Risoluzione dei problemi relativi a NAT sulle piattaforme Cat800

Introduzione

Questo documento descrive come risolvere i problemi NAT sulle piattaforme Cat800.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• NAT (Network Address Translations)
• Cisco IOS®

Per ulteriori informazioni su questi argomenti, vedere:

• Configurazione di Network Address Translation
• Comprendere l'ordine di funzionamento NAT
• Domande frequenti su Network Address Translation (NAT)
• Restrizioni per la configurazione di NAT per la conservazione degli indirizzi IP
  
  

Componenti usati

Le informazioni di questo documento si basano sul software Cisco IOS.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Esempio di rete

Topologia NAT

Caso di studio su pool di esaurimento NAT esaurito

Questo messaggio di registro indica che il dispositivo ha tentato di allocare un indirizzo IP per NAT, ad esempio per una conversione NAT o PAT dinamica, ma l'allocazione non è riuscita. Questo si verifica in genere quando non vi sono indirizzi o porte disponibili rimanenti nel pool NAT configurato.

Le cause più comuni sono:

· Pool NAT esaurito (tutte le porte o gli indirizzi IP disponibili sono in uso).
· La configurazione NAT non dispone di indirizzi o risorse sufficienti per soddisfare le richieste di traduzione correnti.

%NAT-6-ADDR_ALLOC_FAILURE: Address allocation failed; pool 2 may be exhausted [2] port range: NA, non-PATable: NO, for ALG: NO, input intf: GigabitEthernet0/0/3, mapping-id: 1, 
created by pkt: src_ip 192.0.2.13 dst_ip 192.x.x.40 src_port 0 dst_port 0 proto 1

Passaggio 1. Verificare il pool NAT per confermare l'intervallo di conversione degli indirizzi.

NAT_R1#show ip nat pool platform
Dump NAT pool config

ID: 2, Name: NAT_Pool, Type: Generic, Mask: 255.255.255.240
Flags: Unknown, Acct name: 
Address range blocks: 1
Start: 203.0.113.3, End: 203.0.113.5
Last stats update: 07/31 13:08:43.708061785
Last refcount value: 3

Passaggio 2. Verificare la tabella di traduzione NAT e determinare il numero di traduzioni attive attualmente presenti.

NAT_R1#show ip nat translations 
Pro Inside global Inside local Outside local Outside global
--- 203.0.113.3 192.0.2.10 --- ---
--- 203.0.113.5 192.0.2.12 --- ---
--- 203.0.113.4 192.0.2.11 --- ---
icmp 203.0.113.5:0 192.0.2.12:0 198.51.100.30:0 198.51.100.30:0
icmp 203.0.113.3:0 192.0.2.10:0 198.51.100.10:0 198.51.100.10:0
icmp 203.0.113.4:0 192.0.2.11:0 198.51.100.20:0 198.51.100.20:0
Total number of translations: 6

Passaggio 3. Verificare se le gocce vengono visualizzate nelle statistiche NAT. Questo risultato indicherebbe che il traffico in entrata richiede la traduzione, ma si verificano cali a causa di problemi di allocazione NAT.

NAT_R1#show ip nat statistics 
Total active translations: 6 (0 static, 6 dynamic; 3 extended)
Outside interfaces:
GigabitEthernet0/0/4
Inside interfaces: 
GigabitEthernet0/0/3
Hits: 11094661606 Misses: 10
Reserved port setting disabled provisioned no
Expired translations: 1412
Dynamic mappings:
-- Inside Source
[Id: 2] access-list 1 pool NAT_Pool refcount 6 <---- Translations count
pool NAT_Pool: id 2, netmask 255.255.255.240
start 203.0.113.3 end 203.0.113.5
type generic, total addresses 3, allocated 3 (100%), misses 3559386331
nat-limit statistics:
max entry: max allowed 0, used 0, missed 0
In-to-out drops: 3559337007 Out-to-in drops: 0  <---- drops from in to out 
Pool stats drop: 0 Mapping stats drop: 0
Port block alloc fail: 0
IP alias add fail: 0
Limit entry add fail: 0
NAT_R1#

Passaggio 4. Dal punto di vista della piattaforma, esaminare le statistiche NAT del datapath QFP per determinare se queste perdite corrispondono al problema osservato.

