NAT动态地址转换机制问题（BUG）

原创已于 2024-09-20 23:42:08 修改 · 1.1k 阅读

0 ·

本内容遵循CC 4.0 BY-SA版权协议

标签

#bug #网络 #运维

于 2023-05-21 20:41:27 首次发布

文章描述了一个关于动态NAT转换的实验，实验中发现使用动态NAT后，内网设备在一段时间后无法获取到公网地址，导致无法访问外网。问题出现在ICMP报文每次都需要一个新的公网地址，且地址重用存在22-25秒的等待时间。然而，Client/Server模式下，设备能保持一个固定的公网地址。作者建议在学习动态NAT时使用Client模式进行模拟测试，以更接近实际环境。

NAT动态地址转换机制问题（BUG）

实验现象：

使用了动态NAT后，在内网单台设备ping外网，在持续一段时间后公网地址耗尽，网络没有公网地址可用，直接导致内网无法访问外网。

实验步骤：

配置NAT内网网路由
配置NAT地址池
在接口下使能地址池和动态地址
测试内网访问外网

实验过程：

在这里插入图片描述
基础路由配置：
AR17

ip route-static 0.0.0.0 0.0.0.0 10.1.12.1

AR18

ip route-static 0.0.0.0 0.0.0.0 100.1.1.1
ip route-static 172.16.2.0 255.255.255.0 10.1.12.2
ip route-static 192.168.1.0 255.255.255.0 10.1.12.2

动态NAT配置：
AR18

acl number 2000  
rule 5 permit source 192.168.1.0 0.0.0.255 
rule 10 permit source 172.16.2.0 0.0.0.255 
nat address-group 1 100.1.1.4 100.1.1.10
int g0/0/1
nat outbound 2000 address-group 1 no-pat

实验测试：

我们使用PC10访问外网的PC12
在这里插入图片描述

我们在AR18的G0/0/1抓包对照来看，我们一共定义了4-10的7个地址，我们发现在第七个ICMP结束后，我们需要等待好久，这里可以看到ENSP的终端PC一个ICMP数据包占用一个公网IP地址。
我自己测试了一下如果地址池占用用完，一个地址重新可以被使用需要等待22-25s。