Troubleshooting de NAT en Plataformas Cat8000
Contenido
Introducción
Este documento describe cómo resolver problemas de NAT en plataformas Cat8000.
Prerequisites
Requirements
Cisco recomienda que tenga conocimiento sobre estos temas:
- Traducción de direcciones de red (NAT)
- Las versiones del software Cisco IOS®
Para obtener más información sobre estos temas, consulte:
- Configuración de Traducción de dirección de red
- Comprender el orden de funcionamiento de NAT
- Preguntas frecuentes sobre la traducción de direcciones de red (NAT)
- Restricciones de la Configuración de NAP para la Conservación de Direcciones IP
Componentes Utilizados
La información de este documento se basa en el software del IOS de Cisco.
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Diagrama de la red
Topología NAT
Caso práctico de agotamiento del grupo de agotamiento NAT
Este mensaje de registro indica que el dispositivo intentó asignar una dirección IP para NAT, como para una traducción NAT o PAT dinámica, pero la asignación no se realizó correctamente. Esto suele ocurrir cuando no quedan direcciones o puertos disponibles en el conjunto NAT configurado.
Las causas comunes incluyen:
· El conjunto NAT está agotado (todas las direcciones IP o puertos disponibles están en uso).
· La configuración NAT no tiene direcciones o recursos suficientes para acomodar las solicitudes de traducción actuales.
%NAT-6-ADDR_ALLOC_FAILURE: Address allocation failed; pool 2 may be exhausted [2] port range: NA, non-PATable: NO, for ALG: NO, input intf: GigabitEthernet0/0/3, mapping-id: 1,
created by pkt: src_ip 192.0.2.13 dst_ip 192.x.x.40 src_port 0 dst_port 0 proto 1
Paso 1. Verifique el conjunto NAT para confirmar el rango de traducción de direcciones.
NAT_R1#show ip nat pool platform
Dump NAT pool config
ID: 2, Name: NAT_Pool, Type: Generic, Mask: 255.255.255.240
Flags: Unknown, Acct name:
Address range blocks: 1
Start: 203.0.113.3, End: 203.0.113.5
Last stats update: 07/31 13:08:43.708061785
Last refcount value: 3
Paso 2. Verifique la tabla de traducción NAT y determine el número de traducciones activas presentes actualmente.
NAT_R1#show ip nat translations
Pro Inside global Inside local Outside local Outside global
--- 203.0.113.3 192.0.2.10 --- ---
--- 203.0.113.5 192.0.2.12 --- ---
--- 203.0.113.4 192.0.2.11 --- ---
icmp 203.0.113.5:0 192.0.2.12:0 198.51.100.30:0 198.51.100.30:0
icmp 203.0.113.3:0 192.0.2.10:0 198.51.100.10:0 198.51.100.10:0
icmp 203.0.113.4:0 192.0.2.11:0 198.51.100.20:0 198.51.100.20:0
Total number of translations: 6
Paso 3. Verifique si las caídas aparecen en las estadísticas de NAT. Este resultado indicaría que el tráfico entrante requiere traducción pero se producen caídas debido a problemas de asignación de NAT.
NAT_R1#show ip nat statistics
Total active translations: 6 (0 static, 6 dynamic; 3 extended)
Outside interfaces:
GigabitEthernet0/0/4
Inside interfaces:
GigabitEthernet0/0/3
Hits: 11094661606 Misses: 10
Reserved port setting disabled provisioned no
Expired translations: 1412
Dynamic mappings:
-- Inside Source
[Id: 2] access-list 1 pool NAT_Pool refcount 6 <---- Translations count
pool NAT_Pool: id 2, netmask 255.255.255.240
start 203.0.113.3 end 203.0.113.5
type generic, total addresses 3, allocated 3 (100%), misses 3559386331
nat-limit statistics:
max entry: max allowed 0, used 0, missed 0
In-to-out drops: 3559337007 Out-to-in drops: 0 <---- drops from in to out
Pool stats drop: 0 Mapping stats drop: 0
Port block alloc fail: 0
IP alias add fail: 0
Limit entry add fail: 0
NAT_R1#
Paso 4. Desde la perspectiva de la plataforma, revise las estadísticas de NAT del trayecto de datos QFP para determinar si estas caídas corresponden al problema observado.
