f1030防火墙端口映射与IPSEC冲突
- 0关注
- 0收藏，597浏览
问题描述：
最近遇到一个问题，之前出口防火墙上做了内网服务器的端口映射，后面又跟总部的华为AR6300对接做了IPSEC打通，发现在F1030做了映射的服务器PING不通对端的服务器，取消映射就正常，不知道有没有人遇到过？？前几天在总部出现无法PING通H3C这边服务器时发现是因为AR6300上做的映射 是nat server，后面改成nat static映射 后就能正常访问了。但是H3C好像配置不了nat static的端口映射。。。
- 2025-05-08提问
- 举报
-
(0)
最佳答案
ipsec的感兴趣流怎么写的，精细化的写法吗？还是只写了一个源地址？
- 2025-05-08回答
- 评论(2)
- 举报
-
(0)
感兴趣流应该也没问题，只要不做映射 都是正常的
解决了，感谢
1. NAT与IPSec优先级冲突：映射服务器的流量被NAT优先处理，未触发IPSec加密，导致流量以明文发送至公网，无法匹配IPSec隧道。
2. ACL规则冲突：NAT outbound使用的ACL未排除IPSec感兴趣流，导致加密流量被错误NAT转换。
3. NAT回流未配置：内网通过公网IP访问映射端口时，未启用NAT hairpin，导致流量路径未经过IPSec隧道。解决方案：
1. 分离NAT与IPSec流量：
修改NAT的ACL，拒绝IPSec感兴趣流（如总部服务器网段）。
acl advanced 2000
rule 0 deny ip source 内网服务器网段 destination IPSec对端网段
rule 5 permit ip
确保IPSec策略的ACL（如acl 3000）精确匹配需要加密的流量。
2. 启用NAT回流：
interface GigabitEthernet1/0/1
nat hairpin enable
nat outbound 2000
安全策略放行内网到服务器的回流流量（源：内网地址段，目的：服务器私网地址）。
3. 检查IPSec配置：
确认IPSec策略正确调用IKE profile，且隧道模式为非模板方式（主动触发协商）。
验证两端感兴趣流完全对称，避免ACL范围不匹配。
4. 端口冲突排查：
确保NAT server未映射UDP 500/4500端口，避免与IPSec协商流量冲突。通过上述调整，可解决NAT与IPSec优先级冲突，保证加密流量正确触发隧道建立。
- 2025-05-08回答
- 评论(4)
- 举报
-
(0)
刚刚测试的时候做映射没加reversible。。。额，还 以为通了
基本上你说的都做了，反正IPSEC两端互通都没问题，明天 我又发现了，做单向映射就没问题，但如果 命令加了reversible，就不通了，难道回流要单独做？
刚刚又检查了一遍，下行口写了nat hairpin enable，外网口没做，加上就正常了。。。感谢大佬
高兴早了，刚刚是幻觉？？我刚加上是通了，后面用客户机器测试还是不行。。-_-!!!
刚刚测试的时候做映射没加reversible。。。额，还 以为通了
配置放不方便发一下，要不然不好排查问题
- 2025-05-08回答
- 评论(1)
- 举报
-
(0)
就是原来正常的在出口做了nat server端口映射了内网的服务器，后面跟总部做了IPSEC，放通的服务器这个网段，然后就发现访问不了总部对应放通的服务器
就是原来正常的在出口做了nat server端口映射了内网的服务器，后面跟总部做了IPSEC，放通的服务器这个网段，然后就发现访问不了总部对应放通的服务器
###下行口###
interface GigabitEthernet1/0/1
port link-mode route
ip address 10.1.1.1 255.255.255.248
nat hairpin enable
###外网口###
interface GigabitEthernet1/0/15
port link-mode route
ip address 1.1.1.114 255.255.255.248
ip address 1.1.1.115 255.255.255.248 sub
ip address 1.1.1.116 255.255.255.248 sub
ip address 1.1.1.117 255.255.255.248 sub
ip address 1.1.1.118 255.255.255.248 sub
tcp mss 1300
nat outbound 3002 address-group 1
nat outbound 3001 address-group 0
###0.1是我的测试机###
nat server protocol tcp global current-interface 22222 inside 192.169.0.1 22222 reversible
nat hairpin enable
ipsec apply policy GE1/0/15
###公网地址组###
NAT address group information:
Totally 3 NAT address groups.
Address group ID: 0
Port range: 1-65535
Address information:
Start address End address
1.1.1.115 1.1.1.115
1.1.1.118 1.1.1.118
Address group ID: 1
Port range: 1-65535
Address information:
Start address End address
1.1.1.114 1.1.1.114
###NAT调用的ACL###
Advanced IPv4 ACL 3001, 16 rules,
ACL's step is 5
rule 1 deny ip source 192.168.90.0 0.0.0.255 destination 192.168.92.0 0.0.0.255 (235 times matched)
rule 2 deny ip source 192.168.90.0 0.0.0.255 destination 192.168.254.0 0.0.0.255 (15 times matched)
rule 3 deny ip source 192.168.90.0 0.0.0.255 destination 192.168.250.0 0.0.1.255 (478 times matched)
rule 4 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.92.0 0.0.0.255 (18 times matched)
rule 5 deny ip source 192.168.40.0 0.0.0.255 destination 192.168.250.0 0.0.1.255
rule 6 deny ip source 10.190.11.0 0.0.0.255 destination 192.168.250.0 0.0.1.255 (2 times matched)
rule 7 deny ip source 10.190.11.0 0.0.0.255 destination 192.168.92.0 0.0.0.255 (2214 times matched)
rule 10 permit ip source 192.168.90.0 0.0.0.255 (15084193 times matched)
rule 15 permit ip source 10.190.11.0 0.0.0.255 (1118225 times matched)
rule 20 deny ip source 10.250.0.0 0.0.0.255 destination 192.168.250.0 0.0.1.255
rule 31 deny ip source 192.169.0.0 0.0.0.255 destination 192.168.250.0 0.0.1.255 (13 times matched)
rule 33 deny ip source 192.169.0.0 0.0.0.255 destination 192.168.92.0 0.0.0.255 (44 times matched)
rule 34 deny ip source 10.250.0.0 0.0.0.255 destination 192.168.92.0 0.0.0.255
rule 35 deny ip source 10.250.0.0 0.0.0.255 destination 192.168.254.0 0.0.0.255 (124525 times matched)
rule 60 permit ip source 192.169.0.0 0.0.0.255 (1792062 times matched)
rule 70 permit ip source 10.250.0.0 0.0.0.255 (1537695 times matched)
Advanced IPv4 ACL 3002, 3 rules,
ACL's step is 5
rule 0 permit ip source 192.168.70.0 0.0.0.255 (226494634 times matched)
rule 5 permit ip source 192.168.110.0 0.0.0.255 (407892544 times matched)
rule 10 permit ip source 192.168.80.0 0.0.0.
###IPSEC调用的ACL###
Advanced IPv4 ACL named IPsec_GE1/0/15_IPv4_1, 12 rules,
ACL's step is 5
rule 1 permit ip source 192.168.90.0 0.0.0.255 destination 192.168.92.0 0.0.0.255 (35718479 times matched)
rule 2 permit ip source 192.168.90.0 0.0.0.255 destination 192.168.254.0 0.0.0.255 (111301 times matched)
rule 3 permit ip source 192.168.90.0 0.0.0.255 destination 192.168.250.0 0.0.1.255 (2567821 times matched)
rule 4 permit ip source 192.168.10.0 0.0.0.255 destination 192.168.92.0 0.0.0.255 (1795 times matched)
rule 5 permit ip source 192.168.40.0 0.0.0.255 destination 192.168.250.0 0.0.1.255 (39241 times matched)
rule 6 permit ip source 10.190.11.0 0.0.0.255 destination 192.168.92.0 0.0.0.255 (666056 times matched)
rule 7 permit ip source 10.190.11.0 0.0.0.255 destination 192.168.250.0 0.0.1.255 (700750 times matched)
rule 10 permit ip source 192.169.0.0 0.0.0.255 destination 192.168.250.0 0.0.1.255 (23003932 times matched)
rule 20 permit ip source 10.250.0.0 0.0.0.255 destination 192.168.250.0 0.0.1.255 (12977961 times matched)
rule 30 permit ip source 10.250.0.0 0.0.0.255 destination 192.168.92.0 0.0.0.255 (37307 times matched)
rule 40 permit ip source 192.169.0.0 0.0.0.255 destination 192.168.92.0 0.0.0.255 (777608 times matched)
rule 50 permit ip source 10.250.0.0 0.0.0.255 destination 192.168.254.0 0.0.0.255 (191626818 times matched)
255 (104806 times matched)
###IPSEC配置###
ipsec transform-set GE1/0/15_IPv4_1
esp encryption-algorithm aes-cbc-256
esp authentication-algorithm sha1
#
ipsec policy GE1/0/15 1 isakmp
transform-set GE1/0/15_IPv4_1
security acl name IPsec_GE1/0/15_IPv4_1
local-address 1.1.1.114
remote-address 2.2.2.18
ike-profile GE1/0/15_IPv4_1
#
ike profile GE1/0/15_IPv4_1
keychain GE1/0/15_IPv4_1
local-identity address 1.1.1.114
match remote identity address 2.2.2.18 255.255.255.255
match local address GigabitEthernet1/0/15
proposal 1
#
ike proposal 1
encryption-algorithm aes-cbc-256
dh group14
#
ike keychain GE1/0/15_IPv4_1
match local address GigabitEthernet1/0/15
pre-shared-key address 2.2.2.18 255.255.255.255 key cipher $c$3$bAVYrIKbgD7oI12fGzWyBfLCyULG2k14tvel
- 2025-05-09回答
- 评论(0)
- 举报
-
(0)
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
解决了，感谢