数通产品AR2200双出口,映射内部服务后访问失败

发布时间:  2014-11-20 浏览次数:  306 下载次数:  0
问题描述
版本信息:AR2200  V200R003C01SPC900
组网概述:

server --- AR2200 --- ISP1 --- client1
                   |
                 ISP2
                   |
                 client2
故障现象:AR1200双上行到两个运营商ISP1和ISP2,用户反馈部分外部IP无法访问内部服务器。
处理过程
查看AR配置,发现用户在两个接口都配置了端口映射,且配置了两条默认路由,下一跳指向两个运营商各自网关。以下为相关配置(IP地址均为虚构)
acl number 2000 
rule 5 permit
#
interface GigabitEthernet0/0/1                                             
ip address 2.1.1.2 255.255.255.0                                          
nat server protocol tcp global current-interface www inside 1.1.1.2 www   
nat outbound 2000                                                         
#                                                                          
interface GigabitEthernet0/0/2                                             
ip address 3.1.1.2 255.255.255.0                                          
nat server protocol tcp global current-interface www inside 1.1.1.2 www   
nat outbound 2000
#
ip route-static 0.0.0.0 0.0.0.0 2.1.1.1(ISP1)
ip route-static 0.0.0.0 0.0.0.0 3.1.1.1(ISP2)
公网设备通过2.1.1.2访问内部服务器失败时查看NAT会话表,发现来回路径不一致
[Huawei]dis nat session source 6.1.1.2(公网终端IP)
  NAT Session Table Information:

     Protocol          : TCP(6)
     SrcAddr  Port Vpn : 6.1.1.2         11972                               
     DestAddr Port Vpn : 2.1.1.2         80                               
     NAT-Info
       New SrcAddr     : ----
       New SrcPort     : ----
       New DestAddr    : 1.1.1.2       
       New DestPort    : 80 
[Huawei]dis nat session destination 6.1.1.2(公网终端IP)
  NAT Session Table Information:

     Protocol          : TCP(6)
     SrcAddr  Port Vpn : 1.1.1.2         80                               
     DestAddr Port Vpn : 6.1.1.2         11972                               
     NAT-Info
       New SrcAddr     : ----
       New SrcPort     : ----
       New DestAddr    : 3.1.1.2       
       New DestPort    : ----

根因
通过研发了解,该版本不支持原进原出,由于配置了两条等价默认路由,服务器回包时随机选择下一跳。导致TCP链接建立失败,服务访问失败。
解决方案
将AR版本升级到V200R005,该版本支持原进原出,外部对内部服务器发起访问时,服务器的回包会从发起访问的原接口转发,优先于默认路由的处理。但如果存在明细路由或策略路由,还是会优先按照明细路由或策略路由转发。                                                      

END