Fehlerbehebung bei NAT auf Catalyst 8000-Plattformen

Einleitung

In diesem Dokument wird die Fehlerbehebung bei NAT-Problemen auf Cat8000-Plattformen beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Network Address Translations (NAT)
• Cisco IOS®

Weitere Informationen zu diesen Themen finden Sie unter:

• Konfigurieren der Network Address Translation
• Verständnis der NAT-Betriebsreihenfolge
• Network Address Translation (NAT) - Häufig gestellte Fragen
• Einschränkungen für die Konfiguration von NAT zur Erhaltung von IP-Adressen
  
  

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf der Cisco IOS-Software.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Netzwerkdiagramm

NAT-Topologie

Fallstudie: NAT-Erschöpfungspool abgeschlossen

Diese Protokollmeldung zeigt an, dass das Gerät versucht hat, eine IP-Adresse für NAT zuzuweisen, z. B. für eine dynamische NAT- oder PAT-Übersetzung, aber die Zuweisung war nicht erfolgreich. Dies tritt in der Regel dann auf, wenn im konfigurierten NAT-Pool keine verfügbaren Adressen oder Ports mehr vorhanden sind.

Zu den häufigen Ursachen gehören:

・ Der NAT-Pool ist ausgelastet (alle verfügbaren IP-Adressen oder Ports werden verwendet).
・ Die NAT-Konfiguration verfügt nicht über ausreichende Adressen oder Ressourcen, um die aktuellen Übersetzungsanforderungen zu erfüllen.

%NAT-6-ADDR_ALLOC_FAILURE: Address allocation failed; pool 2 may be exhausted [2] port range: NA, non-PATable: NO, for ALG: NO, input intf: GigabitEthernet0/0/3, mapping-id: 1, 
created by pkt: src_ip 192.0.2.13 dst_ip 192.x.x.40 src_port 0 dst_port 0 proto 1

Schritt 1: Überprüfen Sie den NAT-Pool, um den Adressübersetzungsbereich zu bestätigen.

NAT_R1#show ip nat pool platform
Dump NAT pool config

ID: 2, Name: NAT_Pool, Type: Generic, Mask: 255.255.255.240
Flags: Unknown, Acct name: 
Address range blocks: 1
Start: 203.0.113.3, End: 203.0.113.5
Last stats update: 07/31 13:08:43.708061785
Last refcount value: 3

Schritt 2: Überprüfen Sie die NAT-Übersetzungstabelle, und bestimmen Sie die Anzahl der derzeit vorhandenen aktiven Übersetzungen.

NAT_R1#show ip nat translations 
Pro Inside global Inside local Outside local Outside global
--- 203.0.113.3 192.0.2.10 --- ---
--- 203.0.113.5 192.0.2.12 --- ---
--- 203.0.113.4 192.0.2.11 --- ---
icmp 203.0.113.5:0 192.0.2.12:0 198.51.100.30:0 198.51.100.30:0
icmp 203.0.113.3:0 192.0.2.10:0 198.51.100.10:0 198.51.100.10:0
icmp 203.0.113.4:0 192.0.2.11:0 198.51.100.20:0 198.51.100.20:0
Total number of translations: 6

Schritt 3: Überprüfen, ob Verwerfungen in den NAT-Statistiken angezeigt werden Dieses Ergebnis würde darauf hinweisen, dass eingehender Datenverkehr übersetzt werden muss, aber aufgrund von NAT-Zuweisungsproblemen verloren geht.

NAT_R1#show ip nat statistics 
Total active translations: 6 (0 static, 6 dynamic; 3 extended)
Outside interfaces:
GigabitEthernet0/0/4
Inside interfaces: 
GigabitEthernet0/0/3
Hits: 11094661606 Misses: 10
Reserved port setting disabled provisioned no
Expired translations: 1412
Dynamic mappings:
-- Inside Source
[Id: 2] access-list 1 pool NAT_Pool refcount 6 <---- Translations count
pool NAT_Pool: id 2, netmask 255.255.255.240
start 203.0.113.3 end 203.0.113.5
type generic, total addresses 3, allocated 3 (100%), misses 3559386331
nat-limit statistics:
max entry: max allowed 0, used 0, missed 0
In-to-out drops: 3559337007 Out-to-in drops: 0  <---- drops from in to out 
Pool stats drop: 0 Mapping stats drop: 0
Port block alloc fail: 0
IP alias add fail: 0
Limit entry add fail: 0
NAT_R1#

Schritt 4: Überprüfen Sie aus Plattformsicht die QFP-Datenpfad-NAT-Statistiken, um festzustellen, ob diese Verwerfungen dem beobachteten Problem entsprechen.

