VPN网络ping大包问题处理经验汇总及建议处理步骤.doc

平安VPN网络ping大包问题处理经验汇总及建议处理步骤

1、 概述
目前，平安公司VPN分支机构的站点在验收测试时，采用ping 10000字节大包作为验收标准，而并不是采用之前双方已经约定的ping 1500字节作为验收标准。

² 测试模型：平安公司通过telnet到分支机构的CE路由器，在CE上分别ping 100、500、1000、1500、10000字节的报文，目的地址为深圳总部CE的接口地址（10.255.255.2）。
² 平安反映的ping大包丢包的站点，其现象一般表现为：ping 1500字节和1500字节以下的包都没有丢包，如果ping 10000字节的大包，一般会在千分之三以内，通常情况是千分之一左右。
² 问题原因分析：在ping 10000字节大包的时候，每一个ICMP Request/Reply消息会产生7个分片（如下图所示）。

在测试中发现，如果测试站点还没有上业务，即CE路由器处于空闲状态，在ping 10000字节的时候，ping的流量大约在600～700kbps左右，由此推算，CE在1秒钟大约发起7～9个10000字节的ping包。
在ping 10000字节的情况下，由于会产生分片，对线路的质量要求比较苛刻，可以从两个方面进行分析：
² 每个分片的丢失会引起整个ping消息的丢弃，从而产生丢包率的放大效应，ping10000字节的放大系数为7。如果线路的丢包率为0.0001（该标准符合验收合格情况），在ping 10000字节大包的情况下，ping结果现实的丢包率变为0.0007，接近千分之一，变成验收不合格；
² 各个分片到达的顺序如果有乱序的显现，在目的地不能对ping包进行重组，也会引起丢包效应，从乱序到丢包的转变，从而使丢包率上升。

2、 部分省市处理情况

2.1、 通过调整用户CE和电信延伸交换机的端口双工模式解决：
目前有两种模式的组合能解决问题：
² 1号组合：用户CE强制全双工，延伸交换机双工自适应，适用的点：辽宁铁岭、山东枣庄等；
² 2号组合：用户CE强制全双工，延伸交换机强制全双工，适用的点：福建、甘肃等，2号组合的配置在某些地方会出现CE断网的情况，因此在配置的时候需要谨慎。

2.2、 通过更换本地传输链路上的设备进行解决
² 更换光电转换器；
² 更换协转；
² 更改协转拨码和网线方式：1.RC315/316第一个拨码on; 2.RC952上的sw1上的第一个拨码on; 3.RC315至用户端路由器用交叉网线，RC952至RC317用交叉网线。
² 更换用户端网线；
² 更换PE的光模块，PE的光模块发光功率在正常范围内但偏小，通过更换PE的光模块解决；
² 重启用户端路由器；

3、 建议处理步骤

3.1、 步骤一：调整用户CE和电信延伸交换机的双工模式组合
由集团NOC调整用户CE和电信延伸交换机的模式组合，调整后尝试ping 10000字节大包，看能否解决问题。调整的前提是用户站点还没有交付使用，如果站点已经承载业务，在调整时需要本地电信人员在现场，并选择在非工作时间进行。
组合序号
用户CE
电信延伸交换机
备注
1
强制全双工
full-duplex
双工自适应
duplex auto
端口速率不用调整
2
强制全双工
full-duplex
强制全双工
full-duplex
端口速率不用调整
3
双工自适应
duplex auto
强制全双工
full-duplex
端口速率不用调整
4
双工自适应
duplex auto
双工自适应
duplex auto
端口速率不用调整

3.2、 步骤二：检查本地传输
如果步骤一不能解决，下一步交由本地电信人员对链路上的各个环节进行检查，采用替代法，由近到远，由易至难逐步检查：
1. 在用户现场采用笔记本电脑替换CE路由器，在笔记本电脑ping 10000字节5分钟进行测试，
a) 如果测试通过，则说明是由于用户CE路由器造成的问题；
b) 如果测试没有通过，则说明问题出现在用户站点以外的环节（本地线路、协转、延伸交换机、PE）
2. 在电信机房采用笔记本电脑直接接到延伸交换机进行测试，在笔记本电脑ping 10000字节5分钟进行测试，
a) 如果测试通过，则说明问题出在电信机房以外的环节（包括线路、协转、CE路由器等）；
b) 如果测试不通过，则说明问题出现在电信机房的内部环节（包括延伸交换机、PE），此时请检查PE上光模块的发光功率是否偏小，如果是请替换进行测试；
3. 更换用户网线；
4. 更换光电转换器、协转；
5. 更换外部传输电路；

处理流程图如下所示：