问

L5060做nat66不成功

2025-04-15提问

0关注
0收藏，522浏览

zhiliao_Ss98qc

zhiliao_Ss98qc 零段

粉丝：0人关注：0人

问题描述：

WAN配置IPV6互联网地址24XX:XXXX::2，可以ping通网关24XX:XXXX::1，下联核心交换机，内网用FC00:FFFF::的地址来互联，内网用户ip也是FC00:FFFF::，在L5060上配置NAT66，源地址前缀转换，FC00:FFFF::转换为24XX:XXXX::

核心交换机、内网用户都只能ping通L5060上的WAN口IP，ping不通互联网网关，安全策略做了全放行，接口上的ping接受发起功能均勾选，想问下还有哪里需要配置吗

组网及组网描述：

L5060上联互联网，版本7.1.064,Release 8560P38，下联核心交换机，核心交换机下联用户

最佳答案

zhiliao_sEUyB

zhiliao_sEUyB 九段

粉丝：109人关注：9人

放行的是IPV6的策略吗

1. NAT66策略验证

检查NAT66策略是否绑定到正确的安全域（如Untrust域）

确认源地址转换的前缀长度是否准确（FC00:FFFF::/64转换为24XX:XXXX::/64）

验证策略路由是否生效，建议使用display nat66 policy查看策略命中计数

2. IPv6路由完整性检查

确认核心交换机存在默认路由指向L5060内网接口

检查L5060是否存在指向公网的默认路由（应指向24XX:XXXX::1）

使用display ipv6 routing-table验证路由表完整性

3. 隧道配置校验（如果使用IPv6 over IPv6隧道）

确认隧道两端模式均为tunnel-protocol ipv6-ipv6

检查隧道源地址是否为公网可达地址（建议使用物理接口地址而非逻辑接口）

验证隧道目的地址是否与隧道接口地址不在同一网段

使用display interface tunnel X检查隧道状态是否为UP

4. 安全策略深度检查

确认安全策略已放行ICMPv6协议（需单独放行IPv6-ICMP）

检查是否存在隐含拒绝策略，建议临时创建全通策略测试：

security-policy ipv6

rule 0 permit ipv6 source any destination any

5. 硬件转发验证

检查NAT66会话建立情况：display nat66 session

确认未触发分片丢弃：display firewall statistic fragment

测试不同包长（1400字节以下）：ping ipv6 -s 1400 24XX:XXXX::1

6. 公网可达性测试

在L5060上执行：ping ipv6 2001:4860:4860::8888（Google DNS）

如果公网可达但内网不可达，需重点排查NAT66策略绑定位置

典型配置遗漏点往往出现在：

1. 缺少ipv6 nd security strict配置导致邻居发现异常

2. 未配置undo ipv6 nd ra halt导致RA报文被阻止

3. 隧道接口未加入安全域（需同时加入Local域和Untrust域）

建议通过debugging nat66 all和debugging ipv6 packet组合抓包定位丢包环节。

回复zhiliao_Ss98qc:

参考下案例，配置没问题找400协助吧

zhiliao_sEUyB 发表时间：2025-04-15 更多>>

是IPV6策略，补充一下，刚才开启策略计数器后，分别ping设备WAN口地址和互联网网关，发现ping设备wan口有计数，ping互联网网关没有计数，核心交换机上默认路由指向L5060，L5060的默认路由指向互联网网关