交换机过启明星辰（天清汉马）UTM后各个厂家安全设备无法在安全管理平台上线故障分析处理

一 故障背景：

各个厂家（启明星辰、天融信、深信服）安全设备经过交换机，以及启明星辰（天清汉马）UTM后无法在安全管理平台上线

组网连接：各个厂商安全设备（启明星辰、天融信、深信服，以及安全管理平台）——带外管理接入交换机——启明星辰UTM——核心交换机（网关）——运维终端

组网描述：各个厂商安全设备（启明星辰、天融信、深信服，以及安全管理平台）在不同网段，并且网关都在核心交换机侧

二 故障分析：

1.通过运维终端登录安全管理平台ping各个安全设备无法ping通，查看核心交换机配置存在包过滤，与客户沟通包过滤不可以删除，于是通过在包过滤ACL中添加网管平台到安全设备rule规则解决ping问题，但是安全设备还无法上线；

2.登录启明星辰（天清汉马）UTM将所有策略全部临时放通，安全设备依旧无法上线；

3.怀疑链路聚合hash负载问题，将上下游链路聚合全部down掉一根链路，安全设备依旧无法上线；

4.最后建议客户跳过启明星辰UTM，进机房跳过后部分设备上线成功，说明很大可能是启明星辰UTM本身的问题；

5.通过启明星辰UTM抓包，分析数据包看到数据包到启明星辰UTM后异常转发，被丢弃，于是分析流量走向，发现所有安全设备都会先经过带外管理交换机、启明星辰UTM、核心交换机网关，然后再回到启明星辰UTM、带外管理交换机，会存在一条访问数据流两次穿墙（UTM）的情况，启明星辰UTM会认为是不安全的数据包，会将这种数据包丢弃。

三 解决方案：

1.对于启明星辰UTM将两次穿墙的数据流丢弃的问题，客户将UTM的快速转发（快转）功能关闭解决。需要进行命令行操作如下命令（filterconfig fast_mode off，或者filterconfig superfast_mode off，不同型号的设备还有其他命令，建议去官网查看资料），配置后重启设备生效；配置后部分安全设备等待一会自动上线成功；

2.天融信防火墙无法上线是因为web界面没有相关配置，升级版本会多出安全管理平台对接的界面，配置后设备上线；

3.启明星辰UTM自身无法上线，需要在安全管理平台对接的界面关闭开关再次开启后上线；