NAT_R1#show platform hardware qfp active feature nat datapath stats
Counter Value
------------------------------------------------------------------------
number_of_session 3
udp 0
tcp 0
icmp 3
non_extended 3
statics 0
static_net 0
entry_timeouts 1
hits 585149
misses 0
cgn_dest_log_timeouts 0
ipv4_nat_alg_bind_pkts 0
ipv4_nat_alg_sd_not_found 0
ipv4_nat_alg_sd_tail_not_found 0
ipv4_nat_rx_pkt 154
ipv4_nat_tx_pkt 18791285989
<snip>
ipv4_nat_non_natted_in2out_pkts 144
ipv4_nat_non_nated_out2in_pkts 0
<snip>
ipv4_nat_cfg_rcvd 8
ipv4_nat_cfg_rsp 9
Subcode#14 ADDR_ALLOC_FAIL 5216959285
- number_of_session: Indica el número total de sesiones NAT activas presentes actualmente en la ruta de datos QFP. En esta salida, el valor es 3, lo que confirma que hay tres sesiones NAT activas en el momento de la recolección.
- icmp: Muestra el número de sesiones NAT activas para el tráfico ICMP. Un valor de 3 indica que todas las sesiones NAT activas en esta salida son sesiones ICMP.
- non_extended: Indica el número de sesiones NAT clasificadas por la plataforma como entradas no ampliadas. En esta salida, el valor es 3, que se alinea con las tres sesiones ICMP activas que se muestran en la ruta de datos.
- entry_timeouts: Indica el número de entradas de sesión NAT que superaron el tiempo de espera y que se eliminaron de la ruta de datos. El valor 1 confirma que una entrada de NAT ha caducado.
- hits:Un hit significa que el paquete coincidió con una entrada de sesión existente en la tabla de hash de sesión NAT. Un valor de 585149 indica que los paquetes coincidieron satisfactoriamente con una sesión NAT existente.
- desaciertos: Muestra el número de búsquedas de NAT que no encontraron una traducción coincidente en la ruta de datos. Un valor de 0 indica que no se registran pérdidas de búsqueda en este resultado.
- ipv4_nat_rx_pkt: Muestra el número de paquetes IPv4 recibidos por esta ruta de contabilización de ruta de datos NAT. Un valor de 154 indica que este contador de recepción interno registró 154 paquetes.
- ipv4_nat_tx_pkt: Muestra el número de paquetes IPv4 transmitidos por esta ruta de contabilización de ruta de datos NAT. Un valor de 18791285989 indica una gran cantidad de actividad de reenvío de paquetes a través de este contador de transmisión interno.
- ipv4_nat_non_natted_in2out_pkts: Indica el número de paquetes IPv4 vistos en la dirección de adentro hacia afuera que no fueron traducidos por NAT. Un valor de 144 confirma que 144 paquetes atravesaron este trayecto sin aplicar NAT.
- ipv4_nat_non_nated_out2in_pkts: Indica el número de paquetes IPv4 vistos en la dirección de afuera hacia adentro que no fueron traducidos por NAT. Un valor de 0 indica que no se registran dichos paquetes en esta instantánea.
- ipv4_nat_cfg_rcvd: Muestra el número de mensajes de configuración relacionados con NAT recibidos por la ruta de datos. Un valor de 8 confirma que se recibieron ocho mensajes de configuración.
- ipv4_nat_cfg_rsp: Muestra el número de respuestas de configuración relacionadas con NAT enviadas por la ruta de datos. Un valor de 9 confirma que se enviaron nueve respuestas de configuración.
- Subcódigo#14 ADDR_ALLOC_FAIL: Muestra el número de errores de asignación de direcciones de ruta de datos NAT. Un valor de 5216959285 indica que el trayecto de datos ha registrado un número muy alto de fallas de asignación a lo largo del tiempo. Este contador es muy relevante cuando se investigan problemas intermitentes de traducción NAT y requiere correlación con show ip nat statistics, show ip nat translations y salidas de ruta de datos NAT QFP adicionales.
