深信服社区»版块 安全类 下一代防火墙NGAF 去向流量的源端口和返回流量的目的端口对应不上 ...

去向流量的源端口和返回流量的目的端口对应不上

查看数: 266 | 评论数: 3 | 收藏 0
关灯 | 提示:支持键盘翻页<-左 右->
    组图打开中,请稍候......
发布时间: 2025-9-5 11:32

正文摘要:

“内网区域”(192.168.90.114:30979)到“内网区域”(192.168.20.32)应该是返回流量,但查询到的去向流量的源端口和返回流量的目的端口对应不上。

回复

王老师 发表于 2025-9-5 13:43
检查会话表中是否存在192.168.90.114:30979→192.168.20.32的TCP会话,并确认其状态是否为ESTABLISHED。若会话缺失或状态异常,需排查NAT配置及ACL策略。
源NAT(SNAT):确认是否启用端口地址转换(PAT),并检查端口池范围是否足够。若端口耗尽,需扩展端口范围或启用长连接。
目的NAT(DNAT):验证端口映射规则是否唯一,避免多条策略映射相同端口。例如,确保192.168.90.114:30979未被映射至其他内部端口。
王老师 发表于 2025-9-5 13:37
防火墙的会话表中,去向流量(源端口30979)的会话状态未被正确维护,导致返回流量无法关联原始会话。日志显示返回流量的目的端口(如55429)与去向源端口不一致,表明会话跟踪失效。
王老师 发表于 2025-9-5 13:35
防火墙的会话表中,去向流量(源端口30979)的会话状态未被正确维护,导致返回流量无法关联原始会话。日志显示返回流量的目的端口(如55429)与去向源端口不一致,表明会话跟踪失效。
技术验证:在AF防火墙执行packet-trace命令跟踪TCP会话,观察是否因路由查找失败、ACL策略拒绝或NAT资源不足导致会话异常终止。
NAT端口映射冲突
若配置了源NAT(SNAT)或目的NAT(DNAT),可能存在端口池耗尽或映射规则冲突。例如,多条策略复用相同端口范围导致端口复用。
日志佐证:您提供的日志中,同一源IP(192.168.90.114)对不同目的IP的流量均使用源端口30979,但返回端口多样化,暗示NAT转换后端口未被正确还原。
策略路由优先级冲突
当存在多条策略路由或VPN路由时,流量可能被错误路由至非预期路径。例如,分部AF新版本策略路由优先级高于VPN路由,导致流量绕过隧道。