非对称路由是什么
非对称路由指一条连接的去程与回程经过不同的有状态设备。防火墙、IPS 这类设备依赖会话表判断报文是否属于已建立的连接：回程报文从另一台设备进来时，该设备查不到对应会话，就会按默认动作丢弃，表现为时通时不通、单向可达或建连失败。多出口分流、服务器配多个网关、旁路设备只串了一半路径，都是典型成因。
基本信息
| 典型成因 | 双出口按策略分流、旁路设备只串一半路径、服务器多网关 |
|---|---|
| 现象 | TCP 建连失败或时通时不通、大量重传、抓包只见去不见回 |
| 核对顺序 | 路由表确认去程 → 会话表确认是否建立 → 抓包确认回程路径 |
| 正确做法 | 让往返路径经过同一台有状态设备，而不是放宽状态检查 |
| 常见误区 | 先用放宽检查的开关掩盖问题，把风险长期留在生产环境 |
典型使用场景
- 双出口环境：不同来源走不同出口，回程经运营商路径回到另一侧
- 服务器双网卡：服务器两个网关导致回包从另一台设备出去
- 新增旁路设备：只在一条路径上串接检测设备，另一方向不经过
- 负载均衡与多链路联动：探测触发切换后路径发生变化
- 改造复盘：链路调整后出现间歇性不通，需要确认是否形成非对称
检查命令
检查命令
# 华为：确认去程路由与回程是否一致
display ip routing-table 10.10.10.10
display firewall session table source 192.168.10.10
display firewall session table destination 10.10.10.10 # 反查是否存在
# 关注会话是否存在、是否持续重建、是否只有单向流量成因与处置
| 成因 | 现象 | 处置方向 |
|---|---|---|
| 双出口分流 | 同一业务时通时不通 | 让同一业务的去回程走同一出口 |
| 服务器多网关 | 服务器侧能出不能回 | 统一服务器网关或调整回程路由 |
| 旁路只串一半 | 单向可达 | 补齐另一方向或改为串联 |
| 路径漂移 | 故障切换后部分业务不通 | 切换策略与源地址策略同步规划 |
| 负载均衡回源 | 回程绕过设备 | 回源路径纳入同一台设备处理 |
谨慎使用放宽状态检查的绕行手段：它会让设备对所有报文失去状态判断，风险远大于问题本身；正确做法是调整路由与组网，让往返路径对称。