问题描述：
华三交换机s12504g-af，堆叠配置，使用vlan171与两个防火墙互联，防火墙vlan171配置vrrf。在核心交换机出口做进入流量引流，在核心交换机vlan171做出流量引流。引流不成功，不知道原因。
组网及组网描述：
1、核心交换机配置
ACL 3012,
rule 35 permit ip destination 222.138.0.45 0
rule 36 permit ip destination 222.138.0.100 0
ACL 3013
rule 35 permit ip destination 222.138.0.45 0
rule 36 permit ip destination 222.138.0.100 0
rule 38 permit ip source 222.138.0.100 0
rule 40 permit ip source 222.138.0.45 0
traffic classifier sec-pool operator or
if-match acl 3012
#
traffic classifier sec-pool-out operator and
if-match acl 3013
#
traffic behavior sec-pool
redirect next-hop 10.6.210.10
#
traffic behavior sec-pool-out
redirect next-hop 10.6.210.10
#
qos policy sec-pool
classifier sec-pool behavior sec-pool
#
qos policy sec-pool-out
classifier sec-pool-out behavior sec-pool-out
interface Vlan-interface171
description for-fw-outside-Untrust-connect
ip address 222.138.0.129 255.255.255.252
ipv6 address FC00:0:0:2002::9/125
qos vlan-policy sec-pool-out vlan 171 inbound
interface Ten-GigabitEthernet1/1/0/47
port link-mode route
description to_MS-ZMD-5502-HWME60-001_G1/0/9
duplex full
speed 1000
ip address 218.29.224.106 255.255.255.252
mirroring-group 1 mirroring-port both
qos apply policy sec-pool inbound
ipv6 address 2408:8001:570:2408:8624:A0E0:0:3/127
[csw001&002.pri.idc2f.hn-zmd.hlwq]disp ip routing-table
Destinations : 51 Routes : 51
Destination/Mask Proto Pre Cost NextHop Interface
0.0.0.0/0 Static 60 0 218.29.224.105 XGE1/1/0/47
0.0.0.0/32 Direct 0 0 127.0.0.1 InLoop0
1.1.1.0/30 Direct 0 0 1.1.1.1 RAGG1024
1.1.1.0/32 Direct 0 0 1.1.1.1 RAGG1024
1.1.1.1/32 Direct 0 0 127.0.0.1 InLoop0
1.1.1.3/32 Direct 0 0 1.1.1.1 RAGG1024
10.6.207.1/32 Direct 0 0 127.0.0.1 InLoop0
10.6.207.2/32 O_INTRA 10 1 10.6.210.2 RAGG1
10.6.207.3/32 O_INTRA 10 1 10.6.210.6 RAGG2
10.6.207.4/32 O_INTRA 10 1 10.6.210.10 RAGG3
10.6.207.128/29 Direct 0 0 10.6.207.129 Vlan170
10.6.207.128/32 Direct 0 0 10.6.207.129 Vlan170
10.6.207.129/32 Direct 0 0 127.0.0.1 InLoop0
10.6.207.135/32 Direct 0 0 10.6.207.129 Vlan170
10.6.207.192/30 Direct 0 0 10.6.207.193 Vlan180
10.6.207.192/32 Direct 0 0 10.6.207.193 Vlan180
10.6.207.193/32 Direct 0 0 127.0.0.1 InLoop0
10.6.207.195/32 Direct 0 0 10.6.207.193 Vlan180
10.6.207.228/30 Direct 0 0 10.6.207.229 RAGG3.3
10.6.207.228/32 Direct 0 0 10.6.207.229 RAGG3.3
10.6.207.229/32 Direct 0 0 127.0.0.1 InLoop0
10.6.207.231/32 Direct 0 0 10.6.207.229 RAGG3.3
