【标准化排查】AD 端口映射不通

一、问题现象

端口映射不通

二、场景排查思维导图

1、问题现象确认

①访问方向：WAN->LAN

②访问方向：LAN->WAN

2、版本确认

AD各版本均可参考排查

3、端口映射访问方向WAN->LAN不通对应处理方法

1）端口映射TCP协议80或8080端口不通，处理如下：

①优先与运营商确认80和8080是否有备案。

②更换其它端口，如80端口换成81端口进行测试。

③AD设备webconsole控制台执行抓包命令，确认数据是否有到AD，如：

tcpdump -i eth1 host 1.1.1.1 and port 80 -nn(抓取eth1接口IP地址1.1.1.1的80端口映射，注意：tcpdump命令最长执行30秒，抓到20个数据包会立即结束抓包，公网telnet测试需要30秒内操作完成)。

2）检查端口映射配置是否正确，匹配条件中源端口范围是否为0，发起端请求源端口为大于1024的随机端口，此处不能固定某个端口，否则会导致匹配不上该条端口映射规则。

3）AD设备到内网服务器端口是否通，处理如下：

①检查AD是否有去往服务器的路由。

②AD设备webconsole控制台执行命令测试到服务器端口是否通，如 sock 192.168.1.1 80；同时内网电脑使用telnet命令测试检测服务器端口是否通；AD设备sock和内网电脑telnet测试端口都不通，检查服务器服务器是否开启；AD设备sock不通，电脑telnet通，检查AD到服务器中间是否有安全设备拦截。

4）检查AD是否有配置ACL进行了拦截。

5）确认服务器是否单独使用其它出口设备上网，导致数据回包未经过AD，回包数据异常。

6）抓包进行确认，数据包是否有从LAN口发出。

4、端口映射访问方向LAN->WAN不通对应处理方法

1）检查端口映射配置是否正确，是否有勾选发布内网服务器，勾选发布内网服务器会使LAN口进来的数据匹配端口映射；

注意：①AD低版本无此选项，需要额外新建一条入接口为LAN口的端口映射条目。

          ②若6.x和6.x以下使用Manage口作为LAN口，需要新建入接口为MANAGE口的端口映射。

2）检查出接口为LAN口的源地址转换，源IP网段是否包含有终端内网网段。

3）AD有多个LAN接口，终端与AD非直连网段，处理如下：

①每个LAN口下都有终端（终端与AD非直连网段）需要访问，则每个LAN口都需要配置出接口为LAN口的源地址转换条目。

②确认不同LAN口下终端数据来回路径是否一致，如数据从LAN1口进，从LAN2口回包，单边数据流很可能被中间安全设备拦截导致不通；通过AD回包静态路由路径控制或安全设备策略调整放通可以解决此类问题。

4）若AD设备与内网之间通过动态路由协议实现互通，则需要添加去往服务器网段的静态路由回包；AD数据转发原理，从LAN口进来的数据包不会主动查找动态路由表，内网访问端口映射数据最后会匹配走智能路由转发，无法访问端口映射。

5、注意事项

从LAN口进入的数据不查动态路由的机制，存在的版本有6.x以及6.x以下、7.0、7.0R1、7.0.2版本，可以通过单独添加去往服务器的静态路由解决；从LAN口进入查动态路由的机制，在AD7.0.3版本已经实现。

6、TCP端口测试推荐工具

windows平台可以使用tcping工具进行对某端口持续探测，省去需要多次使用telnet命令带来的不方便

以64位操作系统为例，将tcping64.exe放置C盘根目录（其它盘也可以），执行此程序即可，如下图：

tcping64工具可在附件中进行下载。

三、信息获取

转400请提供如下信息

当前网络环境：

设备是否可升级：

是否不支持场景：

是否打补丁包（Appversion可选）：

四、维护说明

如对本场景使用有建议或疑问可以进行回贴反馈，我们会及时进行优化或答疑

你好，
我想把内网139端口映射出去，映射到外网地址的139口，或者9005口，都不通。
③AD设备webconsole控制台执行抓包命令，确认数据是否有到AD。
我在这一步发现数据包无法到达AD，怎么办呢？