2018-02-28
F5和CheckPoint组网中，一ci蹊跷的网络故障排查。
故障形貌
客户网络拓扑图如下图所示，整体架构接纳典型的口字型毗连方式。问题出在F5和CheckPoint Open Server软件防火墙之间，当CheckPoint举行主备切换，从CheckPoint上ping公网IP地址时，wang返路径纷歧致。
故障剖析
在此网络中，能够改变数据包走向的装备，只能是F5，因此将眼光聚焦在F5的设置上。F5装备既包罗内网应用宣布的功效，又充当Outbound偏向的链路负载平衡角色。
经由梳理，最终定位到F5上的“Auto Last Hop”功效：
开启此功效，F5会纪录防火墙第一ci请求的MAC地址，这样就意味着数据包从哪个MAC地址过来后，会再从这个MAC回去，并不会走路由表，纵然防火墙发生主备切换，F5照旧会找之前防火墙的MAC，好比说ping包从A防火墙转发到F5，此时防火墙发生主备切换，B防火墙变为主墙，理论上来讲数据包会回到B，但由于auto last hop特征，ping包此时会回到A，即从哪个MAC过来，就从哪个MAC回去，源进源出机制。
解决方案
关闭gai功效即可，有两种要领：
一、针对某个VS关闭gai功效
二、针对全局关闭gai功效
建议针对某个VS关闭gai功效，阻止影响其他营业。
一点心得
透过征象看本质，一切异常皆有据可查。
上一篇 ：智能运维之防火墙战略治理
下一篇 ：F5应用交付实例之流媒体chang景应用