Paso 5. Verifique el número actual de entradas y compare los valores maxhost_count y maxhost_himark:
- maxhost_count: muestra las entradas actuales en el router.
- maxhost_himark: muestra 7, esto indica que el límite se alcanzó en algún momento.
NAT_R1#show platform hardware qfp active feature nat datapath limit
maxhost_limit 131072 maxhost_count 5 maxhost_fail 0 maxhost_himark 7
total limit entries 0 hash tbl 0x0 max entries 0 limit_chunk 0x0 allvrf limit 0
acl limit 0 acl count 0 acl fail 0 acl_id 0x0
La información detallada de este registro proporciona una descripción completa de los eventos registrados y el estado operativo :
- maxhost_limit: Especifica el número máximo de entradas de host NAT admitidas por la plataforma. Este valor representa el límite superior de sesiones NAT o traducciones que se pueden manejar.
- maxhost_count: Indica el número actual de entradas o sesiones de host NAT activas en uso.
- maxhost_fail: Muestra el recuento de intentos fallidos para asignar una entrada de host NAT debido a que se ha alcanzado el límite máximo. Un valor de cero indica que no se han producido errores de asignación.
- maxhost_himark: Representa la marca de agua alta o el número máximo de entradas de host NAT utilizadas desde el último reinicio o reinicio del sistema.
- entradas de límite total: Muestra el número total de entradas de límite de NAT configuradas o aplicadas.
- hash tbl 0x0: Muestra la dirección de memoria o el puntero a la tabla hash utilizada para las entradas de límite NAT. Un valor de 0x0 indica que actualmente no hay ninguna tabla hash asignada.
- número máximo de entradas: Especifica el número máximo de entradas permitidas en la tabla de límites de NAT. Un valor cero indica que no se ha configurado ningún límite.
- limit_chunk 0x0: Indica el puntero a una parte de la memoria asignada para las entradas de límite NAT. Un valor de 0x0 significa que no se ha asignado ningún segmento de memoria.
- límite allvrf: Representa el límite NAT aplicado a todos los VRF (instancias de reenvío y routing virtuales). Un valor cero indica que no se ha establecido ningún límite global.
- límite de ACL: Especifica el límite de entradas NAT impuesto por las listas de control de acceso (ACL). Un valor cero indica que no se ha configurado ningún límite basado en ACL.
- conteo de ACL: Muestra el recuento actual de entradas de NAT asociadas con ACL.
- falla de ACL: Muestra el número de veces que las entradas de NAT han fallado debido a los límites de ACL.
- acl_id 0x0: Representa el identificador o puntero relacionado con la configuración de ACL. Un valor de 0x0 indica que no se ha asignado ninguna configuración ACL.
Posible Causa
El número de direcciones utilizables en el conjunto NAT varía de 3 a 5. Los problemas ocurren cuando las traducciones inactivas permanecen en la tabla NAT, lo que evita que otro tráfico se traduzca. Se espera este comportamiento, ya que el tiempo de espera de traducción NAT predeterminado es de 24 horas. Para resolver este problema, configure el comando ip nat translation timeout para borrar las traducciones inactivas después de esta acción, la tabla NAT debe estar despejada.
NAT_R1(config)#ip nat translation timeout 10800
NAT_R1(config)#end
NAT_R1#clear ip nat translation *
NAT_R1#show ip nat translations
Pro Inside global Inside local Outside local Outside global
--- 203.0.113.5 192.0.2.11 --- ---
--- 203.0.113.4 192.0.2.10 --- ---
icmp 203.0.113.4:0 192.0.2.10:0 198.51.100.10:0 198.51.100.10:0
icmp 203.0.113.5:0 192.0.2.11:0 198.51.100.20:0 198.51.100.20:0
Total number of translations: 4
NAT traduce direcciones IP no nativas Caso práctico de problema de gatekeeper
La función NAT Gatekeeper está diseñada para mejorar el rendimiento del router al proteger el motor NAT del procesamiento de flujos que no son NAT. Cuando los paquetes que no son NAT atraviesan una interfaz habilitada para NAT, normalmente se someten a amplias búsquedas antes de que NAT determine que la traducción no es necesaria. Este proceso es intensivo para la CPU en el procesador Quantum Flow Processor (QFP). El gatekeeper mitiga esto al mantener una pequeña memoria caché de flujos no NAT, permitiendo que estos paquetes eludan el motor NAT una vez identificado, reduciendo así la carga de la CPU. Las entradas en la memoria caché del Gatekeeper agotan el tiempo de espera relativamente rápido, lo que permite que el motor NAT reevalúe los flujos en caso de que las condiciones de la red cambien y el flujo pueda estar sujeto a NAT.
