问题描述 配置双向地址转换后,查看有匹配数,但是内网访问业务不通,外网可以正常访问。 有效排查步骤 1、首先检查地址转换配置,查看源区域、访问指定的地址和端口,以及转换后的地址和端口都是正确的。 2、开直通测试,并在内网测试访问业务。发现有日志产生,但是数据流出的接口路径不对,从防火墙lan口进入的是:源IP是172.16.3.x,目的IP地址是x.x.32.82:8086,但是流出防火墙确实x.x.32.82,目的ip是172.16.3.x 3、开直通测试,并在内网测试访问业务。发现有日志产生,但是数据流出的接口路径不对,从防火墙lan口进入的是:源IP是172.16.3.x,目的IP地址是x.x.32.82:8086,但是流出防火墙确实x.x.32.82,目的ip是172.16.3.x 4、查看路由配置。发现配置上没有问题,存在静态路由和策略路由 5、查看路由优先级。通过查看路由优先级,发现策略路由优先级高于静态路由 根因 因为策略路由优先级高于静态路由,所以当数据匹配路由的时候,优先匹配策略路由发送出去。 新架构默认路由优先级:【直连路由】>【策略路由】>【vpn路由】>【静态路由/动态路由】>【默认路由】 旧架构默认路由优先级:【VPN路由】>【静态路由/动态路由】>【策略路由】>【默认路由】 解决方案 方案一:把问题原因现象,和客户沟通解释后,在争取客户同意后,进行修改路由优先级。 注意:修改前需注意,检查所有路由设置,判断是否更改路由优先级后是否会造成业务中断。 方案二:勾选接口的逆向路由选项,勾选后可以实现源进源出。 操作影响范围 会影响网络,调整前需要和确认,在下班后操作。 |