'>

【AF】目的地址映射不通,双向地址映射正常:路由冲突导致

|

问题描述

AF路由模式部署在出口,有业务通过电信线路对外发布。
某一天,突然发现移动4G网络的用户无法访问对外发布的业务,其他网络正常。

处理过程

1.首先检查故障现象,互联网用户通过电信固定线路、联通线路、电信4G网络都可以正常访问,只有移动4G网络无法访问业务,初步定为移动4G网络访问业务异常。
2.png
2.通过4G网络的电脑进行测试,发现可ping通业务公网地址,但是telnet业务公网地址端口不通。
1.png
3.通过tracert对比正常访问和不正常访问的路由,发现不正常访问的时候路由到AF内网口出不去。 5.png

怀疑是内部有异常,关闭【IPS策略】、【内容安全策略】、【web应用防护策略】设备开直通测试,
还是不行。
7.png
6.png
6.png
4.在控制台【系统维护】-【抓包取证】设置内网口抓包,抓取后通过wireshark分析,发现设备有发请求包,没有收到回应包。
8.png
5.【防火墙】-【地址转换】把目的地址转换改成双向地址转换,通过移动4G访问正常;怀疑内网路由异常。
9.png
6. 查看AF路由【网络配置】-【路由】-【查看路由】发现内网有113开头公网网段在内网口学习到,而移动4G网络的公网地址就是113开头网段,路由冲突了;AF内网方向的113公网网段是通过动态路由BGP学到,查内网BGP路由,发现内网错误发布113公网网段,内网将地址段删除之后,网络恢复正常。

根因

内部网络将公网地址做私网路由发布,导致路由冲突,导致回包异常。

解决方案

将AF设备上的目的地址映射,更改为双向地址映射;或调整路由,解决路由冲突。
原理:目的地址转换请求的源IP是使用公网ip进行访问的,双向地址转换会将源地址转换成af的内网口地址去访问内网服务器。

建议与总结

虽然本次故障不是AF设备原因引起,但是让我们更清晰的理解目的地址转换和双向地址转换。
如果使用目的地址转换端口不通,但是使用双向地址转换成功的话,一般是内网中间设备或者服务器本身的限制,或内网路由问题。
灞波奔 发表于 2019-1-16 09:58
  
    思路很好

我要写案例
文档编号: 53368
作者: 神奇轱辘
更新时间: 2018-09-06 16:11
适用版本: