发布时间: 2016-12-15 | 浏览次数: 303 | 下载次数: 0 | 作者: weironghua | 文档编号： EKB1000416562
防火墙升级后，直连交换机端口进入disable状态
防火墙侧显示端口down，直连交换机侧显示端口进入disable。
某局点某晚对防火墙进行版本升级，完成升级后发现业务不通，排查时发现防火墙侧端口down，直连交换机侧端口进入disable状态，设备上除以上信息外，均无异常告警，无法定位到原因，最后对防火墙进行了回退操作，但是回退后，故障没有消除，申请研发到现场处理故障，最后定位出问题是防火墙与交换机使用Eth-trunk端口对接，防火墙Eth-trunk端口配置了trunk，但是成员端口却配置了access，导致防火墙从Eth-trunk端口收到交换机的报文后，又从成端端口的access端口发送回交换机，交换机收到了自己发送出去的BPDU，进而阻塞该端口。询问客户后得知，但是的配置是通过加载.cfg配置文件生成，逃过了设备的配置安全检查。最后将成员端口配置删除，设备恢复正常。
防火墙与交换机使用Eth-trunk端口对接，防火墙Eth-trunk端口配置了trunk，但是成员端口却配置了access，导致防火墙从Eth-trunk端口收到交换机的报文后，又从成端端口的access端口发送回交换机，交换机收到了自己发送出去的BPDU，进而阻塞该端口。
将Eth-trunk成员端口配置删除，设备恢复正常。
配置的导入要经过严格的审查
