CSSD心跳中断主因是防火墙静默丢弃UDP包，需双向放行私网UDP全端口、TCP2016及基础ICMP，配合arping、oifcfg、tcpdump排查二层连通性、OCR注册与抓包验证。
cssd心跳中断不是“超时”，而是被防火墙静默丢弃——直接开 1521 端口没用，反而暴露监听器。真正要放开的是私网 UDP 全端口 + ICMP 基础类型 + TCP 2016，且必须双向显式放行。
查不到 cssd 心跳包？先确认是不是被防火墙静默丢弃
抓包命令 tcpdump -i eth2 udp portrange 1024-65535 -c 10 在私网接口执行，若完全无收发记录，说明流量在系统层就被拦截了，不是网络延迟问题。
比 ping 更可靠的是 arping -i eth2 10.0.0.102：arp 不依赖 ip 层策略，失败即表明二层不通（常见于云安全组默认拒绝 arp 或交换机 acl 限制）。
检查反向路径过滤是否启用：sysctl net.ipv4.conf.eth2.rp_filter，值为 1 且路由不对称时，私网回包会被内核丢弃。
防火墙规则必须显式放行 UDP 全端口，不能依赖 ESTABLISHED
Oracle RAC 私网通信（cssd、ohasd、oraagent）使用动态绑定的 UDP 端口，官方明确不固定端口号。
云环境（AWS/Azure/阿里云）安全组/NACL 默认只允许“已建立连接”的返回流量，但 UDP 无连接状态，“RELATED,ESTABLISHED”规则对心跳无效。
必须配置两条规则：
• 入方向：源 = 对端私网 CIDR，协议 = UDP，端口 = 0-65535
• 出方向：目标 = 对端私网 CIDR，协议 = UDP，端口 = 0-65535
别省事，漏一条就可能卡在 ora.cluster_interconnect.haip 资源启动阶段。
CRS-4530 和 WARNING 192.168.11.0 could not be translated 日志不是超时，是发不出包
这类日志本质是 cssd 初始化失败，原因通常是：
• 私网接口未注册进 OCR：运行 oifcfg getif，确认输出包含私网网卡及对应子网
• 接口未 up 或 IP 配置错误：用 ip addr show eth2 核对各节点私网 IP 是否同网段、掩码一致
• /etc/hosts 中私网 IP 解析失败，或 DNS 误配导致 CRS 尝试解析私网地址失败
注意：CRS-4530 出现时，crsctl status resource -t 中 ora.cluster_interconnect.haip 往往显示 UNKNOWN 或反复重启，而非 OFFLINE。
别碰 1521，但必须放开 TCP 2016 和基础 ICMP
1521 是监听器端口，与集群心跳无关；强行开放只会增加攻击面。
真正需要放行的协议和端口只有三项：
• UDP 全端口（0-65535）：cssd、gipcd、HAIP 通信基础
• TCP 2016：19c 默认启用的 gipcd 心跳探测端口，不可关闭或改写
• ICMP Type 3（Destination Unreachable）和 Type 8（Echo Request）：用于连通性诊断和路径 MTU 发现
如果禁用了 ICMP，ping 失败但 arping 成功，说明问题出在三层策略，而非物理链路。
复杂点从来不在端口号本身，而在“UDP 无状态”这个事实——所有依赖连接跟踪的防火墙策略，在 RAC 私网场景下都形同虚设。盯死 arping、oifcfg getif、tcpdump 这三件事，比翻文档查端口列表管用十倍。