10.6.210.0/30 Direct 0 0 10.6.210.1 RAGG1
10.6.210.0/32 Direct 0 0 10.6.210.1 RAGG1
10.6.210.1/32 Direct 0 0 127.0.0.1 InLoop0
10.6.210.3/32 Direct 0 0 10.6.210.1 RAGG1
10.6.210.4/30 Direct 0 0 10.6.210.5 RAGG2
10.6.210.4/32 Direct 0 0 10.6.210.5 RAGG2
10.6.210.5/32 Direct 0 0 127.0.0.1 InLoop0
10.6.210.7/32 Direct 0 0 10.6.210.5 RAGG2
10.6.210.8/30 Direct 0 0 10.6.210.9 RAGG3
10.6.210.8/32 Direct 0 0 10.6.210.9 RAGG3
10.6.210.9/32 Direct 0 0 127.0.0.1 InLoop0
10.6.210.11/32 Direct 0 0 10.6.210.9 RAGG3
127.0.0.0/8 Direct 0 0 127.0.0.1 InLoop0
127.0.0.0/32 Direct 0 0 127.0.0.1 InLoop0
127.0.0.1/32 Direct 0 0 127.0.0.1 InLoop0
127.255.255.255/32 Direct 0 0 127.0.0.1 InLoop0
218.29.224.104/30 Direct 0 0 218.29.224.106 XGE1/1/0/47
218.29.224.104/32 Direct 0 0 218.29.224.106 XGE1/1/0/47
218.29.224.106/32 Direct 0 0 127.0.0.1 InLoop0
218.29.224.107/32 Direct 0 0 218.29.224.106 XGE1/1/0/47
222.138.0.0/25 Static 60 0 222.138.0.130 Vlan171
222.138.0.128/30 Direct 0 0 222.138.0.129 Vlan171
222.138.0.128/32 Direct 0 0 222.138.0.129 Vlan171
222.138.0.129/32 Direct 0 0 127.0.0.1 InLoop0
222.138.0.131/32 Direct 0 0 222.138.0.129 Vlan171
222.138.0.132/32 Static 60 0 10.6.207.130 Vlan170
224.0.0.0/4 Direct 0 0 0.0.0.0 NULL0
224.0.0.0/24 Direct 0 0 0.0.0.0 NULL0
255.255.255.255/32 Direct 0 0 127.0.0.1 InLoop0
2、安全接入交换机配置
1. 确认引流配置方式
华三交换机引流通常用策略路由（PBR）或MQC重定向。你只贴了ACL，没贴应用配置。如果是PBR，检查是否在VLAN接口或全局应用了ip policy-based-route；如果是MQC，检查traffic classifier、traffic behavior（redirect next-hop）和traffic policy是否已应用到接口。
2. 检查下一跳可达性
引流下一跳必须是防火墙VLAN171接口的真实IP，且核心上该IP的ARP要能解析。在核心执行：
display arp vlan 171
确认两台防火墙的VLAN171地址都有ARP表项。如果ARP学不到，引流报文无法封装二层头，自然不生效。
3. 确认VRRP主备关系
防火墙跑VRRP，引流下一跳应指向VRRP虚拟IP还是物理接口IP？如果指向物理IP，需确保该防火墙当前是VRRP主，否则回程流量路径不对称。建议下一跳直接写VRRP虚拟IP，让VRRP决定主备。
4. 检查ACL匹配方向
你ACL 3012/3013里rule 35/36匹配目的地址，rule 38/40匹配源地址。如果做入方向引流，ACL应匹配源IP（来自内网或外网的源）；出方向引流匹配目的IP。确认ACL规则方向和应用接口方向一致。
5. 查看引流统计
在应用策略的接口上执行：
display qos policy interface <接口名> inbound/outbound
或PBR场景：
display ip policy-based-route statistics
看匹配计数是否增长。如果计数为0，说明ACL没匹配到流量；如果计数增长但业务不通，说明引流动作没生效或下一跳有问题。
6. 堆叠环境特殊检查
堆叠下跨框转发时，重定向下一跳如果是本地框的防火墙接口，可能因堆叠链路问题导致重定向失败。确认两台防火墙分别接在哪个框，引流下一跳是否可达。必要时在堆叠主框上测试：
ping -a <核心VLAN171接口IP> <防火墙VLAN171 IP>
7. 简化验证
临时只保留一条引流规则，下一跳指向VRRP虚拟IP，用一台测试PC访问222.138.0.45，在核心上抓包：
debugging ip packet acl 3012
或端口镜像抓包，看报文是否被重定向到防火墙。
建议优先检查第2、3点，这是华三交换机引流不成功最常见的原因。如果还不行，把完整的PBR或MQC配置贴出来，我帮你进一步分析。
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论