《华为防火墙双出口做端口映射,来回路径不一致问题以及解决办法》由会员分享，可在线阅读，更多相关《华为防火墙双出口做端口映射,来回路径不一致问题以及解决办法（4页珍藏版）》请在金锄头文库上搜索。
1、一、问题描述组网图：组网说明：G0/0/0 是联通链路 地址58.23.90.58G0/0/1 是电信链路 地址121.205.3.126联通地址和电信地址的8008端口分别映射内部服务器8008端口要求：联通用户通过联通地址访问，电信用户通过电信地址访问。客户设备做的是上出口链路，nat server配置如下：nat server 14 protocol tcp global 121.205.3.126 8008 inside 10.1.11.206 8008 no-reversenat server 15 protocol tcp global 58.23.90.58 8008 insid
2、e 10.1.11.206 8008 no-reverseip route-static 0.0.0.0 0.0.0.0 GigabitEthernet0/0/0 121.205.3.1ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet0/0/1 58.23.90.57以上配置，通过电信的地址121.205.3.126的8008端口可以访问内部服务器，但是通过联通地址58.23.90.58 不可以访问二、告警信息无三、处理过程USG2200-hidecmddisplay firewall session table verbose_hide both
3、-direction source global 218.17.167.151tcp VPN:public - public Zone: untrust- trust TTL: 00:00:05 Left: 00:00:03 Interface: Vlanif1 NextHop: 10.1.100.1 MAC: 80-fb-06-b0-0d-4d packets:1 bytes:60 218.17.167.151:2066-58.23.90.58:800810.1.11.206:8008 tcp VPN:public - public Zone: trust- untrust TTL: 00:
4、00:05 Left: 00:00:03 Interface: GigabitEthernet0/0/0 NextHop: 121.205.3.1 MAC: 00-e0-fc-65-0c-01 packets:1 bytes:64 10.1.11.206:800858.23.90.58:8008-218.17.167.151:2066通过以上命令显示可以看出访问58.23.90.58:8008时，报文由接口GigabitEthernet0/0/1（联通接口）进入，回程报文由GigabitEthernet0/0/0（电信接口）发出，上行路由器开启URPF（严格路由检查）会丢掉这类报文。acl n
5、umber 3010rule 15 permit ip source 10.1.11.206 0acl number 3011rule 15 permit ip source 10.1.11.106 0现在从外网通过联通电信地址访问都正常了，但是从内部通过公网地址访问不了，而且在设备上ping不通服务器的地址。我们来看看域内NATnat address-group 3 1.1.1.1 1.1.1.2acl number 3010rule 15 permit ip source 10.1.11.206 0acl number 3011rule 15 permit ip source 10.1.1
6、1.106 0现在从外网通过联通电信地址访问都正常了，但是从内部通过公网地址访问不了，而且在设备上ping不通服务器的地址。我们来看看域内NATnat-policy zone trustpolicy 1action source-natpolicy source 10.1.0.0 0.0.255.255policy destination 121.205.3.126 0policy destination 58.23.90.58 0address-group 3 没有发现域内NAT有问题，所以问题出现在策略路由上，因为策略路由最优先，所以导致回包的时候也匹配策略路由，直接从外网口转发出去了。这
7、个时候我们需要把不走策略路由的流量deny掉。配置如下：acl number 3010rule 0 deny ip destination 10.1.0.0 0.0.255.255rule 1 deny ip destination 10.1.100.2 0rule 2 deny ip destination 1.1.1.1 0rule 3 deny ip destination 1.1.1.2 0rule 5 permit ip source 10.1.11.206 0acl number 3011rule 0 deny ip destination 10.1.0.0 0.0.255.255
8、rule 1 deny ip destination 10.1.100.2 0rule 2 deny ip destination 1.1.1.1 0rule 3 deny ip destination 1.1.1.2 0rule 5 permit ip source 10.1.11.106 0四、根因1、电信地址能访问，说明到服务器地址可达。2、在外网telnet 联通地址8008端口也是可以通，另外通过联通地址访问的时候，查看会话也是有的。说明映射没有问题。3、 怀疑可能是端口问题，把8008替换成其他端口，比如10000端口，但还是不能访问。4、问题可能出现在来回路径不一致上，之前也出现似的案例。五、建议与总结双出口链路做端口映射的时候，上行路由器开启URPF（严格路由检查）如果路径不一致，会丢掉报文，导致有些端口不能访问，建议可以用以上的方法解决，另外需要注意的是策略路由的配置，把不需要走策略路由的流量排除。
