内容

概要

問題

トラブルシュート

シナリオ 1

シナリオ 2

シナリオ 3

シナリオ 4

概要

このドキュメントでは、イベントデータレコード(EDR)の「空白のnat IP」問題をトラブルシューティングする方法について説明します。

問題

EDRは、NATされたIPフィールドが空白の場合に表示されます。

06/06/2022 14:53:03:056,01/01/1970 05:30:00:000,a.b.c.d,123,,,e.f.g.h,443,6,0

06/06/2022 14:53:03:098,01/01/1970 05:30:00:000,a1.b1.c1.d1,456,,,e1.f1.g1.h1,443,6,0

06/06/2022 14:53:03:109,01/01/1970 05:30:00:000,a2.b2.c2.d2,789,,,e2.f2.g2.h2,8888,6,0

トラブルシュート

シナリオ 1

最初に、どちらに Firewall-and-Nat Policy International Mobile Subscriber Identification(IMSI)がマッピングされ、設定が正確かどうかが確認されます。

たとえば、 show subscribers full imsi <> ,[Network Address Translation (NAT) Policy NAT44: Not-required]が[Required state]になっていることが確認できます。また、次の場所にマッピングされたIPプールも表示されません。

Firewall-and-Nat Policy: xyz

Firewall Policy IPv4: Required

Firewall Policy IPv6: Not-required

NAT Policy NAT44: Not-required

NAT Policy NAT64: Not-required

CF Policy ID: n/a

Congestion Mgmt Policy: n/a

active input plcy grp: n/a             active output plcy grp: n/a

S6b Auth Status: N/A

さらに次の設定を確認すると、 Firewall-and-Nat Policy: xyzが存在する場合、マッピングされた名前付きIPプールはありません。

fw-and-nat policy fw-policy

access-rule priority 3 access-ruledef acc_P3_Server1 permit

access-rule priority 4 access-ruledef acc_P3_Server2 permit

access-rule priority 5 access-ruledef acc_P3_Server3 permit

access-rule priority 6 access-ruledef acc_P3_Server4 permit

access-rule priority 7 access-ruledef acc_P3_Server5 permit

access-rule priority 8 access-ruledef acc_P3_Server6 permit

access-rule priority 9 access-ruledef acc_P3_Server7 permit

access-rule priority 10 access-ruledef acc_P3_Server8 permit

access-rule priority 11 access-ruledef acc_P3_ipv6_Server1 permit

access-rule priority 16 access-ruledef ACC_ICMP_DENY_ALL deny

同じことを問題のないシナリオと比較すると、次の点が分かります Firewall-and-Nat Policy: abc 、[NAT Policy NAT44: Required]および[Nat Realm: www_nat.

Firewall-and-Nat Policy: abc

Firewall Policy IPv4: Required

Firewall Policy IPv6: Required

NAT Policy NAT44: Required

NAT Policy NAT64: Required

Nat Realm: www_nat                     Nat ip address: a.b.c.d  (on-demand) (publicpool1)

Nexthop ip address: n/a

「abc」の設定を確認すると、 nat-realm www_nat が設定され、nat-realmにIP-Poolが設定されています。

fw-and-nat policy abc

access-rule priority 12 access-ruledef DNSipv41 permit bypass-nat

access-rule priority 13 access-ruledef DNSipv42 permit bypass-nat

access-rule priority 20 access-ruledef DNSipv61 permit bypass-nat

access-rule priority 21 access-ruledef DNSipv62 permit bypass-nat

access-rule priority 36 access-ruledef ACC_ICMP_DENY_ALL deny

access-rule priority 59 access-ruledef NAT64-prefix permit nat-realm www_nat

access-rule priority 60 access-ruledef ipv4_any permit nat-realm www_nat

access-rule priority 2000 access-ruledef ar-all-ipv6 permit bypass-nat

ip pool public_www8 a.b.c.d 255.255.255.0 napt-users-per-ip-address 1100 group-name public_internet max-chunks-per-user 10 port-chunk-size 32

ip pool publicpool1 a1.b1.c1.d1 255.255.252.0 napt-users-per-ip-address 1024 group-name www_nat alert-threshold pool-used 80 clear 70 on-demand max-chunks-per-user 8 port-chunk-size 64

ip pool publicpool2 a2.b2.c2.d2 255.255.252.0 napt-users-per-ip-address 1024 group-name www_nat alert-threshold pool-used 80 clear 70 on-demand max-chunks-per-user 8 port-chunk-size 64

ip pool test a3.b3.c3.d3 255.255.255.248 private 0 group-name Test

シナリオ 2

サブスクライバに有効なサブスクリプションがあるかどうかを確認します。任意のユーザの場合 Credit-Control is offサブスクライバはパブリックNATされたIPを取得しません。

シナリオ 3

一部のシナリオでは、natされたIPが表示されず、それらのEDRでは誤った終了時間が表示されます。

06/29/2022 04:35:57:754,01/01/1970 05:30:00:000,a.b.c.d,51564,,,w.x.y.z,443,6,0

06/29/2022 04:35:57:752,01/01/1970 05:30:00:000,a1.b1.c1.d1,46060,,,w1.x1.y1.z1,443,6,0

06/29/2022 04:35:57:755,01/01/1970 05:30:00:000,a2.b2.c2.d2,60670,,,w1.x1.y1.z1,443,6,0

ログによると、EDRのフロー終了時刻は1970年1月1日です。

最初のパケットでNAT障害または何らかの障害が発生し、フローに最初のパケット時間だけが設定されている場合、最後のパケットの時間は初期化済み状態になります。このようなタイプのフロータイムアウトとEDRが生成されると、最後のパケット時間は設定されないため、EDRではエポックタイムが表示されます。

シナリオ 4

パブリックIPを持たないInternet Control Message Protocol(ICMP)EDR:NATが有効なサブスクライバの場合、サーバ側から開始されたフローがある場合、そのようなフローに対してはNAT変換が実行されません。つまり、このようなダウンリンクフローに対してはNAT変換を実行できません。これは予期される動作であり、設計に従います。

また、アップリンクパケットでは、サーバが到達不能な場合（例として）、ICMPエラーが返されます（ダウンリンク方向）。このICMPフローはNAT変換できません。したがって、このICMPフロー用に生成されたEDRは、パブリックIP/ポートを持つことはできません。

スニペットの例：

このEDRでは、ICMPフローが、ブランクのNAT付きIPを持つ同じサーバに対して、わずか1秒後のUDPフローに従っていることがわかります。