Este mecanismo ayuda a optimizar la utilización de los recursos y mejora la eficacia general del sistema cuando se maneja tráfico combinado NAT y no NAT en la misma interfaz. El tamaño de la memoria caché para el control de acceso se puede configurar para acomodar el volumen de tráfico no NAT, con valores predeterminados basados en la plataforma. Se recomienda ajustar el tamaño de la memoria caché cuando hay un tráfico no NAT significativo en una interfaz NAT.
En resumen, el Gatekeeper NAT:
· Protege el motor NAT del procesamiento innecesario de flujos que no son NAT.
· Mantiene una memoria caché de flujos que no son NAT para permitirles omitir el procesamiento NAT.
· Utiliza tiempos de espera en entradas de caché para permitir la reevaluación de flujos.
· Ayuda a reducir el uso de la CPU en el QFP.
· Admite un tamaño de caché configurable para optimizar el rendimiento según los patrones de tráfico.
Identificar el síntoma
Los síntomas típicos incluyen:
- Caídas de tráfico intermitentes
- Algunos hosts funcionan mientras que otros fallan
- Las traducciones NAT existen pero el tráfico se descarta
- Sesiones de aplicación restablecidas inesperadamente
- Implementaciones de PAT a gran escala afectadas
- Aumento de contadores de gatekeeper
Paso 1. Verifique las estadísticas de NAT durante la ventana de falla.
Este paso confirma:
- si NAT recibe tráfico coincidente
- si se están creando traducciones
- si las pérdidas aumentan durante el problema
- si el conjunto de direcciones o el estado de sobrecarga es correcto
NAT_R1#show ip nat statistics
Total active translations: 29477 (736 static, 28741 dynamic; 28741 extended)
Outside interfaces:
GigabitEthernet1
Inside interfaces:
GigabitEthernet2, GigabitEthernet3
Hits: 32525856687 Misses: 293948584
Expired translations: 293549953
Dynamic mappings:
-- Inside Source
[Id: 1] route-map INTERNET_PAT interface GigabitEthernet1 refcount 25
nat-limit statistics:
max entry: max allowed 0, used 0, missed 0
In-to-out drops: 0 Out-to-in drops: 867
Pool stats drop: 0 Mapping stats drop: 0
Port block alloc fail: 0
IP alias add fail: 0
Limit entry add fail: 0
NAT_R1#show ip nat statistics | sec Misses
Hits: 32525856687 Misses: 293948584
NAT_R1#show ip nat statistics | sec Misses
Hits: 32527039444 Misses: 293952367
NAT_R1#show ip nat statistics | sec Misses
Hits: 32527308509 Misses: 293953221
NAT_R1#
La sección proporciona una explicación detallada de la información pertinente en el resultado.
- Total de traducciones activas: Indica el número total de entradas de NAT instaladas actualmente en la tabla de traducción. En esta salida, hay 29.477 traducciones activas.
- 736 estática: Especifica el número de entradas NAT estáticas actualmente activas. Estas son asignaciones fijas configuradas manualmente.
- 28741 dinámico: Especifica el número de entradas de NAT dinámica activas actualmente. Estas entradas se crearon automáticamente a partir de los flujos de tráfico.
- 28741 ampliado: Indica que todas las entradas dinámicas son traducciones extendidas, lo que significa que incluyen información de Capa 4 como números de puerto y protocolo. Esto es típico para el tráfico PAT.
