WAN配置IPV6互联网地址24XX:XXXX::2,可以ping通网关24XX:XXXX::1,下联核心交换机,内网用FC00:FFFF::的地址来互联,内网用户ip也是FC00:FFFF::,在L5060上配置NAT66,源地址前缀转换,FC00:FFFF::转换为24XX:XXXX::
核心交换机、内网用户都只能ping通L5060上的WAN口IP,ping不通互联网网关,安全策略做了全放行,接口上的ping接受发起功能均勾选,想问下还有哪里需要配置吗
L5060上联互联网,版本7.1.064,Release 8560P38,下联核心交换机,核心交换机下联用户
(0)
最佳答案
放行的是IPV6的策略吗
1. NAT66策略验证
检查NAT66策略是否绑定到正确的安全域(如Untrust域)
确认源地址转换的前缀长度是否准确(FC00:FFFF::/64转换为24XX:XXXX::/64)
验证策略路由是否生效,建议使用display nat66 policy查看策略命中计数
2. IPv6路由完整性检查
确认核心交换机存在默认路由指向L5060内网接口
检查L5060是否存在指向公网的默认路由(应指向24XX:XXXX::1)
使用display ipv6 routing-table验证路由表完整性
3. 隧道配置校验(如果使用IPv6 over IPv6隧道)
确认隧道两端模式均为tunnel-protocol ipv6-ipv6
检查隧道源地址是否为公网可达地址(建议使用物理接口地址而非逻辑接口)
验证隧道目的地址是否与隧道接口地址不在同一网段
使用display interface tunnel X检查隧道状态是否为UP
4. 安全策略深度检查
确认安全策略已放行ICMPv6协议(需单独放行IPv6-ICMP)
检查是否存在隐含拒绝策略,建议临时创建全通策略测试:
security-policy ipv6
rule 0 permit ipv6 source any destination any
5. 硬件转发验证
检查NAT66会话建立情况:display nat66 session
确认未触发分片丢弃:display firewall statistic fragment
测试不同包长(1400字节以下):ping ipv6 -s 1400 24XX:XXXX::1
6. 公网可达性测试
在L5060上执行:ping ipv6 2001:4860:4860::8888(Google DNS)
如果公网可达但内网不可达,需重点排查NAT66策略绑定位置
典型配置遗漏点往往出现在:
1. 缺少ipv6 nd security strict配置导致邻居发现异常
2. 未配置undo ipv6 nd ra halt导致RA报文被阻止
3. 隧道接口未加入安全域(需同时加入Local域和Untrust域)
建议通过debugging nat66 all和debugging ipv6 packet组合抓包定位丢包环节。
(0)
是IPV6策略,补充一下,刚才开启策略计数器后,分别ping设备WAN口地址和互联网网关,发现ping设备wan口有计数,ping互联网网关没有计数,核心交换机上默认路由指向L5060,L5060的默认路由指向互联网网关
开DEBUG NAT66也没有任何输出
debug ipv6 packet all的话,可以看到源地址 和目的地址的报文,然后马上就变成了源地址是fe80::761f:4aff:fe77:fa01来回复核心,再后面就变成了本地链路地址来回
PC测试下运营商正常吗
security-policy ipv6 rule 0 name IPV6 action pass logging enable
ipv6 nd security strict 接口下没有这个命令,undo ipv6 nd ra halt这个我配置上了,刚才就是同时开了两个debug,nat66的没有报文,dis nat66 session,计数器是0
看了您说的几点, 第一个,策略计数,ping互联网网关未触发计数器 第二个,两个设备路由都配置了,通过-a 内网v6ip发起pingL5060wan口可以通,说明两边路由正常 第三点,没有隧道 第四点,安全策略配置的any,any any any 第五点,disp nat66 session没有任何匹配计数 第六点,公网可达,从设备上ping 外网dns可以通
刚才又试了下debug,还是只有ping有输出信息,nat66没有任何信息
https://www.h3c.com/cn/pub/Document_Center/2023/08/WebHelp_H3C_SecPath_FHQCP_DXPZALJ(V7)/default_auto.htm?CHID=904194
亲~登录后才可以操作哦!
确定你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
抄袭了我的内容
×
原文链接或出处
诽谤我
×
对根叔社区有害的内容
×
不规范转载
×
举报说明
参考下案例,配置没问题 找400协助吧