NAT_R1#show platform hardware qfp active feature nat datapath stats

Counter                                                         Value
------------------------------------------------------------------------
number_of_session                                                 3 
udp                                                               0
tcp                                                               0
icmp                                                              3 
non_extended                                                      3 
statics                                                           0
static_net                                                        0
entry_timeouts                                                    1 
hits                                                         585149 
misses                                                            0
cgn_dest_log_timeouts                                             0
ipv4_nat_alg_bind_pkts                                            0
ipv4_nat_alg_sd_not_found                                         0
ipv4_nat_alg_sd_tail_not_found                                    0
ipv4_nat_rx_pkt                                                 154 
ipv4_nat_tx_pkt                                         18791285989 
<snip>
ipv4_nat_non_natted_in2out_pkts                                 144 
ipv4_nat_non_nated_out2in_pkts                                    0
<snip>
ipv4_nat_cfg_rcvd                                                 8 
ipv4_nat_cfg_rsp                                                  9
Subcode#14 ADDR_ALLOC_FAIL                               5216959285 

• numero_di_sessione: Indica il numero totale di sessioni NAT attive attualmente presenti nel percorso dati QFP. In questo output, il valore è 3, che conferma che tre sessioni NAT sono attive al momento della raccolta.
• icmp Visualizza il numero di sessioni NAT attive per il traffico ICMP. Il valore 3 indica che tutte le sessioni NAT attive nell'output sono sessioni ICMP.
• non_esteso: Indica il numero di sessioni NAT classificate dalla piattaforma come voci non estese. In questo output, il valore è 3, che si allinea alle tre sessioni ICMP attive mostrate nel datapath.
• entry_timeout: Indica il numero di voci di sessione NAT scadute e rimosse dal percorso dati. Il valore 1 conferma che una voce NAT è scaduta.
• riscontri:una corrispondenza indica che il pacchetto corrisponde a una voce di sessione esistente nella tabella hash della sessione NAT. Il valore 585149 indica che i pacchetti corrispondono a una sessione NAT esistente.
• mancati riscontri: Visualizza il numero di ricerche NAT che non hanno trovato una traduzione corrispondente nel percorso dati. Il valore 0 indica che in questo output non vengono registrati errori di ricerca.
• ipv4_nat_rx_pkt: Visualizza il numero di pacchetti IPv4 ricevuti da questo percorso di accounting del percorso dati NAT. Un valore di 154 indica che questo contatore di ricezione interno ha registrato 154 pacchetti.
• ipv4_nat_tx_pkt Visualizza il numero di pacchetti IPv4 trasmessi da questo percorso di accounting del percorso dati NAT. Un valore di 18791285989 indica una quantità molto elevata di attività di inoltro pacchetti tramite questo contatore di trasmissione interno.
• ipv4_nat_non_natt_in2out_pkts: Indica il numero di pacchetti IPv4 rilevati nella direzione interna-esterna che non sono stati convertiti da NAT. Un valore di 144 conferma che 144 pacchetti hanno attraversato questo percorso senza applicare NAT.
• ipv4_nat_non_nated_out2in_pkts: Indica il numero di pacchetti IPv4 visualizzati nella direzione da esterno a interno non convertiti da NAT. Il valore 0 indica che nessun pacchetto di questo tipo viene registrato nello snapshot.
• ipv4_nat_cfg_rcvd: Visualizza il numero di messaggi di configurazione relativi a NAT ricevuti dal percorso dati. Un valore di 8 indica che sono stati ricevuti otto messaggi di configurazione.
• ipv4_nat_cfg_rsp: Visualizza il numero di risposte di configurazione relative a NAT inviate dal percorso dati. Un valore pari a 9 conferma che sono state inviate nove risposte di configurazione.
• Sottocodice 14 ADDR_ALLOC_FAIL: Visualizza il numero di errori di allocazione degli indirizzi del percorso dati NAT. Il valore 5216959285 indica che il datapath ha registrato un numero molto elevato di errori di allocazione nel tempo. Questo contatore è molto rilevante quando si esaminano problemi di traduzione NAT intermittenti e richiede la correlazione con le statistiche show ip nat, show ip nat translation e output aggiuntivi del percorso dati QFP NAT.

