nat无法访问成功
- 0关注
- 0收藏，520浏览
问题描述：
配置了外网映射规则，外网口g07，ip: 1.1.1.182 ,区域untrust，内网口G02,区域trust, ip192.168.1.33,， 内网下一跳：10.10.20.2 安全策略规则配置了any-to-any，配置了nat端口映射无法正常访问，访问映射的外网端口可以在nat规则页面看到匹配的报文。 nat没有配置acl规则。
- 2024-01-08提问
- 举报
-
(0)
配置了外网映射规则，外网口g07，ip: 1.1.1.182 ,区域untrust，内网口G02,区域trust, ip192.168.1.33,， 内网下一跳：10.10.20.2 安全策略规则配置了any-to-any，配置了nat端口映射无法正常访问，访问映射的外网端口可以在nat规则页面看到匹配的报文。 nat没有配置acl规则。
[SSCF_·;display nat server
NAT internal server information:
Totally 6 internal servers.
Interface: GigabitEthernet1/0/7
Protocol: 6(TCP)
Global IP/port: 1.1.1.182/4009
Local IP/port : 192.168.1.33/4009
Rule name : ServerRule_8
NAT counting : 632
Config status : Active
User
[SSCF_·;display ip routing-table
Destinations : 35 Routes : 35
Destination/Mask Proto Pre Cost NextHop Interface
0.0.0.0/0 Static 1 0 1.1.1.129 GE1/0/7
0.0.0.0/32 Direct 0 0 127.0.0.1 InLoop0
10.10.10.0/24 Direct 0 0 10.10.10.2 GE1/0/1
10.10.10.0/32 Direct 0 0 10.10.10.2 GE1/0/1
10.10.10.2/32 Direct 0 0 127.0.0.1 InLoop0
10.10.10.255/32 Direct 0 0 10.10.10.2 GE1/0/1
10.10.20.0/24 Direct 0 0 10.10.20.1 GE1/0/2
10.10.20.0/32 Direct 0 0 10.10.20.1 GE1/0/2
10.10.20.1/32 Direct 0 0 127.0.0.1 InLoop0
10.10.20.255/32 Direct 0 0 10.10.20.1 GE1/0/2
1.1.1.128/26 Direct 0 0 1.1.1.182 GE1/0/7
1.1.1.128/32 Direct 0 0 1.1.1.182 GE1/0/7
1.1.1.182/32 Direct 0 0 127.0.0.1 InLoop0
1.1.1.191/32 Direct 0 0 1.1.1.182 GE1/0/7
2.2.2.1/32 Direct 0 0 2.2.2.1 Dia3
2.2.2.39/32 Direct 0 0 127.0.0.1 InLoop0
42.121.254.126/32 Static 60 0 10.10.10.1 GE1/0/1
111.23.139.7/32 Direct 1 0 0.0.0.0 NULL0
127.0.0.0/8 Direct 0 0 127.0.0.1 InLoop0
127.0.0.0/32 Direct 0 0 127.0.0.1 InLoop0
127.0.0.1/32 Direct 0 0 127.0.0.1 InLoop0
127.255.255.255/32 Direct 0 0 127.0.0.1 InLoop0
192.168.0.0/23 Static 60 0 10.10.20.2 GE1/0/2
192.168.3.0/24 Static 60 0 10.10.20.2 GE1/0/2
192.168.4.0/23 Static 60 0 10.10.20.2 GE1/0/2
192.168.6.0/23 Static 60 0 10.10.20.2 GE1/0/2
192.168.8.0/24 Static 60 0 10.10.10.1 GE1/0/1
192.168.10.0/23 Static 60 0 10.10.20.2 GE1/0/2
192.168.12.0/23 Static 60 0 10.10.20.2 GE1/0/2
192.168.14.0/23 Static 60 0 10.10.20.2 GE1/0/2
192.168.18.0/23 Static 60 0 10.10.20.2 GE1/0/2
192.168.30.0/24 Static 60 0 10.10.20.2 GE1/0/2
224.0.0.0/4 Direct 0 0 0.0.0.0 NULL0
224.0.0.0/24 Direct 0 0 0.0.0.0 NULL0
255.255.255.255/32 Direct 0 0 127.0.0.1 InLoop0
<SSCF_·;show version
H3C Comware Software, Version 7.1.064, Release 9345P2416
Copyright (c) 2004-2021 New H3C Technologies Co., Ltd. All rights reserved.
