Secpatch-F5000：Dnat问题

tracert的时候是跟踪哪个地址？

1. LLB 出站 IPv4 选路策略作用对象：内网 Trust 侧主动发起访问公网的新建流量，做链路调度。
2. 外网用户访问移动公网 IP（1.1.1.1）流程： ①外网请求从移动接口入防火墙； ②匹配 nat‑server，目的 NAT 转换成内网服务器私网 IP； ③内网服务器应答报文到达防火墙； ④服务器回包是响应报文，不是新建主动出站会话，不会触发 LLB 链路负载均衡选路策略； ⑤防火墙查找路由表 FIB，根据目的公网客户端 IP 查普通静态路由 / 默认路由转发，若等价默认路由存在，哈希选路，就有可能把服务器回包从联通接口送出去，回包源 NAT 转换成联通公网 2.2.2.2，所以 tracert 看到联通地址，出现入从移动进，回包从联通出（来回路径不一致）。

注意：会话表本身已经完成 DNAT 转换，业务 TCP/UDP 业务可以通；但是 ICMP 的 tracert 超时报文、TTL‑exceeded 报文也会跟着回包路由走联通接口，所以追踪路径出现联通公网 IP。 你配置的 “主链路移动、备链路电信” 的 LLB 链路组，只对内网主机访问外网生效，对服务器 NAT‑server 回程应答报文无效。

排查确认手段

1. 访问 1.1.1.1 同时查看会话表

看会话的入接口（移动接口）、出接口，确认回包实际走的接口。

2. 查看 FIB 路由，看外网客户端目的 IP 路由下一跳，确认路由哈希选择联通下一跳。

四种解决方案（按实施优先级）

方案 1【推荐】NAT‑Server 绑定出接口（全局方式 nat‑server global interface‑x）

把这条映射直接绑定移动物理出接口，服务器所有回包强制从该接口转发，不走路由表选路，彻底解决来回路径不一致。

注意：不要用全局nat‑server global 1.1.1.1，改用绑定移动外网接口写法：

G1/0/0 为移动运营商物理接口。 ⚠️限制：移动线路故障接口 Down，该映射业务直接中断，不会自动切电信备份链路。

方案 2：策略路由，针对该内网服务器回包，强制优先走移动链路

对源 IP = 内网服务器 IP 的回程报文做策略路由，优先调度移动链路；移动链路 NQA 探测失效后，切换电信链路，联通不参与服务器回包转发。

1. ACL 匹配内网服务器源地址

2. 策略路由节点，调用 LLB 链路组（移动主、电信备）；策略路由应用在内网服务器接入的 trust 接口入方向。

该方式：服务器回包也可以复用 LLB 链路组故障探测，移动断自动切电信，不会跑到联通链路。

方案 3：开启接口forward‑ingress‑check（保持入接口，来回路径一致）

在外网全部三个运营商接口下开启保持入接口功能：

功能：报文从哪个 untrust 接口进来，应答报文强制从同一个接口出去。 优点：配置最简单，访问移动公网 IP，回包强制移动接口；访问电信公网 IP 回包强制电信接口。 ⚠️风险：移动接口故障 down 之后，外部访问移动公网 IP 业务直接中断，无法自动切换电信备份，不会跨接口故障逃生，适合不需要多运营商链路备份的服务器场景。

方案 4：删除联通参与的等价默认路由

如果联通链路不需要承接该服务器回包流量，默认路由不要包含联通下一跳；联通只用于内网用户上网（由 LLB 出站选路策略调度）。

默认静态路由只写移动、电信下一跳，去掉联通；联通只交给 LLB 策略路由处理内网主动访问外网流量。

重要补充坑点

1. LLB 出方向 IPv4 选路策略，只处理首包新建会话；NAT‑Server 服务器回程是应答报文，不触发 LLB 选路，这是 V7 防火墙重要机制，很多人容易踩坑。
2. tracert 出现其他运营商 IP，业务 TCP 服务有可能正常通，但是存在隐患：部分运营商会丢弃来回路径不一致的报文，偶现丢包、访问卡顿。
3. 若业务需要：移动线路故障，访问移动公网 IP 自动切换电信链路对外提供服务，则不能使用 forward‑ingress‑check，也不能用 nat‑server 绑定接口，只能用【方案 2 策略路由】实现故障切换。

负载的优先级高，