Passaggio 5. Verificare il numero corrente di voci e confrontare i valori maxhost_count e maxhost_himark:

• maxhost_count: mostra le voci correnti sul router.
• maxhost_himark: mostra 7, ciò indica che il limite è stato raggiunto in un determinato punto.
  
  

NAT_R1#show platform hardware qfp active feature nat datapath limit
maxhost_limit 131072 maxhost_count 5 maxhost_fail 0 maxhost_himark 7
total limit entries 0 hash tbl 0x0 max entries 0 limit_chunk 0x0 allvrf limit 0
acl limit 0 acl count 0 acl fail 0 acl_id 0x0

Informazioni dettagliate su questo registro forniscono una descrizione completa degli eventi registrati e dello stato operativo:

• maxhost_limit: Specifica il numero massimo di voci host NAT supportate dalla piattaforma. Questo valore rappresenta il limite superiore di sessioni o traduzioni NAT che possono essere gestite.
• maxhost_count: Indica il numero corrente di voci host o sessioni NAT attive in uso.
• maxhost_fail: Visualizza il conteggio dei tentativi non riusciti di allocare una voce host NAT a causa del raggiungimento del limite massimo. Il valore zero indica che non si sono verificati errori di allocazione.
• maxhost_himark: Rappresenta il limite massimo, o numero massimo, delle voci host NAT utilizzate dall'ultimo ripristino o riavvio del sistema.
• totale voci limite: Mostra il numero totale di voci di limite NAT configurate o imposte.
• tbl hash 0x0: Visualizza l'indirizzo di memoria o il puntatore alla tabella hash utilizzata per le voci del limite NAT. Il valore 0x0 indica che non è attualmente allocata alcuna tabella hash.
• numero massimo di voci: Specifica il numero massimo di voci consentite nella tabella dei limiti NAT. Un valore zero indica che non è configurato alcun limite.
• limit_chunk 0x0: Indica il puntatore a un blocco di memoria allocato per le voci di limite NAT. Il valore 0x0 indica che non è allocato alcun blocco di memoria.
• limite allvrf Rappresenta il limite NAT applicato a tutti i VRF (istanze di routing e inoltro virtuali). Un valore zero indica che non è impostato alcun limite globale.
• limite acl: Specifica il limite di voci NAT imposte dagli Access Control Lists (ACL). Un valore zero indica che non è configurato alcun limite basato su ACL.
• conteggio acl: Mostra il conteggio corrente delle voci NAT associate agli ACL.
• errore acl: Visualizza il numero di volte in cui le voci NAT non sono riuscite a causa dei limiti degli ACL.
• acl_id 0x0: Rappresenta l'identificatore o il puntatore relativo alla configurazione di un ACL. Il valore 0x0 indica che non è stata assegnata alcuna configurazione ACL.
  
  

Possibile causa

Il numero di indirizzi utilizzabili nel pool NAT è compreso tra 3 e 5. I problemi si verificano quando le traduzioni inattive rimangono nella tabella NAT, impedendo la traduzione di altro traffico. Questo comportamento è previsto, in quanto il timeout di conversione NAT predefinito è di 24 ore. Per risolvere il problema, configurare il comando ip nat translation timeout per cancellare le traduzioni inattive dopo questa azione la tabella NAT deve essere cancellata.

NAT_R1(config)#ip nat translation timeout 10800 
NAT_R1(config)#end 
NAT_R1#clear ip nat translation *
NAT_R1#show ip nat translations 
Pro Inside global Inside local Outside local Outside global
--- 203.0.113.5 192.0.2.11 --- ---
--- 203.0.113.4 192.0.2.10 --- ---
icmp 203.0.113.4:0 192.0.2.10:0 198.51.100.10:0 198.51.100.10:0
icmp 203.0.113.5:0 192.0.2.11:0 198.51.100.20:0 198.51.100.20:0
Total number of translations: 4

NAT - Traduzione di indirizzi IP non collegati - Caso di studio di Gatekeeper

La funzionalità Gatekeeper NAT è progettata per migliorare le prestazioni del router proteggendo il motore NAT dall'elaborazione di flussi non NAT. Quando i pacchetti non NAT attraversano un'interfaccia abilitata NAT, in genere vengono sottoposti a ricerche estese prima che NAT determini che la traduzione non è necessaria. Questo processo richiede un utilizzo intensivo della CPU sul Quantum Flow Processor (QFP). Il Gatekeeper riduce questo problema mantenendo una piccola cache di flussi non NAT, permettendo a questi pacchetti di ignorare il motore NAT una volta identificato, riducendo così il carico della CPU. Le voci nella cache Gatekeeper scadono relativamente rapidamente, consentendo al motore NAT di rivalutare i flussi nel caso in cui le condizioni della rete cambino e il flusso possa ora essere soggetto a NAT.

