某学院NE40 NAT sever失效问题

某学院NE40 NAT server失效问题

 

一、       组网：

NE40作为某学院的校园网出口NAT设备，有三个出口，分别是教育网（222.21.219.253），网通（219.147.57.18），电信（125.46.10.226），内网有一台双网卡的网页服务器，两个网卡的地址分别为211.67.112.3（映射为电信的地址125.46.10.236）和211.67.112.2（映射为网通的地址219.147.57.22），而对访问教育网的流量不做NAT。

二、       问题描述：

NE40的版本是VRP3.1 2351，用户反映上网正常，但是无法从外网访问学校的网页服务器，做测试的PC地址是202.106.0.122。

 

三、       过程分析：

首先需要确认的几个问题：

1、确认内网服务器是否工作正常，可以通过查看内网用户是否可以访问内网服务器的两个内网地址，经过确认，是可以的。

2、外网是否能够ping通NE40的出口，使用外网PC分别ping NE40三个出口地址，是能够ping通的。

3、内网ping外网是否能够ping通，在服务器上ping 202.106.0.122是能ping的。

 

对于NE40的3.1版本NAT问题，在排除了上面的几个可能后，一般就可以将问题集中到NE40本身，可以按照下面的方法来定位：

1、是否超过了规格，常常表现为部分用户无法上网，或经常掉线，如果没有超出规格，那么几乎90％是配置问题，由于NE40做NAT的配置往往非常长，所以这时就要细心的查看配置了。

2、NAT是否生效，可以通过查看是否建立的相应的session来确定，如果有session建立，那么可以确定NAT是生效了，但是如果有业务在运行，对于特定的内网地址的session是否正确的建立是很难判断的。

3、NAT server的地址是否在行为所指定的地址池中，如果NAT server的地址不在行为所指定的地址池中，那么外网是无法访问内网的服务器的。

4、规则是否匹配错了，很多时候是规则的冲突导致流量没有匹配到正确的规则，使NAT失效，

5、行为是否配置错了，否则匹配上规则还要有正确的行为，所以行为的正确与否至关重要，要仔细查看。

 

操作过程：

1、[NE40]en_

[NE40-diag]efu qos query 1

发现没有超出规格

2、[NE40]display nat session

   有session存在，说明NAT生效了，但是现网流量较大，无法确定特定的session

3、抓取现网配置，仔细查看

   发现对于IP源地址为内网服务器，目的地址为202.106.0.122的报文，匹配到的规则不是我们预想的，对规则更改后，外网可以使用219.147.57.22（内网对应地址为211.67.112.2）访问网页服务器，但是不能使用125.46.10.236（内网对应地址为211.67.112.3）访问服务器。

   查看相应的规则，发现并没有匹配上设置的规则，由于规则并没有配错，所以继续排查动作，发现动作里使用的地址池是cnc，地址范围是125.46.10.227到125.46.10.230，而网页服务器使用的外网地址125.46.10.236并不在此范围内，属于配置错误。将外网地址改为125.46.10.230，问题解决。

 

四、       解决方法：

更改配置解决。