NAT_R1#show platform hardware qfp active feature nat datapath stats

Counter                                                         Value
------------------------------------------------------------------------
number_of_session                                                 3 
udp                                                               0
tcp                                                               0
icmp                                                              3 
non_extended                                                      3 
statics                                                           0
static_net                                                        0
entry_timeouts                                                    1 
hits                                                         585149 
misses                                                            0
cgn_dest_log_timeouts                                             0
ipv4_nat_alg_bind_pkts                                            0
ipv4_nat_alg_sd_not_found                                         0
ipv4_nat_alg_sd_tail_not_found                                    0
ipv4_nat_rx_pkt                                                 154 
ipv4_nat_tx_pkt                                         18791285989 
<snip>
ipv4_nat_non_natted_in2out_pkts                                 144 
ipv4_nat_non_nated_out2in_pkts                                    0
<snip>
ipv4_nat_cfg_rcvd                                                 8 
ipv4_nat_cfg_rsp                                                  9
Subcode#14 ADDR_ALLOC_FAIL                               5216959285 

• Nummer der Sitzung: Zeigt die Gesamtanzahl der aktiven NAT-Sitzungen an, die derzeit im QFP-Datenpfad vorhanden sind. In dieser Ausgabe ist der Wert 3, was bestätigt, dass drei NAT-Sitzungen zum Zeitpunkt der Erfassung aktiv sind.
• ICMP: Zeigt die Anzahl der aktiven NAT-Sitzungen für ICMP-Datenverkehr an. Der Wert 3 gibt an, dass alle aktiven NAT-Sitzungen in dieser Ausgabe ICMP-Sitzungen sind.
• Nicht_erweitert: Zeigt die Anzahl der NAT-Sitzungen an, die von der Plattform als nicht erweiterte Einträge klassifiziert werden. In dieser Ausgabe ist der Wert 3, der mit den drei aktiven ICMP-Sitzungen im Datenpfad übereinstimmt.
• entry_timeouts: Gibt die Anzahl der NAT-Sitzungseinträge an, bei denen ein Timeout aufgetreten ist und die aus dem Datenpfad entfernt wurden. Der Wert 1 bestätigt, dass ein NAT-Eintrag abgelaufen ist.
• Treffer: Ein Treffer bedeutet, dass das Paket mit einem vorhandenen Sitzungseintrag in der NAT-Sitzungs-Hashtabelle übereinstimmt. Der Wert 585149 gibt an, dass die Pakete einer vorhandenen NAT-Sitzung erfolgreich zugeordnet wurden.
• Fehlschläge: Zeigt die Anzahl der NAT-Suchvorgänge an, bei denen keine passende Übersetzung im Datenpfad gefunden wurde. Ein Wert von 0 gibt an, dass in dieser Ausgabe keine Suchfehler aufgezeichnet werden.
• ipv4_nat_rx_pkt: Zeigt die Anzahl der IPv4-Pakete an, die von diesem NAT-Datenpfad für die Protokollierung empfangen wurden. Ein Wert von 154 gibt an, dass 154 Pakete von diesem internen Empfangszähler aufgezeichnet wurden.
• ipv4_nat_tx_pkt: Zeigt die Anzahl der IPv4-Pakete an, die über diesen NAT-Datenpfad zur Datenpfadabrechnung übertragen wurden. Der Wert 18791285989 gibt einen sehr großen Teil der Paketweiterleitungsaktivität über diesen internen Übertragungszähler an.
• ipv4_nat_non_natted_in2out_pkts: Zeigt die Anzahl der IPv4-Pakete in der Innen-Außen-Richtung an, die nicht von NAT übersetzt wurden. Der Wert 144 bestätigt, dass 144 Pakete diesen Pfad durchlaufen haben, ohne dass NAT angewendet wurde.
• ipv4_nat_non_nated_out2in_pkts: Zeigt die Anzahl der IPv4-Pakete in Außen-nach-Innen-Richtung an, die nicht von NAT übersetzt wurden. Ein Wert von 0 gibt an, dass keine derartigen Pakete in diesem Snapshot aufgezeichnet werden.
• ipv4_nat_cfg_rcvd: Zeigt die Anzahl der NAT-bezogenen Konfigurationsmeldungen an, die vom Datenpfad empfangen wurden. Der Wert 8 bestätigt, dass acht Konfigurationsnachrichten empfangen wurden.
• ipv4_nat_cfg_rsp: Zeigt die Anzahl der NAT-bezogenen Konfigurationsantworten an, die vom Datenpfad gesendet wurden. Der Wert 9 bestätigt, dass neun Konfigurationsantworten gesendet wurden.
• Subcode#14 ADDR_ALLOC_FAIL: Zeigt die Anzahl der Fehler bei der NAT-Datenpfad-Adresszuweisung an. Ein Wert von 5216959285 gibt an, dass der Datenpfad im Laufe der Zeit eine sehr hohe Anzahl von Zuweisungsfehlern aufgezeichnet hat. Dieser Zähler ist für die Untersuchung von zeitweiligen NAT-Übersetzungsproblemen sehr wichtig und erfordert eine Korrelation mit den show ip nat-Statistiken, show ip nat-Übersetzungen und zusätzlichen QFP-NAT-Datenpfad-Ausgaben.

