• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 全部
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索

L5060做nat66不成功

2025-04-15提问
  • 0关注
  • 0收藏,468浏览
粉丝:0人 关注:0人

问题描述:

WAN配置IPV6互联网地址24XX:XXXX::2,可以ping通网关24XX:XXXX::1,下联核心交换机,内网用FC00:FFFF::的地址来互联,内网用户ip也是FC00:FFFF::,在L5060上配置NAT66,源地址前缀转换,FC00:FFFF::转换为24XX:XXXX::

核心交换机、内网用户都只能ping通L5060上的WAN口IP,ping不通互联网网关,安全策略做了全放行,接口上的ping接受发起功能均勾选,想问下还有哪里需要配置吗

组网及组网描述:

L5060上联互联网,版本7.1.064,Release 8560P38,下联核心交换机,核心交换机下联用户

最佳答案

粉丝:120人 关注:9人

放行的是IPV6的策略吗



1. NAT66策略验证

检查NAT66策略是否绑定到正确的安全域(如Untrust域)

确认源地址转换的前缀长度是否准确(FC00:FFFF::/64转换为24XX:XXXX::/64

验证策略路由是否生效,建议使用display nat66 policy查看策略命中计数

2. IPv6路由完整性检查

确认核心交换机存在默认路由指向L5060内网接口

检查L5060是否存在指向公网的默认路由(应指向24XX:XXXX::1

使用display ipv6 routing-table验证路由表完整性

3. 隧道配置校验(如果使用IPv6 over IPv6隧道)

确认隧道两端模式均为tunnel-protocol ipv6-ipv6

检查隧道源地址是否为公网可达地址(建议使用物理接口地址而非逻辑接口)

验证隧道目的地址是否与隧道接口地址不在同一网段

使用display interface tunnel X检查隧道状态是否为UP

4. 安全策略深度检查

确认安全策略已放行ICMPv6协议(需单独放行IPv6-ICMP

检查是否存在隐含拒绝策略,建议临时创建全通策略测试:

  security-policy ipv6

  rule 0 permit ipv6 source any destination any

5. 硬件转发验证

检查NAT66会话建立情况:display nat66 session

确认未触发分片丢弃:display firewall statistic fragment

测试不同包长(1400字节以下):ping ipv6 -s 1400 24XX:XXXX::1

6. 公网可达性测试

L5060上执行:ping ipv6 2001:4860:4860::8888Google DNS

如果公网可达但内网不可达,需重点排查NAT66策略绑定位置

典型配置遗漏点往往出现在:

1. 缺少ipv6 nd security strict配置导致邻居发现异常

2. 未配置undo ipv6 nd ra halt导致RA报文被阻止

3. 隧道接口未加入安全域(需同时加入Local域和Untrust域)

 

建议通过debugging nat66 alldebugging ipv6 packet组合抓包定位丢包环节。

参考下案例,配置没问题 找400协助吧

zhiliao_sEUyB 发表时间:2025-04-15 更多>>

是IPV6策略,补充一下,刚才开启策略计数器后,分别ping设备WAN口地址和互联网网关,发现ping设备wan口有计数,ping互联网网关没有计数,核心交换机上默认路由指向L5060,L5060的默认路由指向互联网网关

zhiliao_Ss98qc 发表时间:2025-04-15

开DEBUG NAT66也没有任何输出

zhiliao_Ss98qc 发表时间:2025-04-15

debug ipv6 packet all的话,可以看到源地址 和目的地址的报文,然后马上就变成了源地址是fe80::761f:4aff:fe77:fa01来回复核心,再后面就变成了本地链路地址来回

zhiliao_Ss98qc 发表时间:2025-04-15

PC测试下运营商正常吗

zhiliao_sEUyB 发表时间:2025-04-15

security-policy ipv6 rule 0 name IPV6 action pass logging enable

zhiliao_Ss98qc 发表时间:2025-04-15

ipv6 nd security strict 接口下没有这个命令,undo ipv6 nd ra halt这个我配置上了,刚才就是同时开了两个debug,nat66的没有报文,dis nat66 session,计数器是0

zhiliao_Ss98qc 发表时间:2025-04-15

看了您说的几点, 第一个,策略计数,ping互联网网关未触发计数器 第二个,两个设备路由都配置了,通过-a 内网v6ip发起pingL5060wan口可以通,说明两边路由正常 第三点,没有隧道 第四点,安全策略配置的any,any any any 第五点,disp nat66 session没有任何匹配计数 第六点,公网可达,从设备上ping 外网dns可以通

zhiliao_Ss98qc 发表时间:2025-04-15

刚才又试了下debug,还是只有ping有输出信息,nat66没有任何信息

zhiliao_Ss98qc 发表时间:2025-04-15

https://www.h3c.com/cn/pub/Document_Center/2023/08/WebHelp_H3C_SecPath_FHQCP_DXPZALJ(V7)/default_auto.htm?CHID=904194

zhiliao_sEUyB 发表时间:2025-04-15

参考下案例,配置没问题 找400协助吧

zhiliao_sEUyB 发表时间:2025-04-15
1 个回答
粉丝:32人 关注:1人

从防火墙去ping一下内网的IPV6地址看

编辑答案

你正在编辑答案

如果你要对问题或其他回答进行点评或询问,请使用评论功能。

分享扩散:

提出建议

    +

亲~登录后才可以操作哦!

确定

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作

举报

×

侵犯我的权益 >
对根叔社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明