- Aciertos: Muestra el número de paquetes que coincidieron con una entrada de traducción NAT existente. Un valor de 32.525.856.687 indica que NAT está procesando activamente una gran cantidad de tráfico.
- Desaciertos: Muestra el número de paquetes que no coincidieron con una entrada de traducción NAT existente en el momento de la búsqueda. En NAT/PAT dinámico, esto ocurre comúnmente en el primer paquete de un nuevo flujo antes de que se cree la traducción. Un valor de 293 948 584 refleja un elevado número de nuevas búsquedas de sesiones a lo largo del tiempo.
- Caídas de entrada a salida: Muestra el número de paquetes descartados en la dirección de adentro hacia afuera durante el procesamiento NAT. Un valor de 0 indica que no se produjeron caídas de NAT saliente.
- Caídas de salida a entrada: Muestra el número de paquetes descartados en la dirección de afuera hacia adentro durante el procesamiento NAT. Un valor de 867 indica que algunos paquetes entrantes llegaron sin una traducción coincidente válida o un estado NAT válido.
- Estado del conjunto descartado: Muestra el número de caídas relacionadas con el manejo del conjunto NAT. Un valor de 0 indica que no se produjeron caídas relacionadas con el conjunto.
- Estado de asignación descartado: Muestra el número de caídas relacionadas con los problemas de asignación de NAT. Un valor de 0 indica que no se produjeron descartes relacionados con la asignación.
- Fallo de asignación de bloque de puerto: Muestra el número de fallos para asignar bloques de puertos PAT. Un valor de 0 indica que no se produjeron errores en la asignación de puertos y que no hay evidencia de agotamiento del puerto PAT.
- Fallo de adición de alias IP: Muestra el número de fallos relacionados con la creación de alias IP para NAT. Un valor de 0 indica que no se produjeron errores relacionados con el alias.
- Error al agregar entrada límite: Muestra el número de fallos para agregar una entrada de NAT debido a una restricción de límite. Un valor de 0 confirma que ninguna traducción fue bloqueada por la aplicación del límite NAT.
Las estadísticas de NAT muestran que el contador de pérdidas está aumentando, pero el aumento se produce en el mismo patrón que la creación de sesión NAT/PAT dinámica normal.
Durante el intervalo observado:
Las visitas aumentaron de 32 525 856 687 a 32 527 308 509
Incremento: 1,451,822
Las pérdidas aumentaron de 293 948 584 a 293 953 221
Incremento: 4,637
Esto refleja aproximadamente 313 aciertos adicionales por cada 1 fallo adicional durante el mismo período. En un entorno NAT/PAT dinámico, se produce una pérdida cuando llega un paquete antes de que ya exista una traducción coincidente en la tabla. Una vez creada la traducción, los paquetes subsiguientes para ese flujo se cuentan como aciertos. En función de este comportamiento, el aumento observado de errores es coherente con la creación de sesiones en curso y la pérdida de traducción normal.
Paso 2. Verifique que la traducción exista en la tabla NAT. Filtre la salida para el flujo afectado exacto, si corresponde.
Este paso confirma si la tabla NAT del procesador de ruta (RP) contiene una entrada de traducción para el flujo afectado.
Resultado saludable
La traducción existe y refleja:
correcto dentro de local
correcto dentro de global
dirección externa correcta
mapeo de puerto y protocolo correcto
Si el resultado no es correcto
Interpretación:
No existe ninguna entrada de traducción
Céntrese en la coincidencia NAT, ACL, route-map o asignación de recursos.
La traducción existe, pero el tráfico sigue fallando
Vaya al paso de verificación QFP.
Se trata de una de las ramas más importantes del flujo de trabajo.
