看不到NAT会话

需要开启nat会话功能

H3C 设备 WEB 界面显示 NAT 策略有命中数，但display nat session verbose命令查不到会话，核心原因是 **“策略命中” 与 “会话建立” 的触发条件不同 **，具体可从以下维度排查：
一、核心概念区分：“策略命中”≠“会话建立”
NAT 策略命中数：表示流量匹配到该 NAT 策略的次数（只要报文符合策略的源 / 目的地址、服务等条件，就会计数），无论后续是否成功建立连接。
NAT 会话：仅当流量形成 “双向交互的流”（如 TCP 三次握手完成、UDP 双向通信等）时，设备才会创建并记录会话，且会话会随超时时间老化消失。
因此，“有命中数但无会话” 本质是：流量匹配了策略，但未形成有效会话（或会话已老化）。
二、具体原因与排查步骤
1. 会话已老化消失（最常见）
NAT 会话有超时时间（不同协议超时时间不同），若流量是短连接（如 ICMP ping、单次 UDP 报文），会话会在超时后自动删除，但策略命中数已记录。
排查方法：
① 查看设备 NAT 会话超时时间配置：
<H3C> display nat session aging-time
（例如：TCP 默认超时 3600 秒，UDP 默认 30 秒，ICMP 默认 2 秒，短连接易快速老化）
② 测试持续的 TCP 连接（如用telnet 目标IP 端口），同时在设备上实时执行display nat session verbose，观察是否能捕获会话。
2. 双向转换（双向 NAT）的特殊性
用户的 NAT 策略是 “双向转换”（即同时转换源地址和目的地址），这种场景下：
仅单向流量（如仅内网→外网，或仅外网→内网）触发策略命中时，可能因缺乏反向流量而无法建立完整会话。
双向转换需要来回流量均经过设备并匹配策略，才能形成会话。
排查方法：① 确认是否有双向流量（如内网主动访问外网，同时外网有回应流量）；② 检查双向转换的地址 / 端口转换是否对称（源转换和目的转换是否匹配），配置错误可能导致反向流量不匹配策略，无法建立会话。
3. 流量被安全策略 / ACL 阻断，未形成完整流
NAT 策略仅负责地址转换，而流量是否允许通过由安全策略（或 ACL）控制：
若 NAT 策略命中后，后续报文（如 TCP 的 SYN-ACK、UDP 的回应报文）被安全策略拒绝，此时策略已计数，但会话因未完成交互而不被记录。
排查方法：① 查看安全策略是否允许 NAT 转换后的流量通过（尤其是双向转换场景，需同时允许正向和反向流量）；② 执行display security-policy statistics，检查是否有对应流量被 “deny” 的记录。
4. 设备多槽位 / 虚拟系统（VSYS）导致会话分散
若设备是多槽位 chassis 或启用了虚拟系统（VSYS）：
WEB 界面统计的是全局命中数，但display nat session默认查看当前槽位 / VSYS 的会话，可能会话在其他槽位 / VSYS 中。
排查方法：① 查看设备是否为多槽位：display device；② 切换到其他槽位查询：display nat session verbose slot 2（替换为实际槽位号）；③ 若启用 VSYS，切换到对应虚拟系统：vsys vsys-name，再执行会话查询命令。
5. 非会话类流量触发策略（如 ICMP 单包）
某些无连接协议（如 ICMP Echo Request，即 ping 包）：
单包即可命中 NAT 策略（计数 + 1），但因无回应包（或回应包未经过设备），无法形成 “双向流”，设备可能不记录会话（或会话仅存在毫秒级）。
排查方法：用ping测试时，同时在设备上连续执行display nat session verbose，观察是否有短暂出现的 ICMP 会话；若要稳定看到会话，建议用telnet或ssh等持续 TCP 连接测试。
三、验证与解决建议
用持续 TCP 连接测试：从内网主机telnet 外网IP 80（确保外网服务存活），同时在设备上执行：
<H3C> display nat session verbose protocol tcp
若能看到会话，说明问题是原测试流量为短连接 / 无回应导致。
延长会话超时时间（临时测试）：针对 UDP/ICMP 等短连接，临时延长超时时间：
[H3C] nat session aging-time udp 300 // 延长UDP超时至300秒
[H3C] nat session aging-time icmp 60 // 延长ICMP超时至60秒
测试后再查询会话，确认是否因超时过快导致。
检查双向转换配置对称性：双向转换需确保 “源地址转换规则” 与 “目的地址转换规则” 匹配（如内网地址 A→公网 A'，则公网 A'→内网 A 需能反向匹配），配置不对称会导致反向流量不命中策略，无法建立会话。