Schritt 5: Überprüfen Sie die aktuelle Anzahl der Einträge, und vergleichen Sie die Werte für maxhost_count und maxhost_himark:

• maxhost_count: zeigt die aktuellen Einträge auf dem Router.
• maxhost_himark: zeigt 7. Dies zeigt an, dass das Limit irgendwann erreicht wurde.
  
  

NAT_R1#show platform hardware qfp active feature nat datapath limit
maxhost_limit 131072 maxhost_count 5 maxhost_fail 0 maxhost_himark 7
total limit entries 0 hash tbl 0x0 max entries 0 limit_chunk 0x0 allvrf limit 0
acl limit 0 acl count 0 acl fail 0 acl_id 0x0

Ausführliche Informationen zu diesem Protokoll liefern eine umfassende Beschreibung der aufgezeichneten Ereignisse und des Betriebsstatus:

• maxhost_limit: Gibt die maximale Anzahl von NAT-Hosteinträgen an, die von der Plattform unterstützt werden. Dieser Wert stellt die Obergrenze für NAT-Sitzungen oder Übersetzungen dar, die verarbeitet werden können.
• maxhost_count: Zeigt die aktuelle Anzahl der aktiven NAT-Hosteinträge oder -sitzungen an.
• maxhost_fail: Zeigt die Anzahl der fehlgeschlagenen Versuche an, einen NAT-Hosteintrag zuzuweisen, nachdem der Höchstwert erreicht wurde. Ein Wert von 0 gibt an, dass keine Zuweisungsfehler aufgetreten sind.
• maxhost_himark: Stellt das hohe Wasserzeichen (oder die maximale Anzahl) der NAT-Hosteinträge dar, die seit dem letzten Systemneustart oder -zurücksetzen verwendet wurden.
• Gesamtgrenzwerteinträge: Zeigt die Gesamtanzahl der konfigurierten oder durchgesetzten NAT-Grenzwerteinträge an.
• Hash-Tbl 0x0: Zeigt die Speicheradresse oder den Zeiger auf die Hashtabelle an, die für NAT-Limit-Einträge verwendet wird. Ein Wert von 0x0 gibt an, dass derzeit keine Hashtabelle zugewiesen ist.
• Max. Einträge: Gibt die maximale Anzahl von zulässigen Einträgen in der NAT-Limit-Tabelle an. Ein Wert von 0 gibt an, dass kein Grenzwert konfiguriert ist.
• limit_chunk 0x0: Gibt den Zeiger auf einen Speicherbereich an, der für NAT-Grenzwerteinträge reserviert ist. Ein Wert von 0x0 bedeutet, dass kein Speicherblock zugewiesen ist.
• Allvrf-Grenzwert: Stellt den NAT-Grenzwert für alle VRF-Instanzen (Virtual Routing and Forwarding) dar. Ein Wert von 0 gibt an, dass kein globaler Grenzwert festgelegt wurde.
• ACL-Grenzwert: Gibt den Grenzwert für NAT-Einträge an, die durch Zugriffskontrolllisten (Access Control Lists, ACLs) festgelegt werden. Ein Wert von 0 gibt an, dass kein Grenzwert für ACL-basierte Zugriffskontrolllisten konfiguriert ist.
• ACL-Anzahl: Zeigt die aktuelle Anzahl der mit ACLs verknüpften NAT-Einträge an.
• ACL fehlgeschlagen: Zeigt an, wie oft NAT-Einträge aufgrund von ACL-Beschränkungen fehlschlugen.
• acl_id 0x0: Stellt die Kennung oder den Zeiger für die ACL-Konfiguration dar. Der Wert 0x0 gibt an, dass keine ACL-Konfiguration zugewiesen wurde.
  
  

Mögliche Ursache

Die Anzahl der verwendbaren Adressen im NAT-Pool reicht von 3 bis 5. Probleme treten auf, wenn inaktive Übersetzungen in der NAT-Tabelle verbleiben, wodurch die Übersetzung von anderem Datenverkehr verhindert wird. Dieses Verhalten wird erwartet, da der Standard-NAT-Übersetzungstimeout 24 Stunden beträgt. Um dieses Problem zu beheben, konfigurieren Sie den Befehl ip nat translation timeout, um inaktive Übersetzungen zu löschen. Nach dieser Aktion muss die NAT-Tabelle gelöscht werden.

