R32的loopback0不能访问ISIS的部分网络

题目：:R32的loopback0不能访问ISIS的部分网络。

一、故障根因判断

      根因为AR30的G0/0/0接口上的outbound方向做了针对AR32的Loopback0接口地址的流量过滤行为。
二、故障分析

2.1 故障重现 在AR32上使用ping命令测试故障，测试结果如下：

---------------------------------------------------------------------------------------------------------------------------------

<AR32>ping -a 10.5.1.32 10.5.34.34
  PING 10.5.34.34: 56  data bytes, press CTRL_C to break
    Request time out
    Request time out
    Request time out
    Request time out
    Request time out

  --- 10.5.34.34 ping statistics ---
    5 packet(s) transmitted
    0 packet(s) received
    100.00% packet loss

<AR32>ping -a 10.5.1.32 10.5.1.34
  PING 10.5.1.34: 56  data bytes, press CTRL_C to break
    Request time out
    Request time out
    Request time out
    Request time out
    Request time out

  --- 10.5.1.34 ping statistics ---
    5 packet(s) transmitted
    0 packet(s) received
    100.00% packet loss

---------------------------------------------------------------------------------------------------------------------------------

         通过以上测试结果表明故障确实存在，AR32的loopback0接口无法访问AR32的g0/0/0和Loopback0接口地址，怀疑是AR32路由表不存在AR34的Loopback0与G0/0/0接口的路由信息，需要进一步判断。

2.2 在AR32使用dis ip routing-table命令查看AR32的路由表，查看结果如下：

<AR32>dis ip routing-table
Route Flags: R - relay, D - download to fib
---------------------------------------------------------------------------------------------------------------------------------
Routing Tables: Public
         Destinations : 18       Routes : 18       

Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface

      10.5.1.27/32  OSPF    10   2           D   10.5.239.28     GigabitEthernet0/0/0
      10.5.1.28/32  OSPF    10   1           D   10.5.239.28     GigabitEthernet0/0/0
      10.5.1.30/32  O_ASE   150  1           D   10.5.239.28     GigabitEthernet0/0/0
      10.5.1.31/32  O_ASE   150  1           D   10.5.239.28     GigabitEthernet0/0/0
      10.5.1.32/32  Direct  0    0           D   127.0.0.1                 LoopBack0
      10.5.1.34/32  O_ASE   150  1           D   10.5.239.28     GigabitEthernet0/0/0
      10.5.14.0/24  O_ASE   150  1           D   10.5.239.28     GigabitEthernet0/0/0
      10.5.34.0/24  O_ASE   150  1           D   10.5.239.28     GigabitEthernet0/0/0
     10.5.128.0/24  OSPF    10   2           D   10.5.239.28     GigabitEthernet0/0/0
     10.5.129.0/24  O_ASE   150  1           D   10.5.239.28     GigabitEthernet0/0/0
     10.5.130.0/24  O_ASE   150  1           D   10.5.239.28     GigabitEthernet0/0/0
     10.5.239.0/24  Direct  0    0           D   10.5.239.32     GigabitEthernet0/0/0
    10.5.239.32/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/0
   10.5.239.255/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/0
      127.0.0.0/8   Direct  0    0           D   127.0.0.1       InLoopBack0
      127.0.0.1/32  Direct  0    0           D   127.0.0.1       InLoopBack0
127.255.255.255/32  Direct  0    0           D   127.0.0.1       InLoopBack0
255.255.255.255/32  Direct  0    0           D   127.0.0.1       InLoopBack0
---------------------------------------------------------------------------------------------------------------------------------

    以上查询结果表明，AR32的路由表中存在AR34的Loopback0和G0/0/0接口地址的路由条目，怀疑是AR34的路由表中不存在AR32的Loopback0接口的路由信息，需要进一步判断。

2.3 在AR34上使用dis ip routing-table命令查看AR34的路由表，查看结果如下：

<AR34>dis ip routing-table 
Route Flags: R - relay, D - download to fib
---------------------------------------------------------------------------------------------------------------------------------
Routing Tables: Public
         Destinations : 16       Routes : 17       

Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface

        0.0.0.0/0   ISIS-L1 15   10          D   10.5.14.31      GigabitEthernet0/0/1
                        ISIS-L1 15   10          D   10.5.34.30      GigabitEthernet0/0/0
      10.5.1.30/32  ISIS-L1 15   10          D   10.5.34.30      GigabitEthernet0/0/0
      10.5.1.31/32  ISIS-L1 15   10          D   10.5.14.31      GigabitEthernet0/0/1
      10.5.1.34/32  Direct  0    0           D   127.0.0.1       LoopBack0
      10.5.14.0/24  Direct  0    0           D   10.5.14.34      GigabitEthernet0/0/1
     10.5.14.34/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/1
    10.5.14.255/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/1
      10.5.34.0/24  Direct  0    0           D   10.5.34.34      GigabitEthernet0/0/0
     10.5.34.34/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/0
    10.5.34.255/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/0
     10.5.129.0/24  ISIS-L1 15   20          D   10.5.34.30      GigabitEthernet0/0/0
     10.5.130.0/24  ISIS-L1 15   20          D   10.5.14.31      GigabitEthernet0/0/1
      127.0.0.0/8   Direct  0    0           D   127.0.0.1       InLoopBack0
      127.0.0.1/32  Direct  0    0           D   127.0.0.1       InLoopBack0
127.255.255.255/32  Direct  0    0           D   127.0.0.1       InLoopBack0
255.255.255.255/32  Direct  0    0           D   127.0.0.1       InLoopBack0
---------------------------------------------------------------------------------------------------------------------------------

    以上结果表明，虽然AR34的路由表中上没有去往AR31的Loopback0接口地址的路由，但是存在两条缺省的等价路由，所以可以排除AR34与AR32控制平面问题，怀疑是AR30或者AR31路由表中不存在AR32的Loopback0接口地址和AR34的Loopback0与G0/0/0接口地址的路由信息。

2.4 根据上述推断，在AR31路由器使用dis ip routing-table命令查询路由表，结果如下所示：

<AR31>dis ip routing-table
Route Flags: R - relay, D - download to fib
---------------------------------------------------------------------------------------------------------------------------------
Routing Tables: Public
         Destinations : 20       Routes : 20       

Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface

      10.5.1.27/32  ISIS-L2 15   74          D   10.5.130.28     GigabitEthernet0/0/2
      10.5.1.28/32  ISIS-L2 15   74          D   10.5.130.28     GigabitEthernet0/0/2
      10.5.1.30/32  ISIS-L1 15   20          D   10.5.14.34      GigabitEthernet0/0/1
      10.5.1.31/32  Direct  0    0           D   127.0.0.1            LoopBack0
      10.5.1.32/32  ISIS-L2 15   74          D   10.5.130.28     GigabitEthernet0/0/2
      10.5.1.34/32  ISIS-L1 15   10          D   10.5.14.34      GigabitEthernet0/0/1
      10.5.14.0/24  Direct  0    0           D   10.5.14.31      GigabitEthernet0/0/1
     10.5.14.31/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/1
    10.5.14.255/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/1
      10.5.34.0/24  ISIS-L1 15   20          D   10.5.14.34      GigabitEthernet0/0/1
     10.5.128.0/24  ISIS-L2 15   74          D   10.5.130.28     GigabitEthernet0/0/2
     10.5.129.0/24  ISIS-L1 15   30          D   10.5.14.34      GigabitEthernet0/0/1
     10.5.130.0/24  Direct  0    0           D   10.5.130.31     GigabitEthernet0/0/2
    10.5.130.31/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/2
   10.5.130.255/32  Direct  0    0           D   127.0.0.1       GigabitEthernet0/0/2
     10.5.239.0/24  ISIS-L2 15   74          D   10.5.130.28     GigabitEthernet0/0/2
      127.0.0.0/8   Direct  0    0           D   127.0.0.1       InLoopBack0
      127.0.0.1/32  Direct  0    0           D   127.0.0.1       InLoopBack0
127.255.255.255/32  Direct  0    0           D   127.0.0.1       InLoopBack0
255.255.255.255/32  Direct  0    0           D   127.0.0.1       InLoopBack0
---------------------------------------------------------------------------------------------------------------------------------

        以上结果表明，AR31的路由表中存在AR32的Loopback0与AR34的Loopback0与G0/0/0接口的路由信息，因此可以排除AR31控制平面问题。

       由于AR32存在AR34的Loopback0与G0/0/0接口地址的路由信息，因此可以判断AR28上单点双向引入正常并且路由表项也正常。继续检测AR30上是否存在AR32的Loopback0与AR34的Loopback0与G0/0/0接口地址的路由信息。

2.5 由于AR30无法登陆，因此在AR32分别不带源地址和带源地址（10.5.1.32），以10.5.1.34作为目标地址做路由追踪观察数据包走向，侧面分析故障，测试结果如下：

---------------------------------------------------------------------------------------------------------------------------------

<AR32>tracert 10.5.1.34

 traceroute to  10.5.1.34(10.5.1.34), max hops: 30 ,packet length: 40,press CTRL
_C to break 

