如下图所示,ACG部署在公网出口,配置SNAT使内网能够访问公网。
配置SNAT后,发现内网无法访问公网,ping不通公网地址。
1、测试终端ping acg公网接口地址以及acg ping公网,都能正常ping通。
2、检查不通时候SNAT策略的匹配次数,发现在增长。
3、在不通的时候尝试在设备采集debug dp,发现报错如下,被默认控制策略丢弃
<2022-06-24 13:45:07> core 0 recv prot 1 packet 10.10.1.166 -> 114.114.114.114, length 60
<2022-06-24 13:45:07> Lookup route for ip packet, 10.10.1.166 -> 114.114.114.114 len 60 from interface ge2
<2022-06-24 13:45:07> no policy match, default action deny
<2022-06-24 13:45:07> Packet dropped 10.10.1.166 -> 114.114.114.114 ICMP len 60: policy default action deny
<2022-06-24 13:45:07> Packet dropped 10.10.1.166 -> 114.114.114.114 ICMP len 60: drop icmp in app identify
4、修改控制策略,将默认规则修改为允许,发现能够正常ping通了,但是dns解析不了
5、再次debug dp,发现报错变成下面内容。
<2022-06-24 14:04:50> ---------- Enter ip slow procedure ----------
<2022-06-24 14:04:50> core 1 recv udp packet 10.10.1.166:61246 -> 114.114.114.114:53, length 77
<2022-06-24 14:04:51> ---------- flow fast receive packet ----------
<2022-06-24 14:04:51> core 0 recv udp packet 10.10.1.166:61246 -> 114.114.114.114:53, length 77
<2022-06-24 14:04:51> 10.10.1.166:61246 -> 114.114.114.114:53 UDP len 77 the corresponding conntrack doesn't exist, goto slow
6、再次检查配置,发现客户配置了负载均衡策略,将负载均衡策略删掉后问题解决。
附:acg debug dp方法
Username: admin
Password:
H3C> en
H3C# debug dp basic
H3C# debug dp drop
H3C# debug dp error
H3C# debug dp filter src-ip 192.168.1.1 dst-ip 114.114.114.114 two-way //192.168.1.1、114.114.114.114替换为终端以及ping的公网ip地址。
H3C# clear log debug
然后让终端去做ping或者其他访问操作,然后通过下面命令采集debug输出
H3C# dis log debug
采集完毕后,不要忘记关闭debug开关
H3C# no debug all
将控制策略默认规则改成允许,并且删掉负载均衡策略配置后问题解决。
该案例暂时没有网友评论
✖
案例意见反馈
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作