NAT_R1(config)#ip nat translation timeout 10800 
NAT_R1(config)#end 
NAT_R1#clear ip nat translation *
NAT_R1#show ip nat translations 
Pro Inside global Inside local Outside local Outside global
--- 203.0.113.5 192.0.2.11 --- ---
--- 203.0.113.4 192.0.2.10 --- ---
icmp 203.0.113.4:0 192.0.2.10:0 198.51.100.10:0 198.51.100.10:0
icmp 203.0.113.5:0 192.0.2.11:0 198.51.100.20:0 198.51.100.20:0
Total number of translations: 4

NAT übersetzt nicht adressierte IP-Adressen - Anwenderbericht: Gatekeeper

Die NAT Gatekeeper-Funktion wurde entwickelt, um die Router-Leistung zu verbessern, indem die NAT-Engine vor der Verarbeitung von Nicht-NAT-Datenströmen geschützt wird. Wenn Pakete, die nicht NAT-fähig sind, eine NAT-fähige Schnittstelle passieren, werden sie in der Regel eingehend durchsucht, bevor NAT feststellt, dass keine Übersetzung erforderlich ist. Dieser Prozess ist für den Quantum Flow Processor (QFP) CPU-intensiv. Der Gatekeeper verringert dies, indem er einen kleinen Cache für Nicht-NAT-Datenflüsse unterhält, der es diesen Paketen ermöglicht, die NAT-Engine zu umgehen, sobald sie erkannt wurden, wodurch die CPU-Last verringert wird. Bei Einträgen im Gatekeeper-Cache erfolgt die Zeitüberschreitung relativ schnell, sodass Datenflüsse von der NAT-Engine neu bewertet werden können, falls sich die Netzwerkbedingungen ändern und der Datenfluss nun NAT unterliegen kann.

Dieser Mechanismus trägt zur Optimierung der Ressourcennutzung bei und verbessert die Gesamteffizienz des Systems, wenn gemischter NAT- und Nicht-NAT-Verkehr auf derselben Schnittstelle verarbeitet wird. Die Cachegröße für den Gatekeeper kann so konfiguriert werden, dass das Volumen an Nicht-NAT-Datenverkehr mit plattformabhängigen Standardwerten untergebracht wird. Die Anpassung der Cachegröße wird empfohlen, wenn auf einer NAT-Schnittstelle erheblicher Datenverkehr vorhanden ist, der nicht NAT ist.

Zusammenfassend lässt sich sagen, dass der NAT Gatekeeper:

・ Schützt die NAT-Engine vor unnötiger Verarbeitung von Nicht-NAT-Datenströmen.
・ Verwaltet einen Cache mit Nicht-NAT-Datenflüssen, damit diese die NAT-Verarbeitung umgehen können.
・ Verwendet Timeouts für Cache-Einträge, um eine Neubewertung der Datenflüsse zu ermöglichen.
・ Trägt zur Reduzierung der CPU-Auslastung beim QFP bei.
・ Unterstützt konfigurierbare Cache-Größen zur Optimierung der Performance auf Basis von Datenverkehrsmustern.

Identifizieren der Symptome

Typische Symptome sind:

• Unterbrechungsfreier Datenverkehr
• Einige Hosts arbeiten, während andere ausfallen
• NAT-Übersetzungen vorhanden, aber der Datenverkehr wird verworfen
• Anwendungssitzungen werden unerwartet zurückgesetzt
• Betroffene groß angelegte PAT-Bereitstellungen
• Anzahl der Gatekeeper-Zähler steigt

Schritt 1: Überprüfen Sie die NAT-Statistiken im Fehlerfenster.
Dieser Schritt bestätigt:

• ob NAT passenden Datenverkehr empfängt
• ob Übersetzungen erstellt werden
• ob Fehlschläge während der Ausgabe zunehmen
• ob der Adresspool- oder Überlastungsstatus fehlerfrei ist
  
  

NAT_R1#show ip nat statistics
Total active translations: 29477 (736 static, 28741 dynamic; 28741 extended)
Outside interfaces:
GigabitEthernet1
Inside interfaces: 
GigabitEthernet2, GigabitEthernet3
Hits: 32525856687 Misses: 293948584 
Expired translations: 293549953
Dynamic mappings:
-- Inside Source
[Id: 1] route-map INTERNET_PAT interface GigabitEthernet1 refcount 25
nat-limit statistics:
max entry: max allowed 0, used 0, missed 0
In-to-out drops: 0 Out-to-in drops: 867
Pool stats drop: 0 Mapping stats drop: 0
Port block alloc fail: 0
IP alias add fail: 0
Limit entry add fail: 0

NAT_R1#show ip nat statistics | sec Misses
Hits: 32525856687 Misses: 293948584
NAT_R1#show ip nat statistics | sec Misses
Hits: 32527039444 Misses: 293952367 
NAT_R1#show ip nat statistics | sec Misses
Hits: 32527308509 Misses: 293953221
NAT_R1#

Der Abschnitt enthält eine detaillierte Erläuterung der relevanten Informationen in der Ausgabe.

