SR66/SR66-X系列路由器内网用户通过FTP/WWW/Telnet服务访问公网时NAT Session以及TCP Session TTL时间问题

SR66/SR66-X系列路由器内网用户通过FTP/WWW/Telnet服务访问公网时NAT Session以及TCP Session TTL时间

 

一． 组网需求

        客户网络中有一台SR6602路由器作为出口，内网用户要访问公网需要经过SR6602路由器进行NAT转换。我们要观察内网用户访问外网FTP,WWW以及Telnet时SR6602路由器上的NAT Session老化机制。

设备及版本：SR6602路由器1台（版本为R3103P05）

二． 组网图

FTP/WWW实验拓扑：

                    Telnet实验拓扑：

        

三．配置步骤

SR6602 配置

# acl number 2001  rule 0 permit source 10.0.0.2 0      //ACL匹配需要转换的源地址 # interface GigabitEthernet0/1  ip address 10.0.0.1 255.255.255.0          # interface GigabitEthernet0/3  nat outbound 2001  ip address 100.0.0.1 255.255.255.0        //在公网接口上做NAT转换 #

 

四．实验过程

  

         1.       首先进行FTP实验，在Server上开启FTP服务，在PC A上登录FTP，然后再SR6602路由器上查看NAT Session，如下所示：

[PE1]dis nat session

Pro    GlobalAddr:Port        LocalAddr:Port         DestAddr:Port

TCP    100.1.1.1:1025         10.1.1.2:59284         100.1.1.2:21

       GlobalVPN: ---         LocalVPN: ---

       status: ---            TTL: ---               Left: 00:59:59

 

[PE1]dis nat session

Pro    GlobalAddr:Port        LocalAddr:Port         DestAddr:Port

TCP    100.1.1.1:1025         10.1.1.2:59284         100.1.1.2:21

       GlobalVPN: ---         LocalVPN: ---

       status: ---            TTL: ---               Left: 00:59:52

 

[PE1]dis nat session

Pro    GlobalAddr:Port        LocalAddr:Port         DestAddr:Port

TCP    100.1.1.1:1025         10.1.1.2:59284         100.1.1.2:21

       GlobalVPN: ---         LocalVPN: ---

       status: ---            TTL: ---               Left: 00:59:50

 

[PE1]dis nat session

Pro    GlobalAddr:Port        LocalAddr:Port         DestAddr:Port

TCP    100.1.1.1:1025         10.1.1.2:59284         100.1.1.2:21

       GlobalVPN: ---         LocalVPN: ---

           status: ---            TTL: ---               Left: 00:59:49

 

在SR6602路由器上多次查看NAT Session，发现TTL时间为3600s，此时查看session table，结果如下 :

[PE1]dis session table verbose

Initiator:

  Source IP/Port : 10.1.1.2/59284

  Dest IP/Port   : 100.1.1.2/21

  VPN-Instance/VLAN ID/VLL ID:

Responder:

  Source IP/Port : 100.1.1.2/21

  Dest IP/Port   : 100.1.1.1/1025

  VPN-Instance/VLAN ID/VLL ID:

Pro: TCP(6)     App: FTP               State: TCP-EST

Start time: 2013-10-17 09:38:39  TTL: 3546s

Received packet(s)(Init): 7 packet(s) 308 byte(s)

Received packet(s)(Reply): 4 packet(s) 272 byte(s)

         由以上信息可得FTP Session时间为3600s，NAT Session和FTP Session的TTL同时都为3600s 。当退出FTP服务时，NAT Session以及FTP Session 的TTL时间都会变为2s

[PE1]dis nat session

Pro    GlobalAddr:Port        LocalAddr:Port         DestAddr:Port

TCP    100.1.1.1:1025         10.1.1.2:59284         100.1.1.2:21

       GlobalVPN: ---         LocalVPN: ---

           status: ---            TTL: ---               Left: 00:00:02

[PE1]dis session table verbose

Initiator:

  Source IP/Port : 10.1.1.2/59284

  Dest IP/Port   : 100.1.1.2/21

  VPN-Instance/VLAN ID/VLL ID:

Responder:

  Source IP/Port : 100.1.1.2/21

  Dest IP/Port   : 100.1.1.1/1025

  VPN-Instance/VLAN ID/VLL ID:

Pro: TCP(6)     App: FTP               State: TCP-EST

Start time: 2013-10-17 09:38:39  TTL: 2s

Received packet(s)(Init): 7 packet(s) 308 byte(s)

Received packet(s)(Reply): 4 packet(s) 272 byte(s)

 

2.       然后继续进行WWW实验，在Web服务器上启用WWW服务，通过PC A访问Web服务器，同时在SR6602路由器上查看NAT Session以及Session Table信息：

[PE1]dis nat session

Pro    GlobalAddr:Port        LocalAddr:Port         DestAddr:Port

TCP    100.1.1.1:1115         10.1.1.2:59397         100.1.1.2:80

       GlobalVPN: ---         LocalVPN: ---

       status: ---            TTL: ---               Left: 00:00:02

  [PE1]dis session table verbose

Initiator:

  Source IP/Port : 10.1.1.2/61977

  Dest IP/Port   : 100.1.1.2/80

  VPN-Instance/VLAN ID/VLL ID:

Responder:

  Source IP/Port : 100.1.1.2/80

  Dest IP/Port   : 100.1.1.5/61977

  VPN-Instance/VLAN ID/VLL ID:

