AD设备的源地址转换（SNAT）不生效，如何排障？

问题描述
       本场景适用于网络部属中源地址转换不生效（SNAT）不生效问题排查
问题现象：数据包经过AD设备后转换源地址失效，以原本的源IP为源发往目的IP。

可能的原因
1、配置异常导致未匹配该数据流。
2、源地址转换按界面配置顺序从上往下匹配，前面的策略已经匹配导致未匹配到需要的策略。
3、连接跟踪优先级大于源地址转换策略，匹配了连接跟踪导致源地址转换策略失效。

排障步骤
步骤一：检查源地址转换匹配条件是否正确。

1、智能路由测试，确定数据出接口方向，确保数据路由出去的接口能被源地址转换配置中的出接口包含。

2、6.x版本主要检查出接口是否为对应数据路由找找的出接口，源IP范围是否匹配是否恰当（注意中间是否SNAT环境导致源IP范围没匹配上），目的条件范围是否合理（代理上网默认为所有IP即可），源IP转化协议条件是否正确，源端口范围是否配置所有端口范围（客户端发包的源端口是随机端口，默认SNAT配置源端口为所有端口）。

3、7.x版本与上述6.x版本检查点相同，还需要注意新增的入接口条件，如果是有多个LAN口，则要确保数据进入的接口方向匹配（可以勾选所有LAN口）。

步骤二：检查源地址转换条目位置顺序是否合理。AD源地址转换遵循从上往下匹配的原则。
1、检查源地址转换条目的位置顺序是否合理，是否被前面的源地址转换匹配住，AD遵循从上往下匹配的原则。

2、703版本开始可以页面查看匹配次数来校验是否有无命中匹配规则，如下图：

PS：一条TCP链接产生的所有数据只计算匹配1次，一个ping包同理计算匹配1次。

步骤三：源地址转换不生效特殊检查。

1、检查是否有虚拟服务匹配，IP组和服务端口是否包含了用户访问的目的IP、端口。

2、检查是否有端口映射匹配，端口映射的目的IP、端口范围是否包含了用户访问的目的IP、端口。

3、检查是否有ACL匹配拦截，导致数据无法转发。

步骤四：检查是否有连接跟踪存在

通过手动清理连接跟踪或者停止业务数据包交互（如停掉客户端服务或者ACL策略拦截）让连接跟踪超时老化。

连接跟踪查看和清理方法如下：（请注意，清理时操作需要具体到某个ip，并与客户确认可操作。切勿清理全部ip的跟踪，否则将导致客户的业务全部中断）

①使用做相关地址的ACL拦截来清理连接跟踪，适合4.8~7.0.7版本场景使用。

②7.0.8系列或7.0.20版本开支支持web页面查询和清理，【系统管理】-【调试排障】-【连接会话查询】页面中操作。

步骤五：地址转换不生效的常见案例库集

1、SNAT不匹配
2、因地址转换导致看不到真实的源IP地址
3、源地址转换不生效
4、源端口变化导致IPSEC VPN连接失败

步骤六：收集信息反馈深信服技服
1、使用 文字简要描述数据访问的源、目IP地址，访问需求。

2、提供网络接口、源地址转换的配置截图。

3、提供测试目的IP的路由选路出接口结果截图。

4、确认业务是否为VPN业务或长连接类型业务，连接跟踪一直存在情况。

5、提供AD软件版本信息，web控制台左上角查看。

感谢分享有助于工作和学习！