取消
显示结果 
搜索替代 
您的意思是: 
cancel
公告

December 2020

December 2020

December 2020

【原创故障案例分享】 ISR4000 NAT 奇葩故障一则

17585
查看次数
218
有帮助
23
评论
本帖最后由 vsop5207 于 2018-3-13 21:53 编辑
这里分享一个2017年底遇到的一个故障,就是新版本的ISR4331 路由器的NAT 故障,这个故障很奇葩,亦或是我自己水吧,分享出来,如果以后大家有遇到过类似的故障,可以节省很多时间,我记得当时是问了很多的人都没解决,最后找了厂家才解决这个问题,厂家也是搞了几个钟。
1 网络环境 :
拓扑环境还是比较简单的,因为内网的不用特别关心,就是常见的组网方式,出口则是ISR4331 这台路由器,做NAT出公网,做NAT内网服务器映射,做路由使用
212606qhzwyvt88ptg4l36.png
2.软件版本:
记得是IOS XE 3.1几
3.故障描述:
安装管理配置好基本配置,然后配置路由,NAT ,要求也很简单 ,本以为可以收拾收拾买个鸡腿走人了,虽知道竟然不能上网............
这就尴尬了,这么简单的配置竟然不能上网,会不会被客户怀疑太菜鸟了,心中有点忧伤啊;
于是乎我就从头到尾重复看了几遍配置,没有错,根据以前1900 2900 3900 的配置,没有问题的;
然后重启了一下,怀着忐忑的心情,还是不能上网...........但是,可以上QQ...... 一段时间排除DNS 问题.............
然后我放大招,恢复出厂配置,重新刷配置................. 升级IOS.................. 然而,客户一脸尴尬的说不能上网....................
这里我就不打出配置了,因为都是基本的配置,然后就是到处求帮助,最后找到思科来支持,找了一段时间总算是找到问题了。
故障原因是IOS XE 新版的NAT 跟原来IOS 的NAT 是不一样的
4.故障原因分析:
Ip nat pool 不能用物理接口WAN口地址,就算不调用都会影响路由器NAT的转发,导致设备无法NAT;
如果非要用,那么需要修改NAT 的ACL------公网IP 也可以配置在outside接口上,需要在NAT 的ACL 前面配置内网网段 deny host outside 接口地址!

ip nat inside sou list xxx int g0/0/1 over 这条命令可以支持

NAT 的ACL 必须用扩展ACL,不能用标准ACL

ACL 不能使用ANY ANY ( 当心使用ACL NAT与permit ip any any,您能取得不可预知的结果 )
5.一个官方解释好像是这样子的,我也忘记了,如果哪位很熟悉这一块的可以分享一下官方资料:
1. When doing both dynamic and static NAT, the ACL that sets the rule for dynamic NAT should exclude the static local hosts so there is no overlap.

2. Beware of using ACL for NAT with "permit ip any any" as you can get unpredictable results. After 12.4(20)T NAT will translate locally generated hsrp and routing protocol packets if they are sent out the "ouside" interface, as well as locally encrypted packets matching the NAT rule.
提示:
ASR 1000 的XE 几个版本也有这种情况,也是通过修改NAT 的ACL deny内网 访问路由器上面配置的公网IP来解决的,
最后希望大家分享更多的案例,一起学习!

评论
Ning Zhang
Cisco Employee
从IOS 平台到IOS-XE 平台上迁移过程,几乎都会遇到这样的问题。平移配置很容易出错。建议大家再迁移前一定要找XE 相对应的文档看一下。以免造成割接失败。
loveghegr
Beginner
学习了谢谢分享
fangzhiwei
Beginner
请问单独静态NAT有没有需要特殊配置的。
wusiye1986
Community Member
问题不大,因为即使在2900上配置内网我也用具体的网段。。虽然我外网是pppoe不过还是感谢避坑指南
IceFire_Ken
Beginner
配过几个4K的 ISR
NAT 没有用过 any any 的配法,一直没问题
zhihonghan42550
Beginner
wusiye1986 发表于 2019-9-21 21:24
问题不大,因为即使在2900上配置内网我也用具体的网段。。虽然我外网是pppoe不过还是感谢避坑指南

大佬您有用过2900系列路由器哦?
2900系列,有没有遇过上传速度异常,下行速度正常的现象?
排查的DNS,行为管理,
sxsure001
Beginner
lollol感谢分享
yancheng wang
Beginner
这种问题,你都查到了是nat问题,找到该产品,看下config guide就能查到nat对应版本的配置的,
创建
认可您的同行
Content for Community-Ad