• Aktive Übersetzungen gesamt: Zeigt die Gesamtzahl der NAT-Einträge an, die derzeit in der Übersetzungstabelle installiert sind. In dieser Ausgabe gibt es 29.477 aktive Übersetzungen.
• 736 statisch: Gibt die Anzahl der derzeit aktiven statischen NAT-Einträge an. Dies sind feste Zuordnungen, die manuell konfiguriert werden.
• 28741 dynamisch: Gibt die Anzahl der derzeit aktiven dynamischen NAT-Einträge an. Diese Einträge wurden automatisch aus dem Datenverkehr erstellt.
• 28741 verlängert: Gibt an, dass alle dynamischen Einträge erweiterte Übersetzungen sind, d. h., dass sie Layer-4-Informationen wie Protokoll- und Portnummern enthalten. Dies ist typisch für PAT-Datenverkehr.
• Treffer: Zeigt die Anzahl der Pakete an, die einem vorhandenen NAT-Übersetzungseintrag zugeordnet wurden. Ein Wert von 32.525.856.687 gibt an, dass die NAT eine sehr große Menge an Datenverkehr aktiv verarbeitet.
• Fehler: Zeigt die Anzahl der Pakete an, die zum Zeitpunkt der Suche nicht mit einem vorhandenen NAT-Übersetzungseintrag übereinstimmen. Bei dynamischer NAT/PAT geschieht dies in der Regel beim ersten Paket eines neuen Datenflusses, bevor die Übersetzung erstellt wird. Ein Wert von 293.948.584 spiegelt eine hohe Anzahl neuer Sitzungssuchläufe im Zeitverlauf wider.
• In-to-Out-Drops: Zeigt die Anzahl der Pakete an, die während der NAT-Verarbeitung in die externe Richtung verworfen wurden. Ein Wert von 0 gibt an, dass keine ausgehenden NAT-Löschungen aufgetreten sind.
• Out-to-in-Drops: Zeigt die Anzahl der Pakete an, die während der NAT-Verarbeitung in Außen-nach-Innen-Richtung verworfen wurden. Der Wert 867 gibt an, dass einige eingehende Pakete ohne gültige passende Übersetzung oder gültigen NAT-Status eingegangen sind.
• Poolstatistiken-Löschung: Zeigt die Anzahl der Löschvorgänge im Zusammenhang mit der NAT-Poolbehandlung an. Ein Wert von 0 gibt an, dass keine poolbezogenen Löschungen vorgenommen wurden.
• Zuordnungsstatusverlust: Zeigt die Anzahl der Löschvorgänge an, die mit NAT-Zuordnungsproblemen zusammenhängen. Ein Wert von 0 gibt an, dass keine zuordnungsbezogenen Verwerfungen aufgetreten sind.
• Fehler bei Portblockzuweisung: Zeigt die Anzahl der Fehler beim Zuweisen von PAT-Port-Blöcken an. Ein Wert von 0 gibt an, dass keine Portzuordnungsfehler aufgetreten sind und dass es keinen Hinweis auf eine Erschöpfung des PAT-Ports gibt.
• Fehler beim Hinzufügen des IP-Alias: Zeigt die Anzahl der Fehler in Zusammenhang mit der Erstellung von IP-Alias für NAT an. Der Wert 0 gibt an, dass keine Alias-bezogenen Fehler aufgetreten sind.
• Fehler beim Hinzufügen von Einträgen begrenzen: Zeigt die Anzahl der Fehler an, die aufgrund einer Beschränkung beim Hinzufügen eines NAT-Eintrags aufgetreten sind. Ein Wert von 0 bestätigt, dass keine Übersetzung durch die NAT-Grenzwertdurchsetzung blockiert wurde.

Die NAT-Statistiken zeigen, dass der Versäumniszähler zunimmt, dieser Anstieg jedoch im gleichen Muster erfolgt wie die normale dynamische NAT/PAT-Sitzungserstellung.

Während des beobachteten Intervalls:

Trefferzuwachs von 32.525.856.687 auf 32.527.308.509
       Inkrement: 1,451,822
Die Anzahl der Fehler stieg von 293.948.584 auf 293.953.221
       Inkrement: 4,637

Dies entspricht ca. 313 zusätzlichen Treffern für jeden weiteren Fehler im gleichen Zeitraum. In einer dynamischen NAT/PAT-Umgebung tritt ein Fehler auf, wenn ein Paket eintrifft, bevor bereits eine passende Übersetzung in der Tabelle vorhanden ist. Nachdem die Übersetzung erstellt wurde, werden nachfolgende Pakete für diesen Fluss als Treffer gezählt. Auf der Grundlage dieses Verhaltens steht die beobachtete Zunahme an Fehlschlägen im Einklang mit der laufenden Sitzungserstellung und der normalen Abwanderung von Übersetzungen.

Schritt 2: Überprüfen, ob die Übersetzung in der NAT-Tabelle vorhanden ist Filtern Sie ggf. die Ausgabe für den genau betroffenen Fluss.
Mit diesem Schritt wird bestätigt, ob die Route Processor (RP) NAT-Tabelle einen Übersetzungseintrag für den betroffenen Fluss enthält.

Gesundes Ergebnis

Die Übersetzung existiert und spiegelt Folgendes wider:
    Korrigieren innerhalb des lokalen
    korrekt in global
    korrekte Außenadresse
    korrekte Protokoll- und Port-Zuordnung

Wenn das Ergebnis nicht fehlerfrei ist

Dolmetschen:
    Kein Übersetzungseintrag vorhanden
    Konzentrieren Sie sich auf NAT-Abgleich, ACL, Route-Map oder Ressourcenzuweisung.
    Übersetzung existiert, aber der Datenverkehr ist noch nicht erfolgreich
    Wechseln Sie zum QFP-Verifizierungsschritt.