Questo meccanismo aiuta a ottimizzare l'utilizzo delle risorse e migliora l'efficienza complessiva del sistema quando si tratta di traffico misto NAT e non NAT sulla stessa interfaccia. Le dimensioni della cache per il Gatekeeper possono essere configurate per adattarsi al volume di traffico non NAT, con valori predefiniti basati sulla piattaforma. La regolazione delle dimensioni della cache è consigliata quando è presente un traffico non NAT significativo su un'interfaccia NAT.

In sintesi, il Gatekeeper NAT:

· Protegge il motore NAT dall'elaborazione non necessaria di flussi non NAT.
· Mantiene una cache di flussi non NAT per consentire loro di ignorare l'elaborazione NAT.
· Utilizza timeout sulle voci della cache per consentire la rivalutazione dei flussi.
· Consente di ridurre l'utilizzo della CPU sul QFP.
· Supporta dimensioni della cache configurabili per ottimizzare le prestazioni in base ai modelli di traffico.

Identificare il sintomo

I sintomi tipici includono:

• Cadute intermittenti del traffico
• Alcuni host funzionano mentre altri non funzionano
• Sono presenti traduzioni NAT, ma il traffico viene interrotto
• Sessioni applicazione reimpostate in modo imprevisto
• Implementazioni PAT su larga scala interessate
• Aumento contatori Gatekeeper

Passaggio 1. Verificare le statistiche NAT durante la finestra di errore.
Questo passaggio conferma:

• se NAT riceve traffico corrispondente
• se le traduzioni vengono create
• se i mancati riscontri aumentano durante il problema
• se lo stato del pool di indirizzi o di overload è integro
  
  

NAT_R1#show ip nat statistics
Total active translations: 29477 (736 static, 28741 dynamic; 28741 extended)
Outside interfaces:
GigabitEthernet1
Inside interfaces: 
GigabitEthernet2, GigabitEthernet3
Hits: 32525856687 Misses: 293948584 
Expired translations: 293549953
Dynamic mappings:
-- Inside Source
[Id: 1] route-map INTERNET_PAT interface GigabitEthernet1 refcount 25
nat-limit statistics:
max entry: max allowed 0, used 0, missed 0
In-to-out drops: 0 Out-to-in drops: 867
Pool stats drop: 0 Mapping stats drop: 0
Port block alloc fail: 0
IP alias add fail: 0
Limit entry add fail: 0

NAT_R1#show ip nat statistics | sec Misses
Hits: 32525856687 Misses: 293948584
NAT_R1#show ip nat statistics | sec Misses
Hits: 32527039444 Misses: 293952367 
NAT_R1#show ip nat statistics | sec Misses
Hits: 32527308509 Misses: 293953221
NAT_R1#

La sezione fornisce una spiegazione dettagliata delle informazioni pertinenti nell'output.

