 VRRP 虚拟 IP。 但返回流量直接回防火墙，防火墙回程报文二层透传穿过汇聚交换机，汇聚不对回程报文做三层处理，TTL 不减少。

• tracert 探测包出去：源 →【汇聚三层，TTL‑1】→防火墙 →目的
• tracert 探测包回程路径：目的 →防火墙 →二层透传穿过汇聚 →源

回程报文在汇聚只是二层交换，不做三层，TTL 不会再减 1，汇聚不会生成 ICMP 超时报文。 Windows tracert 只看探测报文出去方向的 TTL 超时回复；若部分探测报文哈希走二层直通，汇聚不参与三层转发，tracert 输出就会直接跳到防火墙，看不到汇聚的 hop。

双活网关 / IRF 堆叠，双链路上行防火墙，很容易出现往返路径不对称：去程走汇聚三层，回程二层透传过汇聚。业务完全正常，仅 tracert 显示异常。

原因 2：汇聚交换机关闭 ICMP TTL‑超时报文发送

配置icmp ttl‑exceeded send disable，收到 TTL=0 报文丢弃，不回复 ICMP 超时报文，tracert 该跳显示* * *或者直接跳过该节点。

原因 3：防火墙安全策略丢弃 ICMP TTL‑exceeded 报文

防火墙放行业务流量，但安全策略拒绝 ICMP 错误报文，汇聚发回来的 TTL 超时报文被防火墙拦截，源端收不到汇聚的回应，tracert 就看不到汇聚节点。

区分：防火墙 VRRP 本身不会造成该现象，VRRP 只是虚拟网关，不修改 TTL 处理逻辑。

排查定位步骤

1. 确认报文是否真的经过汇聚三层转发 在汇聚交换机抓 tracert 探测报文：

• 出去方向：看报文是否经过 Vlan‑interface 三层接口，TTL 是否减 1；
• 回程方向：看回程报文是走二层还是走三层 Vlan‑interface。

2. 检查汇聚是否关闭 TTL 超时报文

V7 默认是开启发送；如果显示icmp ttl‑exceeded send disable，执行：

3. 检查防火墙安全策略，允许 ICMP 错误报文（ICMP type 11 TTL‑exceeded）

• 汇聚发给源端的 ICMP TTL 超时报文，要能够穿过防火墙回到内网源主机；
• 若防火墙策略拒绝 type‑11，源主机收不到汇聚的回应，tracert 就看不到汇聚。

4. 核对往返路由，消除来回路径不一致 双活网关双链路上行防火墙，尽量保证去、回流量都经过汇聚交换机三层转发，不要回程二层直通绕过三层 Vlan‑if 接口。

业务影响说明

⚠️该现象只是 tracert 工具显示异常，不影响业务转发、ping、业务访问；只是排障工具体验问题，不需要为了 tracert 改动现网业务架构。

验证小技巧

1. 在汇聚交换机本机上执行tracert 目的IP，此时汇聚作为源第一跳，一定能完整看到所有跳点。
2. PC 端 tracert，同时在汇聚交换机上debugging ip icmp看是否产生 TTL‑exceeded 报文，确认报文有没有发出，判断是交换机没回包，还是防火墙把回包拦截。

总结

1. 双活网关不会直接破坏 TTL；往返路径不一致，回程报文二层绕过汇聚三层接口是该现象最主要诱因。
2. tracert 必须报文经过设备三层转发（TTL‑1）+ 返回 ICMP TTL 超时报文，才会显示这一跳。
3. 业务不受影响，仅排障工具显示异常；优先检查 ICMP 配置、防火墙是否拦截 ICMP type11，再优化路由避免来回路径不一致。