AFT没转换问题

您好，参考

1. 现象：CR16010 真机 AFT 业务通、但无 AFT 会话表；HCL 同配置正常；删 AFT 配置 ping 即断，流量已到设备；PBR 未命中被测源 IP，IPv6 接口有 QoS，全网 OSPF。
2. 根因：硬件芯片完成 AFT 报文转换，业务正常，但会话表仅存在转发芯片，不上送 CPU，因此命令行查不到会话，属于真机硬件转发与模拟器软件转发差异，大概率是硬件 AFT 使能或者版本问题。
3. 排查动作： ①查看硬件 AFT 能力；关闭硬件 AFT，强制软件转发，看是否能出现会话表； ②复核接口 AFT 使能配置； ③临时移除 IPv6 接口 QoS 做对比； ④核对设备版本，存在对应版本 bug 则升级。
4. PBR、OSPF 路由可排除为故障点。

能ping通转换后的IPv6地址（2012::1），但display aft session查不到会话，这个现象确实有点反常。结合你的环境（CR16010、有QoS和PBR配置），问题很可能出在AFT会话的生成或显示条件上，而不在AFT转发本身。

我整理了一份排查思路，你可以按顺序检查一下：

🔍 排查步骤

第一步：确认AFT会话查看命令是否正确

• 命令完整性：核心命令是 display aft session ipv4 [ verbose ] 和 display aft session ipv6 [ verbose ]。直接执行 display aft session 可能不会显示所有会话，请务必指定协议族。

• 指定源地址：使用 display aft session ipv4 source-ip 20.1.1.1来精确过滤，看是否有相关会话。

• 检查所有板卡：在CR16010这样的分布式设备上，会话表可能分布在不同的板卡上。请尝试 display aft session ipv4 chassis chassis-number slot slot-number 来查看所有板卡的会话。

第二步：检查设备资源与状态

• 内存状态：使用 display memory-threshold 检查设备内存是否充足。内存不足可能导致会话表无法正常创建。

• 会话统计功能：执行 display session statistics，确认会话统计功能是否开启。

第三步：核查AFT配置细节

• 接口使能：确认处理IPv4流量的入接口和出接口都配置了 aft enable。

• IPv6前缀长度：这是一个常见错误点。请检查你的 aft prefix-nat64 配置。

  • 如果访问地址是 2012::1，而你的前缀是 2012::/64，那么转换后的地址应该是 2012::1:0:0:0:0 或类似形式。请确认你的前缀长度与IPv6地址结构匹配，通常建议使用96位前缀。

• 策略匹配：确认 aft v4tov6 source 引用的ACL正确匹配了源地址 20.1.1.1，且ACL规则配置无误。

• 静态映射：如果是静态 aft v4tov6 source 20.1.1.1 2012::1，确保指定的IPv6地址不与设备接口地址冲突。

第四步：检查影响流量的其它配置

• PBR（策略路由）：你提到的PBR可能将流量引向其他路径，导致AFT未处理。请检查PBR的匹配规则和动作。

• QoS限速：检查IPv6接口下的QoS配置，确认它没有丢弃或错误地处理AFT转换后的报文。

• 路由与转发：确认IPv4和IPv6的路由表（OSPF）正确，保证往返报文能经过AFT设备。

⚠️ 特别注意

• ICMP与会话：Ping使用的是ICMP协议，其会话是临时性的，老化时间很短（ICMP-REQUEST约60秒，ICMP-REPLY约30秒）。如果ping完之后没有立即查看，会话可能已经老化被删除，这是最常见的原因。

• 会话日志：可以开启AFT会话日志功能，通过日志确认会话是否真的被创建和删除