| 匹配特点 | 非首片无端口信息，部分设备仅按地址匹配或直接丢弃 |
|---|---|
| 相关能力 | 分片重组、分片缓存、对分片的 bypass 处理 |
| 高发业务 | IPsec over NAT、部分音视频与组播应用 |
排查步骤
排查步骤
1. 两端抓包确认是否存在分片
2. 查看设备分片处理相关计数与日志
3. 确认策略是否覆盖分片流量
4. 必要时启用分片重组功能启用分片重组会增加设备内存与转发压力，参数调整前评估并发会话规模。
分片报文处理与分片重组
策略匹配依赖端口信息，而只有首个分片携带端口；中间设备对后续分片的处理方式直接影响音视频、VPN 类业务是否能通。
易错点
- 只放行含端口的首片策略，后续分片仍可能被丢弃，导致业务随机失败
- 依赖分片做规避检测的场景应在 IPS 侧开启重组后再检测，而不是放宽策略
数据来源与参考
- 华为 USG6000 产品文档：分片报文处理
- RFC 1858（分片处理安全考虑）