别再把防火墙当“透明盒子”了，它可是丢包重灾区！

原创于 2025-12-05 10:39:14 发布 · 92 阅读

CC 4.0 BY-SA版权

文章标签：

号主：老杨丨11年资深网络工程师，更多网工提升干货，请关注公众号：网络工程师俱乐部

前阵子一个业务系统频繁超时，从客户端到服务器全程 ping 通、路由正常，TCP 连接却总卡在 SYN。

查到最后，竟是防火墙的会话表满了，新连接直接被静默丢弃！运维说：“防火墙没告警啊？”我说：“它不说话，不代表没吞包。”

80% 的“诡异丢包”，根源不在链路，而在安全设备——它们默默过滤、限速、拒绝，却不留痕迹。

今天，我不讲功能，专扒防火墙“丢包”的五大暗门。

今日文章阅读福利：《网络丢包故障案例-合辑》

搭配这篇丢包指南，顺便给你分享一些网络故障类问题处理案例。

私信我，发送暗号“丢包”，即可获取文档。

会话表溢出

原理：
防火墙为每个连接（如 TCP 会话）创建状态条目，存储源/目的 IP+端口、协议、状态等。
问题：
- 设备规格有限（如低端墙仅支持 1 万会话）
- DDoS 攻击、爬虫、P2P 应用可瞬间耗尽会话表
- 新连接无法建立，SYN 包被静默丢弃（无 RST，无 ICMP）
表现：
- 客户端卡在 “Connecting…”
- 服务器根本收不到 SYN
- 防火墙 CPU/内存看似正常

✅ 排查命令（以华为 USG 为例）：
display firewall session statistics
若 Current sessions 接近 Max sessions → 确认溢出。

典型场景：
- 策略只放行了 80 端口，但应用实际用 8080
- 策略顺序靠后，被前面的“deny all”拦截
- 未放行 ICMP，导致 ping 不通（误判为网络故障）
关键特性：
防火墙默认拒绝所有未明确允许的流量（与交换机/路由器相反）
隐蔽性：
大多数防火墙默认不记录 deny 日志（为性能考虑），导致“丢得无声无息”

✅ 对策：
在策略末尾加一条 log-enabled deny rule 用于调试
使用 packet capture 或 flow trace 功能追踪包路径

✅ 验证方法：临时关闭高级安全功能，测试业务是否恢复。若恢复 → 性能瓶颈在 DPI。

场景：
- 防火墙接口 MTU=1500，但中间链路有 GRE/IPsec 封装（额外开销 24~50 字节）
- 终端发 1500 字节包 → 到防火墙需分片
问题：
- 某些防火墙默认丢弃分片包（防碎片攻击）
- 或重组超时，导致大包丢失
表现：
- ping -l 1472 通，ping -l 1473 不通（Windows）
- HTTPS 能建连，但文件上传失败