AD设备的源地址转换(SNAT)不生效,如何排障?
  

李昆禧 2060

{{ttag.title}}
问题描述
       本场景适用于网络部属中源地址转换不生效(SNAT)不生效问题排查
问题现象:数据包经过AD设备后转换源地址失效,以原本的源IP为源发往目的IP。

可能的原因
1、配置异常导致未匹配该数据流。

2、源地址转换按界面配置顺序从上往下匹配,前面的策略已经匹配导致未匹配到需要的策略。
3、连接跟踪优先级大于源地址转换策略,匹配了连接跟踪导致源地址转换策略失效。

排障步骤
步骤一检查源地址转换匹配条件是否正确。
1、智能路由测试,确定数据出接口方向,确保数据路由出去的接口能被源地址转换配置中的出接口包含。
2、6.x版本主要检查出接口是否为对应数据路由找找的出接口,源IP范围是否匹配是否恰当(注意中间是否SNAT环境导致源IP范围没匹配上),目的条件范围是否合理(代理上网默认为所有IP即可),源IP转化协议条件是否正确,源端口范围是否配置所有端口范围(客户端发包的源端口是随机端口,默认SNAT配置源端口为所有端口)。
3、7.x版本与上述6.x版本检查点相同,还需要注意新增的入接口条件,如果是有多个LAN口,则要确保数据进入的接口方向匹配(可以勾选所有LAN口)。





步骤二检查源地址转换条目位置顺序是否合理。AD源地址转换遵循从上往下匹配的原则。
1、检查源地址转换条目的位置顺序是否合理,是否被前面的源地址转换匹配住,AD遵循从上往下匹配的原则。
2、703版本开始可以页面查看匹配次数来校验是否有无命中匹配规则,如下图:
PS:一条TCP链接产生的所有数据只计算匹配1次,一个ping包同理计算匹配1次。





步骤三:源地址转换不生效特殊检查。
1、检查是否有虚拟服务匹配,IP组和服务端口是否包含了用户访问的目的IP、端口。
2、检查是否有端口映射匹配,端口映射的目的IP、端口范围是否包含了用户访问的目的IP、端口。
3、检查是否有ACL匹配拦截,导致数据无法转发。

步骤四:检查是否有连接跟踪存在

通过手动清理连接跟踪或者停止业务数据包交互(如停掉客户端服务或者ACL策略拦截)让连接跟踪超时老化。
连接跟踪查看和清理方法如下:(请注意,清理时操作需要具体到某个ip,并与客户确认可操作。切勿清理全部ip的跟踪,否则将导致客户的业务全部中断
①使用做相关地址的ACL拦截来清理连接跟踪,适合4.8~7.0.7版本场景使用。
②7.0.8系列或7.0.20版本开支支持web页面查询和清理,【系统管理】-【调试排障】-【连接会话查询】页面中操作。

步骤五:地址转换不生效的常见案例库集

1、SNAT不匹配
2、因地址转换导致看不到真实的源IP地址
3、源地址转换不生效
4、源端口变化导致IPSEC VPN连接失败

步骤六:收集信息反馈深信服技服
1、使用 文字简要描述数据访问的源、目IP地址,访问需求。
2、提供网络接口、源地址转换的配置截图。
3、提供测试目的IP的路由选路出接口结果截图。
4、确认业务是否为VPN业务或长连接类型业务,连接跟踪一直存在情况。
5、提供AD软件版本信息,web控制台左上角查看。

打赏鼓励作者,期待更多好文!

打赏
暂无人打赏

科思哲 发表于 2023-12-9 11:39
  
感谢分享有助于工作和学习!
发表新帖
热门标签
全部标签>
西北区每日一问
安全效果
高手请过招
【 社区to talk】
干货满满
社区新周刊
每日一问
新版本体验
技术盲盒
技术咨询
产品连连看
纪元平台
标准化排查
GIF动图学习
功能体验
社区帮助指南
信服课堂视频
安装部署配置
解决方案
SDP百科
自助服务平台操作指引
玩转零信任
S豆商城资讯
秒懂零信任
每周精选
畅聊IT
答题自测
专家问答
技术笔记
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
原创分享
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
信服圈儿
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
答题榜单公布
2023技术争霸赛专题
通用技术
卧龙计划
华北区拉练
天逸直播
以战代练
技术晨报
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
升级&主动服务
高频问题集锦
POC测试案例
全能先锋系列
云化安全能力

本版达人

新手61940...

本周建议达人

zhao_HN

本周分享达人

ZSFKF

本周提问达人