Dies ist einer der wichtigsten Bereiche des Workflows.

NAT_R1#show ip nat translations verbose
Pro Inside global Inside local Outside local Outside global
icmp 203.0.113.2:3157 192.0.2.2:3157 x.x.x.x:3157 x.x.x.x:3157
  create: 06/19/26 05:36:53, use: 06/19/26 05:36:53, timeout: 00:00:45
  RuleID : X
  Flags: unknown
  ALG Application Type: NA
  WLAN-Flags: unknown
  Mac-Address: 0000.0000.0000 Input-IDB: GigabitEthernet2
  entry-id: 0xe8a48090, use_count:1
  In_pkts: X In_bytes: 44, Out_pkts: X Out_bytes: X 
  Output-IDB: GigabitEthernet1 

• Protokolle | ICMP | Der Übersetzungseintrag bezieht sich auf ICMP-Datenverkehr: In ICMP-Einträgen stellt der Wert nach dem Doppelpunkt die ICMP-Kennung dar, keinen TCP- oder UDP-Port.
• Global intern | 203.0.113.2:3157 | Die übersetzte Quelladresse, die im externen Netzwerk angezeigt wird. 203.0.113.2 ist die öffentliche NAT-Adresse, die für diesen Fluss verwendet wird.
• Lokal | 192.0.2.2:3157 | Die ursprüngliche Quelladresse des internen Hosts vor der Übersetzung.
• Außerhalb lokal | x.x.x.x:3157 | Die Zieladresse aus Sicht des internen Netzwerks.
• Außerhalb global | x.x.x.x:3157 | Die tatsächliche Zieladresse im externen Netzwerk. Dieses Feld stimmt mit dem lokalen Wert für den externen Bereich überein, da keine externe Übersetzung angewendet wird.
• RegelID | X | Die NAT-Regel, die diesen Übersetzungseintrag erstellt hat. 
• Markierungen | unbekannt | Interne NAT-Flags, die dem Eintrag zugeordnet sind. Die CLI decodiert diesen Wert nicht in der angezeigten Ausgabe. 
• ALG-Anwendungstyp | DE | Dieser ICMP-Übersetzung ist kein Application Layer Gateway zugeordnet. 
• WLAN-Flags | unbekannt | Plattformspezifische WLAN-Markierungen. Dieses Feld ist für diesen Eintrag betrieblich nicht relevant. 
• MAC-Adresse | 0000.0000.0000 | Das Feld für die MAC-Adresse ist für diesen Übersetzungseintrag nicht ausgefüllt. 
• Eingabe-IDB | GigabitEthernet2 | Die Eingangsschnittstelle, über die das ursprüngliche Paket auf den Router übertragen wurde. Dadurch wird bestätigt, dass der Datenverkehr auf GigabitEthernet2 von innen stammt. 
• Eintrags-ID | 0xe8a48090 | Interner Bezeichner für den NAT-Übersetzungseintrag im Speicher. 
• Nutzungsanzahl  | Interner Referenzwert für den Übersetzungseintrag. 
• In Paketen | Anzahl der Pakete, die für diese Übersetzung in eine Richtung gezählt wurden. 
• In Byte | Anzahl der Bytes, die in derselben Richtung gezählt werden wie In Paketen. 
• Out-Pakete | Anzahl der Pakete, die für diese Übersetzung in die entgegengesetzte Richtung gezählt wurden. 
• Aus Bytes  | Anzahl der Bytes, die in derselben Richtung gezählt werden wie Out-Pakete. 
• Ausgang - IDB | GigabitEthernet1 | Die vom übersetzten Datenverkehr verwendete Ausgangsschnittstelle. Dadurch wird bestätigt, dass das übersetzte Paket über GigabitEthernet1 beendet wurde.

Schritt 3: Überprüfen der Übersetzung im QFP

Mit diesem Schritt wird bestätigt, ob die im RP sichtbare Übersetzung auch im Weiterleitungs-Hardwarepfad programmiert ist.

NAT_R1#show platform hardware qfp active feature nat datapath gateout
Gatekeeper on
<snip>
sip 192.0.2.35 dip x.x.x.x vrf 0 ts 0xcdd07450 idx 10268
sip 192.0.2.67 dip x.x.x.x vrf 0 ts 0xcdd072de idx 44104
sip 198.51.100.12 vrf 0 cnt 225 ts 0x1b393b5 idx 56738 
sip 198.51.100.89 dip x.x.x.x vrf 0 ts 0xcdd071b2 idx 59429 <---------------- Affected Host

| 0xcdd07450 | Interner QFP-Zeitstempel/Alterswert im Hexadezimalformat. 
| Index | 10268 | Interner Gate-Tabellenindex. 
| cnt | 225 | Interne Aktivität/Referenzanzahl für dieses Gate-Objekt Bei einigen Eintragstypen. 

| Eintrag 1 | sip 192.0.2.35 dip x.x.x vrf 0 ts 0xcdd07450 idx 10268 | Tupelspezifischer Gattereintrag für Quelle 192.0.2.35 in Richtung Ziel x.x.x.x in VRF 0.
| Eintrag 2 | sip 192.0.2.67 dip x.x.x vrf 0 ts 0xcdd072de idx 44104 | Tupelspezifischer Gattereintrag für Quelle 192.0.2.67 in Richtung des Multicast-Ziels x.x.x.x in VRF 0.
| Eintrag 3 | sip 198.51.100.12 vrf 0 cnt 225 ts 0x1b393b5 idx 56738 | Source-host-oriented gate entry for 198.51.100.12 in VRF 0, with internal activity/reference count 225.
| Eintrag 4 | sip 198,51.100,89 dip x.x.x vrf 0 ts 0xcdd071b2 idx 59429 | Tupelspezifischer Gattereintrag für Quelle 198.51.100.89 in Richtung Ziel x.x.x.x in VRF 0. 

Die Ausgabe bestätigt, dass die NAT-Datenpfad-Gatekeeper-Funktion auf dem Gerät aktiviert ist. Außerdem wird angezeigt, dass die betroffene Quelladresse 198.51.100.89 in der QFP-NAT-Gateway-Tabelle als Tupel-spezifischer Eintrag vorhanden ist, der einem Zielfluss in VRF 0 zugeordnet ist.

Dies zeigt an, dass der von 198.51.100.89 generierte Datenverkehr den NAT-Übersetzungserstellungspfad im QFP-Datenpfad erreicht und intern vom Gatekeeper-Prozess verfolgt wird. Die Werte ts und idx sind interne QFP-Referenzen für diesen Gateway-Eintrag.

Diese Ausgabe bestätigt nicht, dass eine vollständige NAT-Übersetzung für den betroffenen Fluss erfolgreich installiert wurde. Es wird nur das Vorhandensein eines internen Gatekeeper-Zustands für das Quell-/Ziel-Tupel bestätigt.

Für das gemeldete intermittierende Verhalten ist die relevante Beobachtung, dass 198.51.100.89 im Gateway während des Problemfensters sichtbar ist, wodurch die Fehlerdomäne auf den NAT-Datenpfad-Gatekeeper oder die Phase der Übersetzungsinstallation ausgerichtet wird, anstatt auf einen vollständig fehlenden Datenverkehr vom betroffenen Host.

Schritt 4: Überprüfen Sie die NAT Gatekeeper-Statistiken.

Ein schneller Anstieg von Cache-Fehlern zeigt an, dass nicht NATed-basierte Datenflüsse nicht zum Cache hinzugefügt werden. Diese Bedingung führt zu einer erhöhten QFP-Auslastung (Quantum Flow Processor).

NAT_R1#show platform hardware qfp active feature nat datapath gateout activity 
Gatekeeper on
def mode Size 8192, Hits 448492109001, Miss 53295038401, Aged 149941327 Added 603614728 Active 1899

NAT_R1#show platform hardware qfp active feature nat datapath gateout activity 
Gatekeeper on
def mode Size 8192, Hits 191540578459, Miss 3196566091, Aged 1365537 Added 9 Active 7

Schritt 5: Verwerfen auf QFP-Ebene validieren.

Suchen nach Drop-Zählern für NAT

NAT_R1#show platform hardware qfp active statistics drop

Last clearing of QFP drops statistics : never

-------------------------------------------------------------------------
Global Drop Stats                                    Packets       Octets
-------------------------------------------------------------------------
NatIn2out                                                1701      174437
NatOut2in                                                4838      267167

NAT_R1#show platform hardware qfp active statistics drop

Last clearing of QFP drops statistics : never

-------------------------------------------------------------------------
Global Drop Stats                                   Packets        Octets
-------------------------------------------------------------------------
NatIn2out                                              8039        823998
NatOut2in                                             26427       1461299

NAT_R1#show platform hardware qfp active statistics drop

Last clearing of QFP drops statistics : never

-------------------------------------------------------------------------
Global Drop Stats                                  Packets         Octets
-------------------------------------------------------------------------
NatIn2out                                            12498        1281045
NatOut2in                                            41211        2278842

Während des beobachteten Verhaltens erhöhten sich die QFP-Zähler für NatIn2out und NatOut2in kontinuierlich, was auf laufende Paketverluste sowohl im Innen-Außen- als auch im Außen-Innen-NAT-Übersetzungspfad hinweist.

Schritt 6: Validieren Sie die betroffenen Pakete mit einer Paketerfassung.

