提示
X
本案例来自tskb,请前往tskb修改源内容:立即前往
'>

五、进阶排查:使用show session分析会话

|

问题描述

客户反馈新架构AF配置双向地址转换没有匹配数,或者有匹配数但是不通

有效排查步骤

确认配置无误,策略没拦截后,如果策略确有匹配数但是不通,由于新架构特性,多半是路由问题导致的,但新架构有cli命令行工具,无需抓包分析数据流,直接看会话即可;
案例一:做双向地址转换,外网可以正常访问,但是内网无法访问,确认配置无误;
1、进入命令行,方法参考:进入命令行方法,确认源目IP,输入show seesion 加源目IP
show session src-ip 192.168.250.150 dst-ip 180.167.20.23


2、根据数据流的期望走向(1口进1口出)分析会话,发现数据出防火墙时,数据转换都是正常的,但服务器的回包进入防火墙后,没有走会话从1口在发出,而是直接发到5口上去了;


3、与研发确认,新架构回包不会匹配会话,会重新匹配一次路由,而新架构策略路由优先级比静态高,便导致回包匹配了上网的策略路由发向了5口;

4、如上分析:回包数据未源进源出导致内网访问不通,勾选1口上的逆向路由后,地址映射正常;
PS:新架构接口没有勾选逆向路由的话,数据在首包创建会话时,反向路由就已经查完了,不会直接默认源进源出


案例二:做双向地址转换,外网可以正常访问,但是内网无法访问,确认配置无误,且接口勾选了逆向路由;
1、直接使用show session发现访问的数据包直接走了公网口,没有进内网口;
2、检查路由发现客户是默认的路由优先级:策略路由大于静态路由;
3、内网的服务器与内网口不在同一个网段,是通过静态路由指路的,但客户又配置了策略路由上网,导致内网访问地址转换的数据直接发到公网了;
4、调整路由优先级解决:
PS:或者内网的路由也指策略路由


解决方案

若以上信息未解决您的问题,可收集以下信息转L3:
1、问题详情:
2、网络拓扑:
3、地址转换策略的测试方法:
4、设备版本信息:
5、数据流走向与配置是否正确:
6、show session会话走向确认:
7、当前结论:
最浪漫 发表于 2023-7-3 21:11
  
好坑啊
言不由衷 发表于 2023-9-8 23:01
  
遇到过好几次了,真的天坑呀

我要分享
文档编号: 225247
作者: admin
更新时间: 2023-01-05 17:29
适用版本: