故障类型 : 网络故障 现象描述
某用户配置完NAT连接数限制的命令后,发现当某地址的连接数小于最高阀值时,新的连接无法建立。具体配置如下:
connection-limit enable //开启连接统计模块功能
connection-limit default deny //设置默认动作为禁止统计
connection-limit policy 0 //设置连接数限制策略
limit 0 acl 2000 per-source amount 100 80 //对ACL2000中每个源IP地址连接数上限100下限80
limit 1 acl 2001 per-source amount 50 40 //对ACL2001中每个源IP地址连接数上限50下限40
nat connection-limit-policy 0 //在nat中应用连接数限制策略(该命令必选,否则所设策略不起作用)
告警信息
无
原因分析
通过输入命令“disp nat connection-limit”,显示如下:
source-ip dest-ip dest-port vpn-instance
192.168.30.106 --- --- ---
-------------------------------------------------------------------------------
NAT amount upper-limit lower-limit limit-flag
1 30 1 0
source-ip dest-ip dest-port vpn-instance
192.168.30.109 --- --- ---
-------------------------------------------------------------------------------
NAT amount upper-limit lower-limit limit-flag
6 30 1 1
source-ip dest-ip dest-port vpn-instance
192.168.30.118 --- --- ---
-------------------------------------------------------------------------------
NAT amount upper-limit lower-limit limit-flag
7 30 1 0
source-ip dest-ip dest-port vpn-instance
从显示内容可知,当前连接数小于上限30的limit-flag为0,可以继续建立新连接,当前连接数大于上限30的limit-flag为1,不可以建立新连接。
因而无法新建连接的原因在于,192.168.30.109该IP曾经达到过上限,limit-flag置为1后,由于下限设置过小为1,造成当前连接数很难降到下限,需要等所有连接超时后才能将limit-flag置为0,造成很长时间无法建立新连接,影响正常使用。
处理过程
更改connection-limit policy的连接数下限为20后,即连接数降到20后limit-flag置为0,用户可以正常上网。
建议与总结
如果用户有这种需求,网段内有某一台服务器不想做连接数限制,能否使用acl的rule deny动作把他们给剔除掉.(我们的理解是一般应用引用acl时deny不生效,除非包过滤)。可以如下配置,192.168.0.2此用户不受nat连接数限制。
connection-limit enable
connection-limit default deny
acl number 2000
rule 0 deny source 192.168.0.2 0 \\禁止此用户做nat连接数限制.
rule 1 permit source 192.168.0.0 0.0.0.255
connection-limit policy 0
limit 0 acl 2000 per-source amount 10 5
nat connection-limit-policy 0
本站仅提供存储服务,所有内容均由用户发布,如发现有害或侵权内容,请
点击举报。