H3C SecPath F1010，内网终端通过公网 IP 访问内网服务器，时通时不通

配置没问题的话可能得抓包分析了

这种应该是安全策略的问题，没有完全放通。

我之前测试过l2tp，电脑链接上后，ping会出现丢包。安全策略全放开之后，丢包也没了，延迟也小了。

后面通过dis 查看会话，把另外的一部分安全策略补上就好了。

你遇到的这个“所有内网网段同时中断，且能自行恢复”的现象，结合你已排查的结果，问题根源很可能不在 hairpin 配置本身，而在于设备的资源状态或配置冲突。你提供的内存使用率 83% 是一个关键突破口。

 首要嫌疑：内存高企导致的会话表异常

你设备的内存（1008MB）使用率达到 83%，这是一个危险信号。H3C 官方建议内存使用率不高于 70%，持续高于 70% 就需要高度关注。

在内存资源紧张时，防火墙的会话表（Session Table） 会变得非常脆弱：

• 新会话无法建立：内存不足时，设备可能无法为新的 hairpin 访问创建必要的 NAT 会话，导致所有内网用户的访问请求被丢弃。

• 老会话提前老化或表项错乱：已有的会话可能因内存压力被异常清除或处理错误，造成连接中断。而故障的“自行恢复”，很可能是因为某些占用内存的异常会话或进程被系统回收，暂时释放了资源。

下一步行动：

1. 检查会话表状态：在故障发生时（或平时），执行 display session statistics，查看当前会话总数是否接近设备规格上限。

2. 排查异常会话：执行 display session table verbose，检查是否存在大量半连接（状态为SYN_RCVD） 或永不老化的长连接。误配的会话长连接（session persistent aging-time 0）会导致会话永不释放，持续消耗内存直至耗尽。

3. 定位内存消耗进程：执行 display memory 和 display process memory，确认是哪些进程（如 dpid、iked 等）占用了大量内存。如果开启了 DPI（入侵防御、URL过滤等）功能，可以尝试临时关闭以观察内存是否下降，因为低端防火墙在开启DPI后内存容易飙升。

 次要排查：配置冲突与隐藏问题

如果内存问题排除后故障依旧，请检查以下配置冲突点。

1. 全局NAT与接口NAT冲突
这是一个已知的、会导致 hairpin 间歇性失效的经典问题。当防火墙同时配置了全局NAT（nat global-policy） 和接口NAT（如 nat hairpin enable） 时，特定功能（如DPI）的开启可能会改变报文标记，导致全局NAT意外生效，从而破坏 hairpin 的处理流程。

• 核查方法：执行 display current-configuration | include global-policy，确认是否存在全局NAT策略。如果有，建议移除全局NAT，统一使用接口NAT来实现所有NAT功能。

2. 缺少 nat hairpin server 配置
如果内网终端与内网服务器处于同一网段（例如，终端 192.168.5.100 访问服务器 192.168.5.190），仅配置 nat hairpin enable 可能不够。TCP 三次握手的 SYN-ACK 包可能因路由问题无法正确返回，导致连接时好时坏。

• 核查方法：确认内网接口下是否配置了 nat hairpin server。如果没有，可以尝试添加此配置。

3. 堆叠环境下的跨框NAT问题（如果适用）
如果你的 F1010 是两台设备堆叠部署的，这是一个已知问题。出问题时，如果只开启了标准的会话同步（session synchronization enable），跨框的NAT流量可能无法正确同步，导致部分访问失败。

• 解决方案：启用非对称会话同步：session synchronization enable asymmetric。

现象特征：全部内网同时无法通过公网 IP 访问服务器；外网访问正常；内网直连服务器正常；过一段时间自动恢复。 关键点：Hairpin 流量在内网口 GE1/0/2 上，同时做目的 NAT（NAT server）+ 源 SNAT；外网访问只做目的 NAT，不走内网口 SNAT。所以SNAT 端口资源耗尽只会影响 hairpin 内网访问，外网不受影响，完全匹配你的现象。 F1010 硬件内存只有 1GB，当前内存占用 83%，会话表、NAT 端口表资源紧张，是重要诱因。 版本：Release9660P57（老版本，存在 NAT 端口块 / 会话老化相关缺陷）

原理简述

内网终端访问公网 IP:7071，报文到达 GE1/0/2（内网口，nat hairpin enable）：

1. 目的 IP：公网 IP → 转换为 192.168.5.190（NAT server）
2. 源 IP：内网终端 IP → 转换成公网 IP（和外网出口同一个公网 IP），复用公网 IP 的 PAT 端口池

当公网 IP 的 PAT 端口池耗尽，所有内网 hairpin 新建连接全部失败；老会话还在，等待 TCP 会话老化释放端口，一段时间后自动恢复。这就是 “集体中断，自动恢复” 的典型特征。

第一步：采集关键确认命令（故障发生时执行最准）

故障发生时：display nat port-block 会看到公网 IP 端口耗尽，没有空闲端口。

第二步：3 套解决方案（按优先级）

方案 1：针对 hairpin 单独配置内网源 NAT 地址池（推荐，根治）

不要让 hairpin 流量复用外网出口公网 IP做 SNAT。在内网口单独使用一个内网网段做源转换，不再占用公网 PAT 端口池。

1. 新建内网地址池，例如192.168.5.200~192.168.5.210（同内网 5 段，不冲突）
2. 在 GE1/0/2 内网口，配置仅针对访问公网 IP:7071 的流量做源 NAT，使用这个内网地址池。

好处：hairpin 源转换不再消耗公网 IP 端口，公网端口池只给外网上网使用；hairpin 访问永远不会出现端口耗尽。

方案 2：优化会话老化时间，加速端口释放（临时缓解）

默认 TCP 会话老化时间较长，大量闲置会话占用端口。缩短空闲老化，加快端口回收。

注意：不能调太小，避免业务正常长连接被踢。

方案 3：关闭端口块机制，改用传统 PAT（该版本端口块存在缺陷）

F1010 R9660P57 默认开启 nat port-block（端口块），该机制下一个内网主机预先占用一批端口，少量主机就能快速耗尽公网 IP 端口，非常容易出现你这种周期性端口耗尽。

关闭端口块，改用传统 PAT，端口按需分配，不会一次性预占用大量端口。

⚠️关闭端口块需要重启防火墙生效，业务中断。

第三步：其他次要排查点

1. 内存 83% 风险：F1010 只有 1G 内存，会话表、NAT 表项会受内存限制。内存高会导致表项回收延迟，端口释放变慢，加剧故障。检查是否开启流量日志、IPS、DPI，这些功能消耗大量内存。不需要的特征库 / 日志功能关闭。
2. 安全策略：Trust→Trust 放行 hairpin 流量源域 Trust，目的域转换后仍然是 Trust 域，必须放行 Trust 到 Trust 策略，你现在能通说明策略没问题，但确认策略没有会话限制。

3. 验证 NAT 映射模式：Endpoint-Independent当前配置没问题，不需要修改。

第四步：版本风险提示

Release9660P57 是 F1010 老版本，存在 NAT 端口块、会话表资源相关已知问题。临时优化完成后，长期建议升级到推荐稳定基线版本，修复底层 NAT 表项回收 BUG。

快速验证判断方法

故障发生时，在外网终端访问 7071 端口：正常。内网全部终端访问公网 IP:7071 失败。 此时在防火墙执行：

看不到新创建 hairpin 会话，display nat port-block公网 IP 端口耗尽 → 确认是公网 PAT 端口池耗尽。

临时应急

故障发生时，可以执行reset session table清空所有会话，立刻释放 NAT 端口，业务马上恢复；但治标不治本，后续还会复现。

重要提醒：reset session table 会清空所有业务会话，所有业务连接断开，仅应急使用。