华为网络安全论述题解析（1）

Nat Server故障排查

题目：网络当中配置了NAT SERVER，在外部用户（3.3.3.3）访问内网用FTP服务器（10.2.0.8）的时候发现流量无法访问，请分析故障原因

解答：

情况梳理

通过命令display firewall session table或者是web界面中查看会话表，查询源地址为3.3.3.3的表项。根据会话表显示结果可以缩小可能原因的范围，请分别按以下三种情况逐一排查可能原因。

1. 没有找到源地址为3.3.3.3的会话表。

2. 存在会话表项，但是会话表项错误。例如：表项中没有目的地址1.1.1.10的转换记录、转换后目的地址不正确。

3. 已经建立了正确的会话表项。

处理步骤

没有找到源地址为3.3.3.3的会话表项

可能原因及相应的处理步骤如下：

1. Internet上没有达到Global地址1.1.1.10的路由
   检查Internet中的路由设备是否存在到达Global地址的路由。可能需要联系ISP管理员确认。

2. Internet上的其他设备将报文丢弃
   检查Internet中是否存在设备将报文丢弃，如果存在，请检查并调整该设备的配置信息。

3. NGFW的基础配置不正确
   检查GigabitEthernet 1/0/1和GigabitEthernet 1/0/2是否配置了正确的IP地址并加入了安全区域。

4. NGFW上配置了黑名单将报文丢弃
   选择“策略 > 安全防护 > 黑名单”，搜索目的地址为1.1.1.10的表项以及和源地址为3.3.3.3的表项。如果找到则删除此表项，否则请进行其他项目的检查。

5. NGFW上配置的安全策略不正确
   选择“策略 > 安全策略 > 安全策略”，查找“源地址”包含3.3.3.3，“目的地址”包含1.1.1.10的表项，存在该条表项且“动作”为“允许”，则该项配置正确，否则请重新调整安全策略的配置。

6. NGFW上没有配置到达内部服务器的路由
   本举例中，内部服务器与NGFW直接相连，不涉及路由问题，因此不需要考虑本原因。如果NGFW没有直接与内部服务器所在的网络相连，就需要在NGFW上配置到达内部服务器的路由。

7. 选择“网络 > 路由 > 路由表”，查找是否存在正确的公网路由表项。
   内部服务器与NGFW直接相连的情况下，如果NGFW无法获取内部服务器的MAC地址，在丢包统计信息中会出现ARP miss字段。此时请您检查内部服务器的IP地址设置或者内部服务器与NGFW的相连线路的问题。

存在会话表项，但是会话表项错误。例如：表项中没有目的地址1.1.1.10的转换记录、转换后目的地址不正确。

可能原因及相应的处理步骤如下：

1. 目的地址没有被转换
   选择“策略 > NAT策略 > 服务器映射”，找到“公网地址”包含1.1.1.10的表项。存在该条表项则该项配置正确，否则请重新调整静态映射的配置。
2. 目的地址转换错误
   选择“策略 > NAT策略 > 服务器映射”，找到“公网地址”包含1.1.1.10的表项，检查其“私网地址”是否配置正确，否则请重新调整静态映射的配置。

已经建立了正确的会话表项。

可能原因及相应的处理步骤如下：

1. 内部服务器故障
   检查内部服务器是否故障，能否正常提供的服务。
   检查内部服务器的网关设置是否正确，网关应设置为NGFW连接内部服务器所在网络接口的IP地址。

2. 内部网络中的其他设备将报文丢弃
   检查内部网络中是否存在其他设备将回程的报文丢弃，如果存在，请检查并调整该设备的配置信息。

3. NGFW上配置了黑名单将回程报文丢弃
   选择“策略 > 安全防护 > 黑名单”，搜索目的地址为1.1.1.10的表项以及和源地址为3.3.3.3的表项。如果找到则删除此表项，否则请进行其他项目的检查。

4. NGFW上没有去往Internet的路由
   选择“网络 > 路由 > 路由表”，查找是否存在去往Internet的路由。