首页 科技问答 孙兆强,V7防火墙内网口配置策略路由后nat hairpin不生效经验案例

孙兆强,V7防火墙内网口配置策略路由后nat hairpin不生效经验案例

科技问答 235
1676539214,

组网及说明

注:此处公网地址用私网地址代替


用户公网有一条internet线路跟一条专线,通过策略路由指定client流量走internet,服务器server到特定网段的流量走专线。


问题描述

用户希望client通过公网地址访问内部服务器,在内网口部署NAT hairpin不生效。

过程分析

fw上分别ping终端及服务器均能通,路由核查无问题。

内网口trust域到trust域已放通,安全策略检查无问题。

interface GigabitEthernet1/0/2

 port link-mode route

 combo enable copper

 ip address 192.168.2.2 255.255.255.0

 nat outbound 3001 address-group 1

 nat server protocol tcp global 192.168.2.2 1823 inside 172.16.253.2 23

 

nat address-group 1

 address 192.168.2.3 192.168.2.3

 

[FW]dis ip policy-based-route

Policy name: 1

  node 10 permit:

    if-match acl 3002

    apply next-hop 192.168.3.1

  node 20 permit:

    if-match acl 3003

    apply next-hop 192.168.2.1

 

[FW]dis acl all

Advanced IPv4 ACL 3002, 1 rule,

ACL's step is 5

 rule 5 permit ip source 172.16.253.0 0.0.0.255

 

Advanced IPv4 ACL 3003, 2 rule,

ACL's step is 5

 rule 5 permit ip source 172.16.8.0 0.0.0.255

rule 10 permit ip

 

 

查看会话信息没有收到回程的报文。

[FW]dis session table ipv4 verbose

Slot 1:

Initiator:

  Source      IP/port: 172.16.8.61/24003

  Destination IP/port: 192.168.2.2/1823

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/1

  Source security zone: Trust

Responder:

  Source      IP/port: 172.16.253.2/23

  Destination IP/port: 192.168.2.3/1027

  DS-Lite tunnel peer: -

  VPN instance/VLAN ID/Inline ID: -/-/-

  Protocol: TCP(6)

  Inbound interface: GigabitEthernet1/0/2

  Source security zone: Untrust

State: TCP_SYN_SENT

Application: GENERAL_TCP

Start time: 2022-10-31 22:00:49  TTL: 27s

Initiator->Responder:            2 packets        120 bytes

Responder->Initiator:            0 packets          0 bytes

 

Total sessions found: 1

 

fw内网口抓包发现没有报文发下到服务器,全局抓包发现有到server的目的地址报文。但是源地址是192.168.2.3。在fwdebug nat packet发现只有单向的nat,没有回程的nat

[FW]dis session table ipv4 verbose

Slot 1:

Total sessions found: 0

[FW]*Oct 31 22:00:49:251 2022 FW NAT/7/COMMON: -COntext=1;

 PACKET: (GigabitEthernet1/0/2-out-config) Protocol: TCP

     172.16.8.61:24003 -     192.168.2.2: 1823(VPN:    0) ------>

     192.168.2.3: 1027 -     192.168.2.2: 1823(VPN:    0)

*Oct 31 22:00:49:251 2022 FW NAT/7/COMMON: -COntext=1;

 PACKET: (GigabitEthernet1/0/1-in-config) Protocol: TCP

     192.168.2.3: 1027 -     192.168.2.2: 1823(VPN:    0) ------>

     192.168.2.3: 1027 -    172.16.253.2:   23(VPN:    0)

通过debug及抓包结果查看得知流量进入后先进行了nat,并且同时做了源及目的地址转换,然后再进行策略路由的匹配,所以下行到服务器的报文命中策略路由走了internet出口。

解决方法

acl 3003中的rule 10去掉,或者在前面增加一个node节点匹配源地址192.168.2.3目的是172.16.253.2动作apply指定内网口下一跳。

Advanced IPv4 ACL 3003, 2 rule,

ACL's step is 5

 rule 5 permit ip source 172.16.8.0 0.0.0.255

rule 10 permit ip

 

fw的流量处理规则

设备接收报文——>入方向nat——>策略路由——>安全策略

服务器的回程报文同样适用,完整nat debug如下:

<FW>*Oct 31 22:38:00:942 2022 FW NAT/7/COMMON: -COntext=1;

 PACKET: (GigabitEthernet1/0/2-out-config) Protocol: TCP

     172.16.8.61:24004 -     192.168.2.2: 1823(VPN:    0) ------>

     192.168.2.3: 1028 -     192.168.2.2: 1823(VPN:    0)

*Oct 31 22:38:00:942 2022 FW NAT/7/COMMON: -COntext=1;

 PACKET: (GigabitEthernet1/0/1-in-config) Protocol: TCP

     192.168.2.3: 1028 -     192.168.2.2: 1823(VPN:    0) ------>

     192.168.2.3: 1028 -    172.16.253.2:   23(VPN:    0)

*Oct 31 22:38:00:949 2022 FW NAT/7/COMMON: -COntext=1;

 PACKET: (GigabitEthernet1/0/1-in-session) Protocol: TCP

    172.16.253.2:   23 -     192.168.2.3: 1028(VPN:    0) ------>

     192.168.2.2: 1823 -     192.168.2.3: 1028(VPN:    0)

*Oct 31 22:38:00:949 2022 FW NAT/7/COMMON: -COntext=1;

 PACKET: (GigabitEthernet1/0/1-out-session) Protocol: TCP

     192.168.2.2: 1823 -     192.168.2.3: 1028(VPN:    0) ------>

     192.168.2.2: 1823 -     172.16.8.61:24004(VPN:    0)

CRM论坛(CRMbbs.com)——一个让用户更懂CRM的垂直性行业内容平台,CRM论坛致力于互联网、客户管理、销售管理、SCRM私域流量内容输出5年。 如果您有好的内容,欢迎向我们投稿,共建CRM多元化生态体系,创建CRM客户管理一体化生态解决方案。本文来源:知了社区基于知识共享署名-相同方式共享3.0中国大陆许可协议,V7防火墙内网口配置策略路由后nat hairpin不生效经验案例