• Totale traduzioni attive: Indica il numero totale di voci NAT attualmente installate nella tabella di conversione. In questo output sono presenti 29.477 traduzioni attive.
• 736 statico: Specifica il numero di voci NAT statiche attualmente attive. Si tratta di mapping fissi configurati manualmente.
• 28741 dinamico: Specifica il numero di voci NAT dinamiche attualmente attive. Queste voci sono state create automaticamente dai flussi di traffico.
• 28741 esteso: Indica che tutte le voci dinamiche sono conversioni estese, ovvero includono informazioni sul layer 4, ad esempio i numeri di protocollo e di porta. Ciò è tipico del traffico PAT.
• Riscontri: Visualizza il numero di pacchetti corrispondenti a una voce di traduzione NAT esistente. Un valore di 32.525.856.687 indica che NAT sta elaborando attivamente una grande quantità di traffico.
• Mancati riscontri: Visualizza il numero di pacchetti che non corrispondono a una voce di traduzione NAT esistente al momento della ricerca. In NAT/PAT dinamico, questo si verifica in genere sul primo pacchetto di un nuovo flusso prima della creazione della traduzione. Un valore di 293.948.584 riflette un numero elevato di ricerche di nuove sessioni nel tempo.
• Cadute in uscita: Visualizza il numero di pacchetti ignorati nella direzione da interno a esterno durante l'elaborazione NAT. Il valore 0 indica che non si sono verificate interruzioni NAT in uscita.
• Cadute da uscita a entrata: Visualizza il numero di pacchetti scartati nella direzione da esterno a interno durante l'elaborazione NAT. Un valore di 867 indica che alcuni pacchetti in entrata sono arrivati senza una traduzione corrispondente valida o uno stato NAT valido.
• Rilascio stato pool: Mostra il numero di rilasci correlati alla gestione del pool NAT. Il valore 0 indica che non si sono verificate eliminazioni relative al pool.
• Rilascio statistiche mapping: Mostra il numero di rilasci correlati a problemi di mapping NAT. Il valore 0 indica che non si sono verificate interruzioni relative al mapping.
• Errore allocazione blocco porta: Visualizza il numero di errori di allocazione dei blocchi di porte PAT. Il valore 0 indica che non si sono verificati errori di allocazione delle porte e che non vi sono prove di esaurimento delle porte PAT.
• Aggiunta alias IP non riuscita: Mostra il numero di errori correlati alla creazione di alias IP per NAT. Il valore 0 indica che non si sono verificati errori relativi agli alias.
• Aggiunta voce limite non riuscita: Visualizza il numero di errori durante l'aggiunta di una voce NAT a causa di una restrizione del limite. Il valore 0 conferma che nessuna traduzione è stata bloccata dall'applicazione del limite NAT.

Le statistiche NAT mostrano che il contatore di mancate corrispondenze è in aumento, ma l'aumento si verifica nello stesso modello della normale creazione dinamica di sessioni NAT/PAT.

Durante l'intervallo osservato:

Le visite sono passate da 32.525.856.687 a 32.527.308.509
       Incremento: 1,451,822
I mancati riscontri sono passati da 293.948.584 a 293.953.221
       Incremento: 4,637

Ciò riflette approssimativamente 313 accessi aggiuntivi per ogni 1 ulteriore mancato riscontro nello stesso periodo. In un ambiente NAT/PAT dinamico, si verifica un errore quando un pacchetto arriva prima che nella tabella esista già una traduzione corrispondente. Una volta creata la traduzione, i pacchetti successivi per quel flusso vengono considerati come accessi riusciti. In base a tale comportamento, l'aumento di accessi non riusciti osservato è coerente con la creazione di sessioni in corso e la normale rotazione della traduzione.

Passaggio 2. Verificare che la traduzione esista nella tabella NAT. Filtrare l'output per il flusso interessato esatto, se applicabile.
Questo passaggio conferma se la tabella NAT del processore di routing (RP) contiene una voce di conversione per il flusso interessato.

Risultato integro

La traduzione esiste e riflette:
    correggi all'interno del locale
    correggi all'interno globale
    correggere l'indirizzo esterno
    correzione del mapping tra protocolli e porte

Se il risultato non è integro

Interpretazione
    Nessuna voce di traduzione esistente
    Focus sulla corrispondenza NAT, ACL, route-map o allocazione di risorse.
    La traduzione esiste ma il traffico non riesce
    Passare alla fase di verifica QFP.

Si tratta di una delle diramazioni più importanti del flusso di lavoro.