Pro: TCP(6)     App: HTTP              State: FIN-CLOSE

Start time: 2013-10-17 16:08:25  TTL: 1s

Received packet(s)(Init): 3 packet(s) 132 byte(s)

Received packet(s)(Reply): 4 packet(s) 209 byte(s)

     由以上信息观察可得，WWW NAT Session的时间为2s，因为Web的使用并不是一直持续的连接，只需请求到需要的资源即可，所以WWW服务的TCP Session以及NAT Session只有2s，还有Web请求时一次可能请求多个资源，所以会出现多个TCP以及NAT Session的会话。

 

3.                   下来进行Telnet的实验，首先现在MSR路由器上开启Telnet服务，然后从PC A Telnet到MSR路由器上，同时在SR6602路由器上查看NAT Session以及Session Table信息：

[PE1]dis nat session

Pro    GlobalAddr:Port        LocalAddr:Port         DestAddr:Port

TCP    100.1.1.5:61957        10.1.1.2:61957         100.1.1.2:23

       GlobalVPN: ---         LocalVPN: ---

       status: ---            TTL: ---               Left: 00:59:58

 

[PE1]dis nat session

Pro    GlobalAddr:Port        LocalAddr:Port         DestAddr:Port

TCP    100.1.1.5:61957        10.1.1.2:61957         100.1.1.2:23

       GlobalVPN: ---         LocalVPN: ---

       status: ---            TTL: ---               Left: 00:59:56

 

[PE1]dis nat session

Pro    GlobalAddr:Port        LocalAddr:Port         DestAddr:Port

TCP    100.1.1.5:61957        10.1.1.2:61957         100.1.1.2:23

       GlobalVPN: ---         LocalVPN: ---

       status: ---            TTL: ---               Left: 00:59:52

 

[PE1]dis nat session

Pro    GlobalAddr:Port        LocalAddr:Port         DestAddr:Port

TCP    100.1.1.5:61957        10.1.1.2:61957         100.1.1.2:23

       GlobalVPN: ---         LocalVPN: ---

          status: ---            TTL: ---                Left: 00:59:59

    我们发现，Telnet的NAT Session时间为3600s，并开始老化，但是每10sTTL时间会重回滚到3600s，同样TCP Session 也是如此，

[PE1]dis session table verbose

Initiator:

  Source IP/Port : 10.1.1.2/59230

  Dest IP/Port   : 100.1.1.2/23

  VPN-Instance/VLAN ID/VLL ID:

Responder:

  Source IP/Port : 100.1.1.2/23

  Dest IP/Port   : 100.1.1.1/1026

  VPN-Instance/VLAN ID/VLL ID:

Pro: TCP(6)     App: TELNET            State: TCP-EST

Start time: 2013-10-17 09:00:36  TTL: 3596s

Received packet(s)(Init): 30 packet(s) 1410 byte(s)

Received packet(s)(Reply): 31 packet(s) 1827 byte(s)

 

Initiator:

  Source IP/Port : 10.1.1.2/59230

  Dest IP/Port   : 100.1.1.2/23

  VPN-Instance/VLAN ID/VLL ID:

Responder:

  Source IP/Port : 100.1.1.2/23

  Dest IP/Port   : 100.1.1.1/1026

  VPN-Instance/VLAN ID/VLL ID:

Pro: TCP(6)     App: TELNET            State: TCP-EST

Start time: 2013-10-17 09:00:36  TTL: 3592s

Received packet(s)(Init): 30 packet(s) 1410 byte(s)

Received packet(s)(Reply): 31 packet(s) 1827 byte(s)

 

Initiator:

  Source IP/Port : 10.1.1.2/59230

  Dest IP/Port   : 100.1.1.2/23

  VPN-Instance/VLAN ID/VLL ID:

Responder:

  Source IP/Port : 100.1.1.2/23

  Dest IP/Port   : 100.1.1.1/1026

  VPN-Instance/VLAN ID/VLL ID:

Pro: TCP(6)     App: TELNET            State: TCP-EST

Start time: 2013-10-17 09:00:36  TTL: 3598s

Received packet(s)(Init): 30 packet(s) 1410 byte(s)

Received packet(s)(Reply): 31 packet(s) 1827 byte(s)

    此时我们将TCP Session时间改为10s，同样NAT Session以及Session Table时间依旧会减少到0秒后回到10s，但是我们若是将TCP Session时间改为5s，NAT Session以及Session Table TTL值减为0后，NAT Session以及Session Table中的Telnet Session会消失。

[PE1]dis nat session

Pro    GlobalAddr:Port        LocalAddr:Port         DestAddr:Port

TCP    100.1.1.5:61960       10.1.1.2:61960         100.1.1.2:23

       GlobalVPN: ---         LocalVPN: ---

       status: ---            TTL: ---               Left: 00:00:04

 

[PE1]dis nat session

Pro    GlobalAddr:Port        LocalAddr:Port         DestAddr:Port

TCP    100.1.1.5:61960        10.1.1.2:61960         100.1.1.2:23

       GlobalVPN: ---         LocalVPN: ---

       status: ---            TTL: ---               Left: 00:00:02

 

[PE1]dis nat session

 

[PE1]dis session table verbose                    

 

    五. 总结

 

应用	TCP Session (s)	NAT Session(s)	备注：
FTP	3600	3600	当退出FTP服务时，FTP Session以及NAT Session TTL均变为2s
WWW	2	2	无
Telnet	3600	3600	每老化10s回滚到3600s
	10	10	老化至0s，回滚到10s
	5	5	老化至0s，Session消失