NAT_R1#show ip nat translations verbose
Pro Inside global Inside local Outside local Outside global
icmp 203.0.113.2:3157 192.0.2.2:3157 x.x.x.x:3157 x.x.x.x:3157
create: 06/19/26 05:36:53, use: 06/19/26 05:36:53, timeout: 00:00:45
RuleID : X
Flags: unknown
ALG Application Type: NA
WLAN-Flags: unknown
Mac-Address: 0000.0000.0000 Input-IDB: GigabitEthernet2
entry-id: 0xe8a48090, use_count:1
In_pkts: X In_bytes: 44, Out_pkts: X Out_bytes: X
Output-IDB: GigabitEthernet1
- Protocolo | icmp | La entrada de traducción es para tráfico ICMP: En las entradas ICMP, el valor después de los dos puntos representa el identificador ICMP, no un puerto TCP o UDP.
- Interno - Global |203.0.113.2:3157 | La dirección de origen traducida que se ve en la red externa. 203.0.113.2 es la dirección NAT pública utilizada para este flujo.
- Local interna |192.0.2.2:3157 | La dirección de origen original del host interno antes de la traducción.
- Local externa | x.x.x.x:3157 | La dirección de destino vista desde la red interna.
- Externo-Global | x.x.x.x:3157 | La dirección de destino real en la red externa. Este campo coincide con el valor local externo porque no se aplica ninguna traducción externa.
- IDregla | X | La regla NAT que creó esta entrada de traducción.
- Indicadores | desconocido | Indicadores NAT internos asociados a la entrada. La CLI no descodifica este valor en el resultado mostrado.
- Tipo de aplicación ALG | NA | No hay ninguna puerta de enlace de capa de aplicación asociada a esta traducción ICMP.
- Indicadores de WLAN | desconocido | Indicadores relacionados con WLAN específicos de la plataforma. Este campo no es relevante operativamente para esta entrada.
- Dirección MAC |0000.0000.0000 | El campo de dirección MAC no se ha rellenado para esta entrada de traducción.
- Input-IDB | GigabitEthernet2 | La interfaz de ingreso donde el paquete original ingresó al router. Esto confirma el tráfico originado desde el interior en GigabitEthernet2.
- ID de entrada | 0xe8a48090 | Identificador interno de la entrada de traducción NAT en la memoria.
- Usar recuento | Recuento de referencia interno para la entrada de traducción.
- En paquetes | Número de paquetes contados en una dirección para esta traducción.
- En bytes | Número de bytes contados en la misma dirección que los paquetes de entrada.
- Paquetes de salida | Número de paquetes contados en la dirección opuesta para esta traducción.
- Bytes de salida | Número de bytes contados en la misma dirección que los paquetes de salida.
- Salida-BID | GigabitEthernet1 | La interfaz de salida utilizada por el tráfico traducido. Esto confirma que el paquete traducido salió a través de GigabitEthernet1.
Paso 3. Verifique que la traducción esté programada en QFP
Este paso confirma si la traducción visible en el RP también está programada en la trayectoria de hardware de reenvío.
NAT_R1#show platform hardware qfp active feature nat datapath gateout
Gatekeeper on
<snip>
sip 192.0.2.35 dip x.x.x.x vrf 0 ts 0xcdd07450 idx 10268
sip 192.0.2.67 dip x.x.x.x vrf 0 ts 0xcdd072de idx 44104
sip 198.51.100.12 vrf 0 cnt 225 ts 0x1b393b5 idx 56738
sip 198.51.100.89 dip x.x.x.x vrf 0 ts 0xcdd071b2 idx 59429 <---------------- Affected Host
| 0xcdd07450 | Marca de tiempo QFP interna/valor de antigüedad en hexadecimal.
| idx | 10268 | Índice de tablas de puertas internas.
| cnt | 225 | Recuento interno de actividad/referencia para ese objeto de puerta. Se ve en algunos tipos de entradas.
| Entrada 1 | sip 192.0.2.35 dip x x x x vrf 0 ts 0xcdd07450 idx 10268 | Entrada de puerta específica de la tupla para el origen 192.0.2.35 hacia el destino x.x.x.x en VRF 0.
| Entrada 2 | sip 192.0.2.67 dip x x x x vrf 0 ts 0xcdd072de idx 44104 | Entrada de puerta específica de la tupla para el origen 192.0.2.67 hacia el destino multicast x.x.x.x en VRF 0.
| Entrada 3 | sip 198.51.100.12 vrf 0 cnt 225 ts 0x1b393b5 idx 56738 | Entrada de puerta orientada al host de origen para 198.51.100.12 en VRF 0, con actividad interna/recuento de referencia 225.
| Entrada 4 | sip 198.51.100.89 dip x x x vrf 0 ts 0xcdd071b2 idx 59429 | Entrada de puerta específica de la tupla para el origen 198.51.100.89 hacia el destino x.x.x.x en VRF 0.
