华三交换机和华为交换机做动态链路聚合过防火墙故障分享

1、故障说明：

       华三和华为交换机动态链路聚合过防火墙之前一直没事的，某天突然出现协商失败造成网络中断。

2、当时客户现场网络环境：

1. 防火墙因为客户的环境原因，部署方式为虚拟网桥做透传；
2. 华三交换机和华为交换机做动态端口聚合；
3. 历史遗留大坑吧，快4年售后生涯，日常填坑是不可避免的，因客户的下联华为交换机距离过远，只能用光口，当初不知道实施工程师怎么头脑一热就搞了这个部署，前面上联同意接电口，下联接光口，搞得防火墙就像光电转换器一样。

环境如下图：

3、故障情况排查及处理：

       当时我收到这个问题已经是过去十几个小时，听说是华三交换机厂家排查发现端口正常up，是动态端口聚合协商失败，通过接口插拔是的接口重新协商回来的。极力和客户说防火墙没做端口聚合对接，我们透传怎么会是我这边造成协商失败呢？华为交换机那边没有技术过来排查，因为不同的项目，总包根本协调不到人。

4、故障问题排查：

       后面到现场测试以及故障排查，发现这接线很不科学，本身只是单台防火墙情况下，不接在同一板卡上，这是增加单点故障的风险点（因为防火墙有bypass功能）。

       经排查交换机日志，发现防火墙这样子的接法，在交换机上的协商日志有时候协商会出现mac全为0的情况，华三交换机使用的命令：

dis system  internal  link-aggregation log important 

dis system  internal  link-aggregation log normal

查看到的日志如下图所示：

       因为环境所限，没能测试上联和下联全接电口。只能测试上联和下联全接防火墙光口，这里就发现一个很奇怪的现象，接电口和全接光口协商日志不一样如下图所示：

 

 5、结论：

       就目前掌握的情况，证明是防火墙两种接口混着用出现问题的，给我感觉混着用接口，防火墙没有做到完全透传，换光口没出现这情况。

6、解决方法：

       这边只能给客户把华三交换机接电口改为华三交换机接光口。（关键这项目贼多我们防火墙这样的接法，有些防火墙根本不够光口，整得人崩溃，都不知道怎么出整体解决方案）

7、疑问：

华三交换机的两条动态端口聚合日志查询

dis system  internal  link-aggregation log important 

dis system  internal  link-aggregation log normal

它为什么卡槽0到卡槽4都有这个对接日志呢

如果有哪个交换机大神，知道麻烦评论区指点一下，谢谢

如下图所示：