路由器nat outbound + nat server 场景下的问题
- 0关注
- 1收藏，1676浏览
问题描述：
1.192.168.10.10:7100给50.11.11.249:7100发送数据（以下称为第一条报文），会在路由器的出口替换源端口源ip，并生成一条nat会话，在这条nat会话表到期之前，如果从50.11.11.249:7100往50.11.11.254:7100发送数据（以下称为第二条报文），192.168.10.10收不到
2.路由器上打开了调试，可以看到这个报文触发了nat server条目，也做了转换，而且接口g0/1，上也显示发了这条以太网报文，但是在192.168.10.10上抓包，是抓不到的
3.除非第一个报文触发的nat表项到期，或者第二条报文的源端口换成不是7100的端口，第二条报文才可以正常到达192.168.10.10d的主机
组网及组网描述：
组网如下图，基本配置：
在g0/0上做了nat outbound 和 nat server
ip address 50.11.11.254 255.255.255.0 nat outbound 2001 address-group 1
nat server protocol udp global 50.11.11.254 7100 inside 192.168.10.10 7100
在主机50.11.11.249 上起一个udp 7100 端口
在主机192.168.10.10上起一个udp 7100 端口
- 2021-10-25提问
- 举报
-
(0)
最佳答案
debug信息看没有问题，转源和转目的是两个方向应该没什么关系。如果debug有了回包终端收不到看看是否是中间链路或终端有限制，或者正常和不正常对比debug再看下
- 2021-10-25回答
- 评论(2)
- 举报
-
(0)
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
好些项目遇到这样的问题了，理论上这样配置也是可以的，但现在不论是模拟器，还是现场设备，都存在这样的问题。补充一下，虽然报文二，看debug信息是走到了nat模块，但是没有新的nat表项产生。如果等第一条报文的nat表项老化时间到了，在内网pc上可以抓到正常报文，也有新的会话表项产生。不知道抓不到报文的情况是不是在这种特殊场景下以太网做帧校验的时候丢弃了。
看会话表的debug信息的时候，发现第二条报文有：Session entry was Add Hash failed.