首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >H3C | SR6616策略路由+单臂+nat组网不通问题经验案例

H3C | SR6616策略路由+单臂+nat组网不通问题经验案例

作者头像
网络技术联盟站
发布2019-11-12 20:30:06
1.2K0
发布2019-11-12 20:30:06
举报
组网及说明

组网中RT2做pbr和nat,对RT1访问2.2.2.2的流量做nat转换目的地址为4.4.4.4,并将该流量通过pbr扔到右侧流量清洗设备RT5,从RT5回来后扔给RT4。

问题描述

现场做配置后10.0.0.1 ping 2.2.2.2不通。RT2对于回程流量没有做nat。

过程分析

先考虑PBR,此类PBR+单臂的组网,RT2需要开undo ip fast-forwarding load-sharing,将流量入接口作为快转的一个标志,避免流量从G0/0和G5/0到RT2时都匹配到同一条快转导致环路。

再考虑nat问题。检查现场设备配置,全局nat static outbound 4.4.4.4 2.2.2.2,接口G0/0下nat static enable,没问题。接下来需要看流量停在哪一步。

首先RT2上面debug nat packet,发现有10.0.0.1 ping 2.2.2.2的流量转换为了10.0.0.1 ping 4.4.4.4,出方向nat没问题。之后对10.0.0.1 ping 4.4.4.4的流量做流统,G5/0有发有收,说明PBR和流量清洗设备都没问题;G0/2出方向有包,入方向没包,说明回程报文异常,至少流量没有从出接口回来;由于排查过程中无法操作RT4,因此只能在RT2其他所有接口入方向流统,看报文是否从其他接口回来,发现回程流量入接口为G0/1,推测RT4回程路由指向RT3。流量回到了RT2,但是没有转给RT1,加上debug的现象,说明回程流量没有做nat。

结合上面PBR的情况容易联想到,由于开了undo ip fast-forwarding load-sharing,所有流量从G0/1进到RT2时,匹配不到已有快转表。而nat会话是跟快转表关联的,所以回程流量没有做nat。要解决这个问题,需要流量从原接口回来,来回路径一致即可。

解决方法

1. 调整RT4路由,使来回路径一致;

2. RT2流量出口G0/2做nat outbound,改变报文源地址,这样RT4回程报文目的地址为RT2接口G0/2地址,肯定会发到G0/2;

3. RT2接口G0/1再做一个pbr,将流量扔到清洗设备再绕一圈,流量回到G5/0时能匹配到快转和nat会话;

4. 在RT2和RT3的上行口G0/2都做nat inbound static转目的地址,不在下行口G0/0做nat outbound static,即使回程流量回到RT3,也可以由RT3做nat。

本文参与 腾讯云自媒体分享计划,分享自微信公众号。
原始发表:2019-11-03,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 网络技术联盟站 微信公众号,前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体分享计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
目录
  • 组网及说明
  • 问题描述
  • 过程分析
  • 解决方法
相关产品与服务
NAT 网关
NAT 网关(NAT Gateway)提供 IP 地址转换服务,为腾讯云内资源提供高性能的 Internet 访问服务。通过 NAT 网关,在腾讯云上的资源可以更安全的访问 Internet,保护私有网络信息不直接暴露公网;您也可以通过 NAT 网关实现海量的公网访问,最大支持1000万以上的并发连接数;NAT 网关还支持 IP 级流量管控,可实时查看流量数据,帮助您快速定位异常流量,排查网络故障。
领券
问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档