El resultado confirma que la función de gatekeeper de trayectoria de datos NAT está habilitada en el dispositivo. También muestra que la dirección de origen afectada 198.51.100.89 está presente en la tabla de gateout NAT QFP como una entrada específica de la tupla asociada con un flujo de destino en VRF 0.
Esto indica que el tráfico originado en 198.51.100.89 está alcanzando la trayectoria de creación de traducción NAT en la trayectoria de datos QFP y está siendo rastreado internamente por el proceso del gatekeeper. Los valores ts e idx son referencias QFP internas para esa entrada de salida.
Este resultado no confirma que se haya instalado correctamente una traducción NAT completa para el flujo afectado. Sólo confirma la presencia del estado interno del gatekeeper para esa tupla de origen/destino.
Para el comportamiento intermitente informado, la observación relevante es que 198.51.100.89 es visible en gateout durante la ventana de problemas, que alinea el dominio de fallas con el gatekeeper de trayectoria de datos NAT o la etapa de traducción-instalación, en lugar de con una ausencia completa de tráfico del host afectado.
Paso 4. Verifique las estadísticas de NAT Gatekeeper.
Un aumento rápido de pérdidas de caché indica que los flujos no NATed no se están agregando a la caché. Esta condición resulta en una utilización elevada del procesador Quantum Flow Processor (QFP).
NAT_R1#show platform hardware qfp active feature nat datapath gateout activity
Gatekeeper on
def mode Size 8192, Hits 448492109001, Miss 53295038401, Aged 149941327 Added 603614728 Active 1899
NAT_R1#show platform hardware qfp active feature nat datapath gateout activity
Gatekeeper on
def mode Size 8192, Hits 191540578459, Miss 3196566091, Aged 1365537 Added 9 Active 7
Paso 5. Validar caídas en el nivel QFP.
Compruebe si hay contadores de caídas relacionados con NAT
NAT_R1#show platform hardware qfp active statistics drop
Last clearing of QFP drops statistics : never
-------------------------------------------------------------------------
Global Drop Stats Packets Octets
-------------------------------------------------------------------------
NatIn2out 1701 174437
NatOut2in 4838 267167
NAT_R1#show platform hardware qfp active statistics drop
Last clearing of QFP drops statistics : never
-------------------------------------------------------------------------
Global Drop Stats Packets Octets
-------------------------------------------------------------------------
NatIn2out 8039 823998
NatOut2in 26427 1461299
NAT_R1#show platform hardware qfp active statistics drop
Last clearing of QFP drops statistics : never
-------------------------------------------------------------------------
Global Drop Stats Packets Octets
-------------------------------------------------------------------------
NatIn2out 12498 1281045
NatOut2in 41211 2278842
Durante el comportamiento observado, los contadores de caídas QFP de NatIn2out y NatOut2in aumentaron continuamente, lo que indica caídas de paquetes continuas en las trayectorias de traducción NAT de interior a exterior y de exterior a interior.
Paso 6. Valide con una captura de paquetes los paquetes que se están viendo afectados.
Una captura de paquetes en este problema proporciona una visibilidad detallada del flujo y procesamiento de paquetes a través del dispositivo, lo que permite identificar si los paquetes están siendo traducidos o eludidos por NAT y ayuda a aislar la causa raíz de los problemas relacionados con el Gatekeeper NAT. Esto facilita la resolución de problemas y la validación de los cambios de configuración.