NAT_R1#show ip nat translations verbose
Pro Inside global Inside local Outside local Outside global
icmp 203.0.113.2:3157 192.0.2.2:3157 x.x.x.x:3157 x.x.x.x:3157
  create: 06/19/26 05:36:53, use: 06/19/26 05:36:53, timeout: 00:00:45
  RuleID : X
  Flags: unknown
  ALG Application Type: NA
  WLAN-Flags: unknown
  Mac-Address: 0000.0000.0000 Input-IDB: GigabitEthernet2
  entry-id: 0xe8a48090, use_count:1
  In_pkts: X In_bytes: 44, Out_pkts: X Out_bytes: X 
  Output-IDB: GigabitEthernet1 

• Protocollo | ICMP | La voce di conversione è relativa al traffico ICMP. Nelle voci ICMP, il valore che segue i due punti rappresenta l'identificatore ICMP e non una porta TCP o UDP.
• Globale interno |203.0.113.2:3157 | L'indirizzo di origine tradotto visualizzato sulla rete esterna. 203.0.113.2 è l'indirizzo NAT pubblico utilizzato per questo flusso.
• Interno locale |192.0.2.2:3157 | L'indirizzo di origine originale dell'host interno prima della traduzione.
• Esterno locale | x.x.x.x:3157 | L'indirizzo di destinazione indicato nella rete interna.
• Esterno globale | x.x.x.x:3157 | Indirizzo di destinazione reale sulla rete esterna. Questo campo corrisponde al valore locale esterno perché non viene applicata alcuna traduzione esterna.
• IDREGOLA | X | Regola NAT che ha creato la voce di traduzione. 
• Flag | sconosciuto | Flag NAT interni associati alla voce. La CLI non decodifica questo valore nell'output visualizzato. 
• Tipo di applicazione ALG | ND | Nessun gateway di livello applicazione associato a questa traduzione ICMP. 
• Flag WLAN | sconosciuto | Flag specifici della piattaforma relativi alla WLAN. Questo campo non è rilevante dal punto di vista operativo per questa voce. 
• Indirizzo MAC |0000.0000.0000 | Il campo dell'indirizzo MAC non è compilato per questa voce di traduzione. 
• Input-IDB | Gigabit Ethernet 2 | L'interfaccia in entrata dal punto in cui il pacchetto originale è entrato nel router. Ciò conferma che il traffico ha avuto origine dall'interno su Gigabit Ethernet2. 
• ID voce | 0xe8a48090 | Identificatore interno della voce di traduzione NAT in memoria. 
• Conteggio utilizzi  | Conteggio dei riferimenti interni per la voce di traduzione. 
• In pacchetti | Numero di pacchetti conteggiati in una direzione per questa traduzione. 
• In byte | Numero di byte conteggiati nella stessa direzione dei pacchetti In. 
• Pacchetti in uscita | Numero di pacchetti contati nella direzione opposta per questa traduzione. 
• Byte in uscita  | Numero di byte conteggiati nella stessa direzione dei pacchetti in uscita. 
• Output-IDB | Gigabit Ethernet 1 | L'interfaccia in uscita utilizzata dal traffico tradotto. Ciò conferma che il pacchetto convertito è stato chiuso tramite Gigabit Ethernet1.

Passaggio 3. Verificare che la traduzione sia programmata in QFP

Questo passaggio conferma se la traduzione visibile nell'RP è programmata anche nel percorso hardware di inoltro.

NAT_R1#show platform hardware qfp active feature nat datapath gateout
Gatekeeper on
<snip>
sip 192.0.2.35 dip x.x.x.x vrf 0 ts 0xcdd07450 idx 10268
sip 192.0.2.67 dip x.x.x.x vrf 0 ts 0xcdd072de idx 44104
sip 198.51.100.12 vrf 0 cnt 225 ts 0x1b393b5 idx 56738 
sip 198.51.100.89 dip x.x.x.x vrf 0 ts 0xcdd071b2 idx 59429 <---------------- Affected Host

| 0xcdd07450 | Valore esadecimale del timestamp QFP interno. 
| idx | 10268 | Indice tabella gate interni. 
| cnt | 225 | Conteggio attività interna/riferimento per l'oggetto gate. Visualizzato su alcuni tipi di voce. 

| Voce 1 | sip 192.0.2.35 dip x.x.x vrf 0 ts 0xcdd07450 idx 10268 | Voce gate specifica della tupla per l'origine 192.0.2.35 verso la destinazione x.x.x.x in VRF 0.
| Voce 2 | sip 192.0.2.67 dip x.x.x vrf 0 ts 0xcdd072de idx 44104 | Voce gate specifica della tupla per l'origine 192.0.2.67 verso la destinazione multicast x.x.x.x in VRF 0.
| Voce 3 | sip 198.51.100.12 vrf 0 cnt 225 ts 0x1b393b5 idx 56738 | Voce "gate" orientata all'origine e all'host, per 198.51.100.12 nel VRF 0, con numero di riferimento/attività interna 225.
| Voce 4 | sip 198.51.100.89 dip x.x.x vrf 0 ts 0xcdd071b2 idx 59429 | Voce gate specifica della tupla per l'origine 198.51.100.89 verso la destinazione x.x.x.x in VRF 0. 

L'output conferma che la funzione gatekeeper datapath NAT è abilitata sul dispositivo. Indica inoltre che l'indirizzo di origine 198.51.100.89 interessato è presente nella tabella di gateway NAT QFP come voce specifica della tupla associata a un flusso di destinazione nel VRF 0.

Ciò indica che il traffico proveniente da 198.51.100.89 sta raggiungendo il percorso di creazione della traduzione NAT nel percorso dati QFP e viene tracciato internamente dal processo gatekeeper. I valori ts e idx sono riferimenti QFP interni per la voce di gateout.

Questo output non conferma che una traduzione NAT completa è stata installata correttamente per il flusso interessato. Conferma solo la presenza dello stato del gatekeeper interno per quella tupla di origine/destinazione.

Per il comportamento intermittente segnalato, l'osservazione rilevante è che 198.51.100.89 è visibile nel gateway durante la finestra di problema, che allinea il dominio di errore con il gatekeeper del datapath NAT o con la fase di traduzione-installazione, piuttosto che con una completa assenza di traffico proveniente dall'host interessato.

Passaggio 4. Controllare le statistiche di NAT Gatekeeper.

Un rapido aumento dei mancati riscontri nella cache indica che i flussi non NAT non vengono aggiunti alla cache. Questa condizione determina un utilizzo elevato di Quantum Flow Processor (QFP).

NAT_R1#show platform hardware qfp active feature nat datapath gateout activity 
Gatekeeper on
def mode Size 8192, Hits 448492109001, Miss 53295038401, Aged 149941327 Added 603614728 Active 1899

NAT_R1#show platform hardware qfp active feature nat datapath gateout activity 
Gatekeeper on
def mode Size 8192, Hits 191540578459, Miss 3196566091, Aged 1365537 Added 9 Active 7

Passaggio 5. Convalidare le eliminazioni a livello QFP.

Verifica la presenza di contatori di rilascio correlati a NAT

NAT_R1#show platform hardware qfp active statistics drop

Last clearing of QFP drops statistics : never

-------------------------------------------------------------------------
Global Drop Stats                                    Packets       Octets
-------------------------------------------------------------------------
NatIn2out                                                1701      174437
NatOut2in                                                4838      267167

NAT_R1#show platform hardware qfp active statistics drop

Last clearing of QFP drops statistics : never

-------------------------------------------------------------------------
Global Drop Stats                                   Packets        Octets
-------------------------------------------------------------------------
NatIn2out                                              8039        823998
NatOut2in                                             26427       1461299

NAT_R1#show platform hardware qfp active statistics drop

Last clearing of QFP drops statistics : never

-------------------------------------------------------------------------
Global Drop Stats                                  Packets         Octets
-------------------------------------------------------------------------
NatIn2out                                            12498        1281045
NatOut2in                                            41211        2278842

Durante il comportamento osservato, i contatori di rilascio QFP NatIn2out e NatOut2in sono aumentati continuamente, indicando il continuo calo dei pacchetti nei percorsi di traduzione NAT interno-esterno ed esterno-interno.

Passaggio 6. Convalidare con l'acquisizione dei pacchetti i pacchetti interessati.