 1 10.5.239.28 30 ms  20 ms  20 ms 

 2 10.5.130.31 40 ms 10.5.129.30 40 ms 10.5.130.31 20 ms 

 3 10.5.34.34 60 ms 10.5.14.34 20 ms 10.5.34.34 40 ms 

---------------------------------------------------------------------------------------------------------------------------------

<AR32>tracert -a 10.5.1.32 10.5.1.34

 traceroute to  10.5.1.34(10.5.1.34), max hops: 30 ,packet length: 40,press CTRL
_C to break 

 1 10.5.239.28 30 ms  20 ms  20 ms 

 2 10.5.130.31 20 ms 10.5.129.30 30 ms 10.5.130.31 20 ms 

 3  * 10.5.14.34 30 ms  * 

---------------------------------------------------------------------------------------------------------------------------------

         以上结果表明，在AR32上带有Loopback0作为源地址，在第三跳中显示为*的地址为10.5.34.34（AR34的G0/0/0接口），说明数据包在AR30和AR34之间发生了丢包，怀疑在AR30和AR34上存在报文过滤行为，需要进一步测试。

2.6 在AR32上以Loopback0接口地址作为源地址，以10.5.34.34作为目标地址做ping测试，同时查看AR34的G0/0/0接口的信息做前后对比，测试结果如下：

---------------------------------------------------------------------------------------------------------------------------------

<AR32>ping -a 10.5.1.32 10.5.34.34
  PING 10.5.34.34: 56  data bytes, press CTRL_C to break
    Request time out
    Request time out
    Request time out
    Request time out
    Request time out

  --- 10.5.34.34 ping statistics ---
    5 packet(s) transmitted
    0 packet(s) received
    100.00% packet loss

---------------------------------------------------------------------------------------------------------------------------------

<AR34>dis interface g0/0/0
。。。。。。

Input:  1355 packets, 2022995 bytes
  Unicast:                  5,  Multicast:                1346
  Broadcast:                4,  Jumbo:                       0
  Discard:                  0,  Total Error:                 0

。。。。。。

---------------------------------------------------------------------------------------------------------------------------------

    经多次测试观察，AR34的G0/0/0接口的input方向收到的unicast单播报文数量始终没有增加，可以判断是AR30的G0/0/0接口发送报文的能力存在问题。

2.7 在下游AR34上进一步查看流量过滤策略中需要调用的ACL，查询结果如下所示：

---------------------------------------------------------------------------------------------------------------------------------

<AR34>dis acl all 
 Total quantity of nonempty ACL number is 0 

---------------------------------------------------------------------------------------------------------------------------------

      以上查询结果说明了AR34上没有相关的ACL，所以可以排除在AR34上做流量过滤的可能性。

2.8 针对反方向的数据包检查是否有过滤行为。在AR34上对AP32的Loopback0接口的地址做路由跟踪，结果如下所示：

---------------------------------------------------------------------------------------------------------------------------------

<AR34>tracert -a 10.5.34.34 10.5.1.32

 traceroute to  10.5.1.32(10.5.1.32), max hops: 30 ,packet length: 40,press CTRL
_C to break 

 1 10.5.34.30 20 ms  20 ms  20 ms 

 2 10.5.129.28 40 ms  30 ms 10.5.130.28 20 ms 

 3 10.5.239.32 30 ms  30 ms  40 ms 

---------------------------------------------------------------------------------------------------------------------------------

      测试结果表明，路由跟踪是成功的，所以可以确定AR34——AR32的路径上没有对目的地址为10.5.1.32的报文做过滤。

2.9 综合分析：

     2.1-2.4步骤表明相关路由器上路由控制层面上没有故障。

     2.5-2.6步骤可以哦按段AR30和AR34之间存在报文过滤。

     2.7步骤可以得出AR34不存在报文过滤行为。

     2.8步骤也排除了反方向的数据包过滤行为。  上分析得出故障的根因为AR30的G0/0/0接口上的outbound方向做了针对AR32的Loopback0接口地址的流量过滤行为
三、故障处理

3.1 登陆AR30路由器执行以下操作：

sys

interface g0/0/0

undo  traffic-filter   outbound

undo  traffic-policy outbound

执行上述操作后执行以下命令进行测试：

ping -a 10.5.1.32 10.5.34.34

ping -a 10.5.1.32 10.5.1.34

3.2 如果在ping测试后，某些地址还是无法访问，则存在使用高级ACL过滤报文的可能，需要删除这些高级ACL。

3.3 如果执行完上述操作仍然不能恢复故障，则需要客户提供完整的设备配置或者前往现场进行排查，并拨打华为400服务热线请求华为TAC专家协助解决，谢谢！