H3C SecPath F100-A-G2 uptime is 0 weeks, 0 days, 2 hours, 14 minutes
Last reboot reason: User reboot
Boot image: flash:/f1000fw-cmw710-boot-R9345P2416.bin
Boot image version: 7.1.064, Release 9345P2416
Compiled Sep 09 2021 14:00:00
System image: flash:/f1000fw-cmw710-system-R9345P2416.bin
System image version: 7.1.064, Release 9345P2416
Compiled Sep 09 2021 14:00:00
使用报文诊断抓包4009端口可以看到设备对1.33发送了syn，但没有回复。
- 2024-01-08回答
- 评论(0)
- 举报
-
(0)
外网线如果是多条的话需要配置源进源出
如果没有回复，可以要去目标服务器上看下
- 2024-01-08回答
- 评论(3)
- 举报
-
(0)
在设备上ping或tracert是可以到192.168.1.33：4009的，只是nat不生效
内网其他主机是可以成功访问到映射的192.168.1.33:4009端口的，只是通过外网ip映射无法到达。
配置了两条，但是另外一条属于故障状态。无法使用的
在设备上ping或tracert是可以到192.168.1.33：4009的，只是nat不生效
检查服务端设备，或者直接在内网环境测试端口通不通。先排除啊是不是nat的问题，如果在内网环境都无法访问，那就是服务端有问题，如果不过nat可以那再检查一下NAT配置
- 2024-01-08回答
- 评论(10)
- 举报
-
(0)
缺省不做监听的
内网环境可以访问
nat配置贴一下看看
Interface: GigabitEthernet1/0/7 Protocol: 6(TCP) Global IP/port: 1.1.1.182/4009 Local IP/port : 192.168.1.33/4009 Rule name : ServerRule_19 NAT counting : 509 Config status : Active
Interface: GigabitEthernet1/0/7 Protocol: 6(TCP) Global IP/port: 1.1.1.182/4009 Local IP/port : 192.168.1.33/4009 Rule name : ServerRule_19 NAT counting : 509 Config status : Active
display nat session 看一下nat会话的详细信息，看你这给的nat内部服务器的信息没啥问题
display nat session destination-ip 192.168.1.33 Slot 1: Total sessions found: 0 display nat session source-ip 1.1.1.182 Slot 1: Total sessions found: 0 这两个ip是没有的，其他的又太多了。 无法全部粘贴出来
还有个现象是如果我没有配置安全规则，any-to-any的话 untrust-trust是没有流量的。 目前的配置又any-local、trust-untrust，untrust-trust。 只配置这三个的话当我测试访问nat映射的端口时，untrust-trust是没有流量的。 如果我配置上any--any后，测试nat是可以匹配到流量的。 （安全规则都没有acl、且没有其他协议等限制，都是any ）
105 5.464599 1.2.52.94 1.1.1.182 TCP 66 [TCP Retransmission] [TCP Port numbers reused] 33377 → 4009 [SYN] Seq=0 Win=64240 Len=0 MSS=1200 WS=256 SACK_PERM=1 106 5.464619 1.1.1.182 188.185.1.33 TCP 66 [TCP Retransmission] [TCP Port numbers reused] 53115 → 4009 [SYN] Seq=0 Win=64240 Len=0 MSS=1200 WS=256 SACK_PERM=1
display tcp *: TCP connection with authentication Local Addr:port Foreign Addr:port State Slot PCB 0.0.0.0:22 0.0.0.0:0 LISTEN 1 0xffffffffffffff9e 0.0.0.0:443 0.0.0.0:0 LISTEN 1 0xffffffffffffffa0 设备是没有监听nat端口4009的， 不知道正常情况下是否应该存在监听的4009才对。
缺省不做监听的
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明