一 故障背景各个厂家启明星辰、天融信、深信服安全设备经过交换机以及启明星辰天清汉马UTM后无法在安全管理平台上线组网连接各个厂商安全设备启明星辰、天融信、深信服以及安全管理平台——带外管理接入交换机——启明星辰UTM——核心交换机网关——运维终端组网描述各个厂商安全设备启明星辰、天融信、深信服以及安全管理平台在不同网段并且网关都在核心交换机侧二 故障分析1.通过运维终端登录安全管理平台ping各个安全设备无法ping通查看核心交换机配置存在包过滤与客户沟通包过滤不可以删除于是通过在包过滤ACL中添加网管平台到安全设备rule规则解决ping问题但是安全设备还无法上线2.登录启明星辰天清汉马UTM将所有策略全部临时放通安全设备依旧无法上线3.怀疑链路聚合hash负载问题将上下游链路聚合全部down掉一根链路安全设备依旧无法上线4.最后建议客户跳过启明星辰UTM进机房跳过后部分设备上线成功说明很大可能是启明星辰UTM本身的问题5.通过启明星辰UTM抓包分析数据包看到数据包到启明星辰UTM后异常转发被丢弃于是分析流量走向发现所有安全设备都会先经过带外管理交换机、启明星辰UTM、核心交换机网关然后再回到启明星辰UTM、带外管理交换机会存在一条访问数据流两次穿墙UTM的情况启明星辰UTM会认为是不安全的数据包会将这种数据包丢弃。三 解决方案1.对于启明星辰UTM将两次穿墙的数据流丢弃的问题客户将UTM的快速转发快转功能关闭解决。需要进行命令行操作如下命令filterconfig fast_mode off或者filterconfig superfast_mode off不同型号的设备还有其他命令建议去官网查看资料配置后重启设备生效配置后部分安全设备等待一会自动上线成功2.天融信防火墙无法上线是因为web界面没有相关配置升级版本会多出安全管理平台对接的界面配置后设备上线3.启明星辰UTM自身无法上线需要在安全管理平台对接的界面关闭开关再次开启后上线