首片没到分片全卡住？华为防火墙IPv6分片缓存有个数

本文整理自华为官方发布的配置指导，命令与步骤均按原始文档呈现，供现场实施参考。

首片晚到为什么会卡住整串分片？

IPv6链路上MTU比报文小的时候，设备会把报文分片再发。理想状态是各分片按序到达，现实是首片可能绕路晚到——设备缺省的处理方式是把先到的后续分片放进分片缓存，等首片到了再转发。这个设计平时没毛病，可缓存是有容量的：一个IPv6报文的最大分片缓存数目缺省32，单个报文的分片数超过上限，报文直接丢弃；异常流量专门发无首片的分片时，缓存还会被白占。

四个旋钮各管什么？

华为防火墙给了四个旋钮，都在系统视图下配。一个是firewall ipv6 fragment-cache-maximum加数目，把单个报文的分片缓存上限调小，压缩单包占用的缓存额度；一个是firewall ipv6 fragment-forward enable，开了之后分片报文到了就直接转发不缓存——首片先到会创建会话表，后续片先到则不建，适合确认只管转发、不参与重组的场景；还有firewall ipv6 fragment-drop enable加ACL编号，只丢弃命中ACL拒绝规则的分片报文，做精准清理用；再一个是firewall ipv6 fragment-fifo enable保序开关，把乱序到达的分片做保序处理，对付会话因乱序建不起来的怪问题。

system-view

依据：华为官方典型配置案例（2026-11 版）。

什么时候该动、怎么动？

选型思路不复杂：普通网络保持缺省就好；确认出现分片相关的会话建立慢、丢包，再动手调整，一次只动一个旋钮，改完观察会话建立和转发是否恢复。缓存上限这类参数改动影响面小、回退快，适合放在排障序列的前几步。

分片问题的源头治理怎么做？

往前再追一步，很多分片问题其实出在源头：应用发出的报文比路径MTU大，沿途只能靠分片续命。治理时把各段的MTU规划对齐，让报文在源头就控制在合适大小以内，比在网络中间反复拆包要干净得多。分片是兜底手段，不是常态机制，守住这个原则，网络里的分片流量自然就少了。

IPv6规模上来之后，分片这类"平时没人看"的细节容易攒成疑难杂症，把它纳入变更后的常规检查项，比出了问题再翻文档要从容得多。贵州诚鑫致达科技处理过不少IPv6迁移后的转发异常案例，欢迎搜索关注，获取更多IPv6实操内容。