Un'acquisizione di pacchetti in questo problema fornisce una visibilità dettagliata del flusso e dell'elaborazione dei pacchetti attraverso il dispositivo, consentendo di identificare se i pacchetti vengono tradotti o ignorati da NAT e aiutando a isolare la causa principale dei problemi relativi al Gatekeeper NAT. Ciò semplifica la risoluzione dei problemi mirata e la convalida delle modifiche alla configurazione.

ip access-list extended TAC
permit ip host 198.51.100.89 <destination IP >
permit ip <destination IP > host 198.51.100.89

debug platform condition ipv4 access-list TAC both
debug platform packet packet 128 fia-trace circular
debug platform packet-trace copy packet both
debug platform condition start  
debug platform condition stop

In base all'analisi dell'acquisizione dei pacchetti, viene osservato che il traffico degli host interessati viene scartato dal processo NAT. In particolare, il pacchetto acquisito non corrisponde ad alcuna voce di traduzione NAT esistente o alle subnet definite negli elenchi di controllo di accesso (ACL). Ciò indica che il pacchetto non è soggetto a conversione NAT o è autorizzato dagli ACL configurati, che possono essere la causa del problema di connettività. Per un'ulteriore indagine, è possibile verificare le regole di traduzione NAT e le configurazioni ACL per garantire la corretta gestione del traffico interessato.

NAT_R1#show platform packet-trace packet 122 decode
Packet: 122 CBUG ID: 650
Summary
Input    : GigabitEthernet1
Output   : GigabitEthernet2
State    : FWD 
Timestamp
Start    : 6725512391055 ns (07/01/2026 16:56:32.593082 UTC)
Stop     : 6725512441820 ns (07/01/2026 16:56:32.593133 UTC)
Path Trace
Feature  : IPV4(Input)
Input           : GigabitEthernet1
Output          : GigabitEthernet2
Source          : 198.51.100.89
Destination     : <remote Host>
Protocol        : 6 (TCP)
SrcPort         : 16130
DstPort         : 1560
<snip>
Feature : NAT
Direction    : OUT to IN
Action       : FWD
FWD-POINT    : GATEKEEPER_BLOCKED
VRF          : 2
Feature: IPV4_NAT_INPUT_FIA
Entry         : Input - 0x700140f0
Input         : GigabitEthernet1
Output        : <unknown>
Lapsed time   : 8970 ns
<snip>
Packet Copy In
<snip>
ARPA
Destination MAC       : aaaa.bbbb.cccc
Source MAC            : bbbb.bbbb.aaaa
<snip>
Packet Copy Out
<snip>>

Found the issue to be gatekeeper: 
Feature: NAT
Direction     : IN to OUT
Action        : FWD
FWD-POINT     : GATEKEEPER_BLOCKED

Consigli

Cisco consiglia di separare il traffico NAT e non NAT su diverse interfacce o dispositivi per evitare problemi relativi alla funzionalità Gatekeeper NAT. Questa separazione aiuta a evitare un'elaborazione eccessiva causata da tipi di traffico misti sulla stessa interfaccia.

Inoltre, Cisco consiglia di eseguire l'aggiornamento a una versione di Cisco che include miglioramenti alla funzione NAT Gatekeeper. Questi miglioramenti consentono la memorizzazione nella cache degli indirizzi IP di origine e di destinazione e la configurazione delle dimensioni della cache. Le dimensioni della cache possono essere regolate utilizzando il comando in modalità di configurazione globale:

ip nat settings gatekeeper-size <value>

Il valore deve essere una potenza di due ed è consigliabile iniziare con una dimensione vicina all'impostazione predefinita. Dopo aver regolato le dimensioni della cache, monitorare gli accessi riusciti e non riusciti alla cache per garantire prestazioni e utilizzo delle risorse ottimali.

Aumentando le dimensioni della cache è possibile ridurre il numero di mancati riscontri nella cache e migliorare l'efficienza dell'elaborazione NAT, ma è anche possibile utilizzare memoria aggiuntiva sul Quantum Flow Processor (QFP). Pertanto, gli adeguamenti possono essere apportati gradualmente con un attento monitoraggio.

Queste raccomandazioni mirano a ottimizzare le prestazioni del Gatekeeper NAT e a ridurre i potenziali problemi causati da flussi di traffico misti NAT e non NAT.

Informazioni correlate

• Risoluzione dei problemi di utilizzo QFP elevato dovuto alla configurazione predefinita Gatekeeper NAT
• Risoluzione dei problemi di IOS NAT Intermittent Failure per la conversione dei pacchetti
  
  
  

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
3.0	06-Jul-2026	Release iniziale - Aggiornamento necessario e ripubblicato
1.0	12-Jun-2026	Versione iniziale