某局點S10506X-G基於M-LAG的VRRP組網終端ping網關回包數量異常

客戶組網如下，S10506X-G做了M-LAG VRRP雙活網關，測試終端的網關在M-LAG上，VRRP相關int-vlan接口綁定了PBR，將部分流量引流到旁掛防火牆。（信息已脫敏，以下組網和IP地址與客戶現場無關）

終端（10.1.1.1）ping網關的VRRP虛地址（10.1.1.254），發現ping的回包數量明顯多與請求數量，且tracert網關地址有很多跳。

M-LAG設備的主要配置如下：
#
interface Vlan-interface10
ip address 10.1.1.252 255.255.255.0
vrrp vrid 10 virtual-ip 10.1.1.254
ip policy-based-route PBR
#
policy-based-route PBR permit node 10
if-match acl 3000
apply next-hop 20.1.1.1
#
#
acl number 3000
rule 0 permit ip source 30.1.1.0 0.0.0.255

rule 5 permit ip source 10.1.1.0 0.0.0.255
#
#
interface Bridge-Aggregation15
port link-type trunk
undo port trunk permit vlan 1
port trunk permit vlan 10
link-aggregation mode dynamic
port m-lag group 15
#

1、按照理論來說ping網關的流量是不會匹配PBR上牆，且用模擬器測試也無此現象；但在防火牆上抓包發現，確實有收到終端ping網關的報文。

2、經確認當前設備（S10506X-G Version 7.1.070, Release 7755P03）實現機製如此：pbr能夠匹配到ping本機的報文，會上送本機一份，並且pbr轉走一份。即pbr匹配到ping本機的報文，也會由pbr轉發一份走；

可以在pbr上加一個node匹配ping本機的流量，什麼動作也不執行來規避。

例如：
policy-based-route PBR permit node 1
if-match acl 3010

policy-based-route PBR permit node 10
if-match acl 3000
apply next-hop 20.1.1.1

acl num 3010
rule permit ip 10.1.1.254 0 匹配ping本機的報文