【问题描述】
某客户网络拓扑如下图所示:客户的内网服务器10.x.x.48对外发布了服务,在出口防火墙做了双向地址转换,映射成了防火墙地址60.x.x.71,客户内网环境如下所示。现情况为:客户内网PC直接通过内网服务器IP:10.x.x.48访问正常,但是通过公网地址访问,就出现异常,在公网直接访问公网地址也是异常的。
【故障现象】 正常情况下的telnet会出现如下登录页面:
Telnet公网地址时出现异常,没有登录页面,显示如下
【处理排查过程】 1、检查防火墙配置,客户配置了双向地址转换,策略也放通了,双向地址转换有匹配数。
2、开直通测试,发现telnet还是没有登录界面。 3、在防火墙内网口和外网口抓包,然后在公网进行telnet测试,发现公网口和内网口都有收到服务器回复的RST报文,但是IP.ID为0x5826。
4、防火墙自身丢包时的IP.ID,在8.0.2之前是0x5826,在8.0.2和之后是0x7051,客户的防火墙版本是8.0.2,这说明这个包不是防火墙丢的;进过查询发现,AC的丢包标志也是0x5826,询问客户内网中是否有AC,客户表示有,在AC开了直通之后,访问正常,而且可以在AC上看到直通的日志显示的就是被AC拦截了。
5、将AC的直通关闭,然后配置策略放通,访问正常,说明就是被AC给拦截了。
【故障分析结论】 客户配置了双向地址转换,用内网地址直接访问正常,但是用公网地址访问异常,这说明与服务器本身无关。通过抓包分析,发现有RST的报文,就要结合深信服设备自身丢包时的IP.ID进行分析。
【解决方案】 AC上放通策略即可 |