提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

【AD】内网上网路由没有按照智能路由走

|

问题描述

有两个不同的地址集,智能路由配置A地址集走500M链路,B地址集走200M链路。但是查看源地址转换还是存在A用户集内的用户走了B链路走源地址转换。


告警信息

配置环境介绍:
1、智能路由有四条:
第一条源IP属于地址集A访问任意地址走500M,关闭链路繁忙保护,匹配失效的动作是匹配下一条;
第二条源IP属于地址集A访问任意地址走200M,关闭链路繁忙保护,匹配失效的动作是丢弃;
第三条源IP属于地址集B访问任意地址走200M,关闭链路繁忙保护,匹配失效的动作是匹配下一条;
第四条源IP属于地址集B访问任意地址走500M,关闭链路繁忙保护,匹配失效的动作是丢弃;
最后一条default就是系统默认的所有走所有,两条链路都走。
图1.1 智能路由配置

2、检查源地址配置如图1.2所示,正常来说第三条是不会有匹配数的,但是一直在上涨中。


图1.2 源地址转换配置

有效排查步骤

在处理问题之前需要了解到,AD上的路由优先级是:连接跟踪(会话保持)>静态路由>动态路由>智能路由。

1、检查静态路由,发现静态路由只有去往内网的路由,不会导致智能路由匹配失效。


图2.1 静态路由配置

2、与客户沟通之后,将200M的网线拔了,用于清除200M链路上的所有连接跟踪,重新接线之后还是有匹配数。



3、在后台过滤连接跟踪,过滤方式如图2.2所示,过滤A用户地址集和200M链路IP地址就能看到哪些内网IP匹配了用户地址集,具体IP可以根据遇到问题的场景去填。



图2.2 过滤连接跟踪

4、过滤出来的连接跟踪都是53端口的DNS协议包,考虑到DNS定制路由的优先级大于所有路由,所以检查了DNS代理是否开启,检查发现没有开启DNS代理。


5、检查网络配置-网络接口里的接口配置,发现200M链路和500M链路都配置了相同的DNS服务器,且内网用户也用的是相同的DNS服务器。在智能路由的路由测试中根据源目IP测试了路由,发现走了DNS定制路由,路由查询结果如图2.3。



图2.3 路由测试结果

6、与客户沟通之后删除了网络接口里面的DNS,删除之后重置了源地址转换的配置数,发现第三条源地址转换没有增长,说明A用户地址集用户没有走200M了,路由按照了智能路由的配置走了。




图2.4 接口上配置的DNS

根因

路由优先级情况是:连接跟踪和会话保持>DNS定制路由>静态路由>动态路由>智能路由,所以智能路由没有匹配的话,可以检查是否是由于连接跟踪、会话保持、DNS定制路由、静态路由或者动态路由所导致的。

解决方案


我要分享
文档编号: 195875
作者: admin
更新时间: 2023-04-04 14:47
适用版本: