服务器单向ping通

Question

PING内网发现只能单向ping通，报文提示Time-to-live exceeded (Time to live exceeded in transit)
公司有一台华为AR路由器 做了VPN进华为云内网，目前只能单向ping通，有什么解决办法

Answer 1

引自免费微信小程序：皆我百晓生

针对您提供的问题，从日志中可以看出，在尝试从192.168.40.2 ping 192.168.0.17时，ICMP报文在传输过程中到达了TTL（Time-to-live）限制而被丢弃，表现为“Time-to-live exceeded in transit”的信息。这表明数据包无法通过路由器或网络设备到达目标主机。

要解决这个问题，请按照以下步骤排查和解决单向ping的问题：

1. 检查路由配置： 确保华为AR路由器的路由表中有正确的回程路由，允许来自192.168.0.17的数据包返回到192.168.40.2。可以使用如下命令检查路由：

   display ip routing-table
   

2. VPN隧道配置确认： 检查VPN隧道配置，确保双向通信都已启用，并且两端的子网都被正确宣告。同时查看隧道状态是否正常。

3. 防火墙与安全策略： 检查华为AR路由器上以及云内网端的防火墙规则或安全组规则，确认没有阻止回应ICMP Echo Request的规则。确保从192.168.0.17到192.168.40.2的ICMP流量是被允许的。

4. TTL值调整： 如果是因为中间跳数过多导致TTL过早耗尽，理论上不需要调整，因为通常情况下TTL足够用。但也可以尝试增加本地设备发送ICMP请求时的初始TTL值以排除此可能问题。

5. 排查中间设备： 根据日志中的IP地址122.224.113.161，这个地址可能是数据包在传输过程中经过的一个公网IP，需要检查是否存在NAT转换或者其他可能导致TTL过期的问题。

综上所述，建议您按顺序检查上述环节，并根据实际情况对相应配置进行调整，以实现双向通信。由于无法直接操作您的网络环境，以上仅为指导性解决方案，具体实施时请根据实际网络情况灵活处理。