ip access-list extended TAC
permit ip host 198.51.100.89 <destination IP >
permit ip <destination IP > host 198.51.100.89
debug platform condition ipv4 access-list TAC both
debug platform packet packet 128 fia-trace circular
debug platform packet-trace copy packet both
debug platform condition start
debug platform condition stop
Nota: Este documento no proporciona un enfoque en profundidad sobre la captura de paquetes. Para obtener información detallada sobre la captura de paquetes, consulte este documento:Datapath Packet Trace Feature - Packet Capture
Según el análisis de captura de paquetes, se observa que el tráfico de los hosts afectados está siendo descartado por el proceso NAT. Específicamente, el paquete capturado no coincide con ninguna entrada de traducción NAT existente ni con las subredes definidas en las listas de control de acceso (ACL). Esto indica que el paquete no está sujeto a la traducción NAT o no está permitido por las ACL configuradas, lo que puede ser la causa del problema de conectividad. La investigación adicional puede centrarse en verificar las reglas de traducción NAT y las configuraciones ACL para garantizar que el tráfico afectado se maneja correctamente.
NAT_R1#show platform packet-trace packet 122 decode
Packet: 122 CBUG ID: 650
Summary
Input : GigabitEthernet1
Output : GigabitEthernet2
State : FWD
Timestamp
Start : 6725512391055 ns (07/01/2026 16:56:32.593082 UTC)
Stop : 6725512441820 ns (07/01/2026 16:56:32.593133 UTC)
Path Trace
Feature : IPV4(Input)
Input : GigabitEthernet1
Output : GigabitEthernet2
Source : 198.51.100.89
Destination : <remote Host>
Protocol : 6 (TCP)
SrcPort : 16130
DstPort : 1560
<snip>
Feature : NAT
Direction : OUT to IN
Action : FWD
FWD-POINT : GATEKEEPER_BLOCKED
VRF : 2
Feature: IPV4_NAT_INPUT_FIA
Entry : Input - 0x700140f0
Input : GigabitEthernet1
Output : <unknown>
Lapsed time : 8970 ns
<snip>
Packet Copy In
<snip>
ARPA
Destination MAC : aaaa.bbbb.cccc
Source MAC : bbbb.bbbb.aaaa
<snip>
Packet Copy Out
<snip>>
Found the issue to be gatekeeper:
Feature: NAT
Direction : IN to OUT
Action : FWD
FWD-POINT : GATEKEEPER_BLOCKED
Recomendaciones
Cisco recomienda separar el tráfico NATed y el no NATed en diferentes interfaces o dispositivos para evitar problemas relacionados con la funcionalidad del Gatekeeper NAT. Esta separación ayuda a evitar un procesamiento excesivo causado por tipos de tráfico mixtos en la misma interfaz.
Además, Cisco recomienda actualizar a una versión de Cisco que incluya mejoras en la función NAT Gatekeeper. Estas mejoras habilitan el almacenamiento en caché de las direcciones IP de origen y de destino y permiten configurar el tamaño de la memoria caché. El tamaño de la memoria caché se puede ajustar mediante el comando en el modo de configuración global:
ip nat settings gatekeeper-size <value>
El valor debe ser una potencia de dos, y se recomienda comenzar con un tamaño cercano al valor predeterminado. Después de ajustar el tamaño de la caché, supervise los aciertos y errores de caché para garantizar un rendimiento y una utilización de recursos óptimos.
El aumento del tamaño de la caché puede reducir el número de pérdidas de caché y mejorar la eficacia del procesamiento NAT, pero también consume memoria adicional en el procesador Quantum Flow Processor (QFP). Por lo tanto, los ajustes pueden hacerse gradualmente con un control cuidadoso.
El objetivo de estas recomendaciones es optimizar el rendimiento de NAT Gatekeeper y reducir los problemas potenciales causados por los flujos de tráfico mixtos NAT y no NAT.
Información Relacionada
- Resolución de problemas de uso elevado de QFP debido a la configuración predeterminada del gatekeeper NAT
- Troubleshooting de IOS NAT Intermittent Failure to Translate Packets
Historial de revisiones
| Revisión | Fecha de publicación | Comentarios |
|---|---|---|
3.0 |
06-Jul-2026
|
Versión inicial: actualización necesaria y publicada de nuevo |
1.0 |
12-Jun-2026
|
Versión inicial |
Comentarios