有时为了排查网络的连通性需要用到Traceroute,然而有的设备默认并不开启路由跟踪,在排查故障的时候有时会要用到tracert来判断路由的正确性。
机房里有一台 H3C SecPath 和天融信防火墙相连,其他还有几台路由设备。在天融信上做了路由,访问的时候不通,由于路由设备较多,排查的时候使用tracert到H3C的设备就不通了,SecPath 没有ip ttl-expires enable、ip unreachables enable、ip df-unreachables enable这样的命令,于是考虑做访问策略,写了以下策略用在了SecPath的主机相连端口进方向:
rule 1 permit icmp icmp-type echo #回显请求
rule 2 permit icmp icmp-type echo-reply #回显应答
rule 3 permit icmp icmp-type ttl-exceeded #ICMP超时响应报文
rule 4 permit icmp icmp-type port-unreachable #ICMP端口不可达
然后trace经SecPath,还是不行,在官网找了资料,相关配置说:
firewall defend tracert 命令用来打开tracert 报文***防范功能
当时比较着急并未理解这句话的含义,把这个命令敲上了还是不行,为进一步排查打开了debug功能: