msr 6600

方案一：配置 NAT ALG 用于 traceroute（推荐）
在 H3C MSR 6600 上启用 NAT ALG 功能，特别是对 traceroute 相关的 ICMP 消息进行特殊处理：
# 进入系统视图
system-view

# 启用 NAT ALG（默认可能已开启，但需要确认）
nat alg icmp enable

# 配置 NAT 映射模式，允许 ICMP 错误消息保持原始源地址
nat mapping-behavior endpoint-independent icmp

# 针对 traceroute 流量创建更精细的 NAT 策略
acl number 3000
rule 5 permit icmp source any destination any icmp-type traceroute
quit

nat outbound 3000 address-group 1 no-pat

# 保存配置
save
方案二：使用基于策略的路由（PBR）绕过 NAT
如果网络拓扑允许，可以让 traceroute 流量不经过 NAT：
# 创建 ACL 匹配 traceroute 流量（UDP 33434-33534 是 traceroute 常用端口）
acl number 3001
rule 10 permit udp source any destination any destination-port eq 33434
rule 20 permit udp source any destination any destination-port range 33435 33534
rule 30 permit icmp source any destination any icmp-type traceroute
quit

# 创建流分类
traffic classifier traceroute classifier
if-match acl 3001
quit

# 创建流行为（不进行 NAT）
traffic behavior traceroute behavior
filter permit
quit

# 创建流策略
qos policy traceroute-policy
classifier traceroute classifier behavior traceroute behavior
quit

# 应用策略到接口
interface GigabitEthernet0/0 # 修改为实际接口
qos apply policy traceroute-policy inbound
quit
方案三：配置 ICMP 错误消息映射
更精细地控制 ICMP 错误消息的 NAT 行为：
# 配置 ICMP 错误消息的 NAT 保持原始地址
nat icmp-error mapping inbound
nat icmp-error mapping outbound

# 或者针对特定接口配置
interface GigabitEthernet0/1 # NAT 外部接口
nat icmp-error reply source original
quit
方案四：使用源 NAT 代替目标 NAT（如适用）
如果网络设计允许，考虑改变 NAT 策略：
# 如果是目标地址转换，改为源地址转换可能更有利于 traceroute
nat outbound 2000 address-group 1

# 创建更精确的 NAT 规则，排除 traceroute 流量
acl advanced number 3100
rule 5 deny udp destination-port eq 33434
rule 10 deny udp destination-port range 33435 33534
rule 15 deny icmp icmp-type traceroute
rule 20 permit ip
quit

nat outbound 3100 address-group 1
方案五：使用替代的追踪方法
如果上述配置无法实现，可以考虑替代方案：
​​在路由器上执行 traceroute​​：
# 登录到 MSR 6600 路由器执行
tracert 目标IP地址
​​使用带源地址的 traceroute​​（从交换机执行）：
# 在交换机上指定源接口进行 traceroute
traceroute 目标IP地址 -a 源IP地址
# 或者
traceroute 目标IP地址 source 源接口
​​使用 TCP traceroute​​（如果目标服务可用）：
# 使用 TCP 协议进行 traceroute
traceroute -T -p 80 目标IP地址
验证配置
配置完成后进行测试：
# 在交换机上执行 traceroute 测试
traceroute 目标IP地址

# 同时检查路由器的 NAT 会话
display nat session protocol icmp
display nat session protocol udp
注意事项
​​安全考虑​​：允许 traceroute 显示真实 IP 可能会暴露内部网络结构，请评估安全风险。
​​性能影响​​：复杂的 NAT 策略可能会影响路由器性能。
​​版本兼容性​​：上述命令基于 H3C Comware V7 平台，如果您的设备版本不同，命令可能略有差异。
​​网络设计​​：最根本的解决方案是重新考虑网络设计，将管理流量和数据流量分离。
如果上述方案仍无法解决问题，建议提供更详细的网络拓扑和 NAT 配置，以便给出更精确的解决方案。

不支持