虚拟服务发布后集团内部及下级单位能正常访问,但是上级单位无法正常访问。 网络架构中存在第三防火墙、核心交换机及深信服WOC 1、首先联系400定位,400根据描述建议联系WOC,WOC定位数据流能正常转发,但未收到AD的回复报文 2、在核心交换机、友商防火墙上抓包均为收到AD的回复报文 3、在AD上抓包仍然未看到虚拟IP地址对上级单位测试IP的回复报文
4、后台抓包,发现集团内部访问虚拟服务器IP地址,数据交互均是本地用户与虚拟IP之间的数据流;但上级单位请求虚拟服务后,相应节点IP会主动和对方建立通讯
5、进一步分析发现集团内部访问互联网的流量都做了SNAT,而上级单位的数据过来未做SNAT,导致来回路径不一致 ,做虚拟服务的时候需要开启SNAT
总结分析: 本次问题的主要原因为对虚拟服务的原理理解不到位 虚拟服务响应数据报文时,是将请求调度到节点池的具体节点,节点池内服务器与数据报文的源IP直接进行通信。 本案例中由于上级单位访问虚拟IP地址未做SNAT,导致数据请求的报文是到虚拟IP地址,而响应的报文是节点池服务器IP与用户IP建立通讯,来回路径不一致导致业务异常。 |