问题描述:部分ip经过防火墙无法匹配源地址转换去访问业务
排查思路/处理过程:1、首先查看无法匹配IP在策略源IP范围内,并且勾选了对应源区域 2、用IP进行ping检测,并去会话保持查询IP,看流量有没有到防火墙 3、查询会话保持发现IP经过防火墙,但没有匹配到区域,导致无法匹配NAT策略 4、排查流量走向,发现源IP两次经过防火墙,无法确定匹配的区域
原因分析/确定的问题:1、流量多次穿越防火墙,无法匹配NAT策略
解决方案:1、在【导航菜单】页面中的『网络』→『高级网络配置』,右边进入【多次穿越设置】编辑页面: 点击启用后,再点击新增,新增一条记录: [数据包源 IP]:如一条数据流同时经过 AF 的 eth1 和 eth2 组成的“网桥 1”以及 eth3 和 eth4 组成的“网桥 2”,而当前的安全防护策略配置在“网桥 2”的内/外网区域上,那么此处设置经过“网桥 1”数据包的源地址 [数据包目的 IP]:如一条数据流同时经过 AF 的 eth1 和 eth2 组成的“网桥 1”以及 eth3 和 eth4 组成的“网桥 2”,而当前的安全防护策略配置在“网桥 2”的内/外网区域上,那么此处设置经过“网桥 1”数据包的目的地址 [数据包入接口]:如一条数据流同时经过 AF 的 eth1 和 eth2 组成的“网桥 1”以及 eth3 和 eth4 组成的“网桥 2”,而当前的安全防护策略配置在“网桥 2”的内/外网区域上,那么此处设置经过“网桥 1”数据包的入接口 设置完成后点击确定,完成设置 |