由于会话未老化导致新配NAT不生效

发布时间:  2012-07-23 浏览次数:  95 下载次数:  0
问题描述
USG5000上原本配置NAT,内部服务器C.C.C.C使用的公网地址池地址为A.A.A.A。后地址变更,重新配置,内部服务器C.C.C.C使用的地址池地址变更为B.B.B.B。变更之后发现C.C.C.C对外的TCP业务中断。
告警信息
处理过程
在业务低峰时间,使用reset firewall session table命令,清除会话表,问题解决
根因

(1)检查配置,配置正确

(2)使用display firewall session检查会话表,发现C.C.C.C访问公网的会话仍然使用A.A.A.A的地址池。而且该会话正是C.C.C.C服务器长期不断地TCP业务。因此可判断,由于C.C.C.C服务器持续发送TCP的流量,导致TCP会话不会被老化,因此即使配置变更后,仍然使用会话表中的A.A.A.A这个地址池,从而导致业务中断。

建议与总结

END