Eine Paketerfassung in diesem Fall bietet detaillierte Einblicke in den Datenfluss und die Verarbeitung von Paketen durch das Gerät. So kann festgestellt werden, ob Pakete von NAT übersetzt oder umgangen werden, und die Ursache von Problemen im Zusammenhang mit NAT Gatekeeper kann ermittelt werden. Dies erleichtert eine gezielte Fehlerbehebung und Validierung von Konfigurationsänderungen.

ip access-list extended TAC
permit ip host 198.51.100.89 <destination IP >
permit ip <destination IP > host 198.51.100.89

debug platform condition ipv4 access-list TAC both
debug platform packet packet 128 fia-trace circular
debug platform packet-trace copy packet both
debug platform condition start  
debug platform condition stop

Basierend auf der Paketerfassungsanalyse wird festgestellt, dass der betroffene Hostadressverkehr durch den NAT-Prozess verworfen wird. Insbesondere stimmt das erfasste Paket nicht mit vorhandenen NAT-Übersetzungseinträgen oder den in den Zugriffskontrolllisten (ACLs) definierten Subnetzen überein. Dies weist darauf hin, dass das Paket keiner NAT-Übersetzung unterliegt und von den konfigurierten ACLs nicht zugelassen wird. Dies kann die Ursache des Verbindungsproblems sein. Weitere Untersuchungen können sich auf die Überprüfung von NAT-Übersetzungsregeln und ACL-Konfigurationen konzentrieren, um sicherzustellen, dass der betroffene Datenverkehr ordnungsgemäß verarbeitet wird.

NAT_R1#show platform packet-trace packet 122 decode
Packet: 122 CBUG ID: 650
Summary
Input    : GigabitEthernet1
Output   : GigabitEthernet2
State    : FWD 
Timestamp
Start    : 6725512391055 ns (07/01/2026 16:56:32.593082 UTC)
Stop     : 6725512441820 ns (07/01/2026 16:56:32.593133 UTC)
Path Trace
Feature  : IPV4(Input)
Input           : GigabitEthernet1
Output          : GigabitEthernet2
Source          : 198.51.100.89
Destination     : <remote Host>
Protocol        : 6 (TCP)
SrcPort         : 16130
DstPort         : 1560
<snip>
Feature : NAT
Direction    : OUT to IN
Action       : FWD
FWD-POINT    : GATEKEEPER_BLOCKED
VRF          : 2
Feature: IPV4_NAT_INPUT_FIA
Entry         : Input - 0x700140f0
Input         : GigabitEthernet1
Output        : <unknown>
Lapsed time   : 8970 ns
<snip>
Packet Copy In
<snip>
ARPA
Destination MAC       : aaaa.bbbb.cccc
Source MAC            : bbbb.bbbb.aaaa
<snip>
Packet Copy Out
<snip>>

Found the issue to be gatekeeper: 
Feature: NAT
Direction     : IN to OUT
Action        : FWD
FWD-POINT     : GATEKEEPER_BLOCKED

Empfehlungen

Cisco empfiehlt, NAT- und Nicht-NAT-Datenverkehr auf verschiedene Schnittstellen oder Geräte aufzuteilen, um Probleme im Zusammenhang mit der NAT-Gatekeeper-Funktion zu vermeiden. Durch diese Trennung wird eine übermäßige Verarbeitung vermieden, die durch gemischte Datenverkehrstypen auf derselben Schnittstelle verursacht wird.

Darüber hinaus empfiehlt Cisco die Aktualisierung auf eine Cisco Version, die Verbesserungen der NAT Gatekeeper-Funktion beinhaltet. Diese Erweiterungen ermöglichen das Caching von Quell- und Ziel-IP-Adressen und ermöglichen die Konfiguration der Cache-Größe. Die Cachegröße kann mithilfe des Befehls im globalen Konfigurationsmodus angepasst werden:

ip nat settings gatekeeper-size <value>

Beim Wert muss es sich um eine Potenz von zwei handeln. Es wird empfohlen, mit einer Größe zu beginnen, die der Standardeinstellung nahe kommt. Nach der Anpassung der Cache-Größe sollten Sie die Treffer und Fehlschläge im Cache überwachen, um eine optimale Leistung und Ressourcenauslastung zu gewährleisten.

Eine Erhöhung der Cache-Größe kann die Anzahl der Cache-Ausfälle verringern und die Effizienz der NAT-Verarbeitung verbessern. Sie belegt jedoch auch zusätzlichen Speicher auf dem Quantum Flow Processor (QFP). Daher können Anpassungen schrittweise und mit sorgfältiger Überwachung vorgenommen werden.

Diese Empfehlungen zielen darauf ab, die Leistung von NAT Gatekeeper zu optimieren und potenzielle Probleme zu reduzieren, die durch gemischten NAT- und Nicht-NAT-Datenverkehr verursacht werden.

Zugehörige Informationen

• Fehlerbehebung bei hoher QFP-Auslastung aufgrund der NAT Gatekeeper-Standardkonfiguration
• Fehlerbehebung: IOS NAT - Fehler bei der intermittierenden Übersetzung von Paketen
  
  
  

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
3.0	06-Jul-2026	Erstveröffentlichung - Aktualisierung erforderlich und neu veröffentlicht
1.0	12-Jun-2026	Erstveröffentlichung