¿Qué puedo hacer si falla la conexión entre mis servidores e Internet después de agregar las reglas de SNAT y de DNAT?

Síntomas

Usted compró un Gateway NAT público y agregó las reglas de SNAT y de DNAT, pero sus servidores no pueden acceder a Internet ni proporcionar servicios accesibles desde Internet. Si la red configurada con un Gateway NAT público puede conectarse a Internet depende de la configuración de tabla de ruta, la configuración del grupo de seguridad y la configuración de ACL de red. Si se produce algún problema de configuración, la conexión de red fallará. Esta sección describe el proceso de localización de fallas después de configurar un Gateway NAT público.

Localización de fallas

Las siguientes causas de falla se enumeran en orden descendente de probabilidad de ocurrencia.

Si la falla persiste después de que se descarta una posible causa, baje la lista a las otras posibles causas.

Figura 1 Solución de problemas de desconexión de red

Comprobación de si la ruta predeterminada que apunta al Gateway NAT público está configurada en la tabla de rutas

1. Inicie sesión en la consola de gestión.
2. Haga clic en en la esquina superior izquierda y seleccione la región y el proyecto deseados.
3. Haga clic en Service List en la esquina superior izquierda. En Networking, seleccione Virtual Private Cloud.
4. En el panel de navegación de la izquierda, elija Route Tables.
5. En la lista de tablas de ruta, haga clic en el nombre de la tabla de ruta asociada a la VPC al que pertenece el Gateway NAT público.
6. Compruebe si la ruta predeterminada (0.0.0.0/0) que apunta al Gateway NAT público está en la lista de rutas.
   • Si no, agregue la ruta por defecto que apunta al Gateway NAT público a la tabla de ruta.
     1. Haga clic en Add Route y configure los parámetros requeridos.
        Figura 2 Agregar la ruta
        

        Tabla 2 Descripciones de parámetros

        Parámetro	Descripción
        Destination	El bloque CIDR de destino Póngalo a 0.0.0.0/0.
        Next Hop Type	Póngalo a NAT gateway.
        Next Hop	Establezca el ID del Gateway NAT público que compró.
        Descripción	(Opcional) Información complementaria sobre la ruta Ingrese hasta 255 caracteres. Los corchetes angulares (< o >) no están permitidos.

     2. Haga clic en OK.
   • Si hay una ruta por defecto pero no apunta al Gateway NAT público, agregue una ruta que apunte al Gateway NAT público a la tabla de ruta existente. Alternativamente, cree una tabla de ruta y agregue una ruta predeterminada que apunte al Gateway NAT público a la nueva tabla de ruta.
     • Para agregar una ruta que apunte al Gateway NAT público a la tabla de ruta existente, realice los siguientes pasos:
       1. Haga clic en Add Route y configure los parámetros requeridos.
          Figura 3 Agregar la ruta
          

          Tabla 3 Descripciones de parámetros

          Parámetro	Descripción
          Destination	El bloque CIDR de destino
          Next Hop Type	Póngalo a NAT gateway.
          Next Hop	Establezca el ID del Gateway NAT público que compró.
          Description	(Opcional) Información complementaria sobre la ruta Ingrese hasta 255 caracteres. Los corchetes angulares (< o >) no están permitidos.

       2. Haga clic en OK.
     • Cree una tabla de ruta y agregue una ruta por defecto que apunte al Gateway NAT público.
       

       Para crear una tabla de ruta, haga clic en Increase Quota en el cuadro de diálogo Create Route Table o elija Service Tickets > Create Service Ticket en la esquina superior derecha de la página Route Tables para aumentar primero su cuota de tabla de ruta. Para obtener más información, consulte Creación de un ticket de servicio.

       1. En la esquina superior derecha de la página Route Tables, haga clic en Create Route Table y configure los parámetros requeridos.

          Tabla 4 Descripciones de parámetros

          Parámetro	Descripción	Valor de ejemplo
          Name	(Obligatorio) El nombre de la tabla de ruta Ingrese hasta 64 caracteres. Solo se permiten letras, dígitos, guiones bajos (_), guiones (-) y puntos (.). No se permiten espacios.	rtb-001
          VPC	(Obligatorio) La VPC a la que pertenece la tabla de ruta	vpc-001
          Descripción	(Opcional) Información complementaria sobre la tabla de ruta Ingrese hasta 255 caracteres. Los corchetes angulares (< o >) no están permitidos.	N/A
          Route Settings	Información sobre rutas Puede hacer clic en Add Route para agregar más rutas. Establece Destination en 0.0.0.0/0, Next Hop Type en NAT gateway y Next Hop en el Gateway NAT público que compraste.	N/A

       2. Haga clic en OK.

          Aparece un cuadro de diálogo Information que indica que puede asociar la tabla de ruta a una subred ahora o más tarde.

       3. Haga clic en Associate Subnet.

          Se muestra la ficha Associated Subnets.

       4. Haga clic en Associate Subnet y seleccione la subred que desea asociar.
       5. Haga clic en OK.

Comprobación de si el ECS tiene una EIP vinculada

Si tanto SNAT como EIP están configurados para un ECS,, laEIP se usa preferentemente para el reenvío de datos.

Si tanto DNAT como EIP están configurados para un ECS, el ECS tendrá dos EIP, una que está unida al ECS y otra que está asociada con la regla de DNAT. Los datos entrantes serán reenviados por una de las dos EIP, que es determinada por el usuario del cliente. Los datos salientes serán transmitidos por la EIP vinculada al ECS en prioridad. Si las dos EIP son diferentes, el reenvío de datos fallará.

Si el ECS tiene una EIP vinculada, realice los siguientes pasos para desvincular la EIP .

1. Inicie sesión en la consola de gestión.
2. Haga clic en en la esquina superior izquierda y seleccione la región y el proyecto deseados.
3. En Computing, haga click en Elastic Cloud Server.
4. En la lista, localice el ECS . En la columna IP Address, compruebe si el ECS tiene una EIP vinculada.
   • Si no, compruebe el siguiente elemento.
   • Si es así, desvincúlela.

     Para obtener más información sobre cómo desvincular una EIP de un ECS , consulte la sección Desvinculación de una EIP.

Comprobación de si las reglas del grupo de seguridad permiten el tráfico hacia y desde el puerto de ECS

Comprobación de si las reglas de ACL de red permiten el tráfico dentro y fuera de la subred

Compruebe si la subred de VPC está asociada a las reglas deACL de red. En caso afirmativo, compruebe las reglas deACL de red.

1. Inicie sesión en la consola de gestión.
2. Haga clic en en la esquina superior izquierda y seleccione la región y el proyecto deseados.
3. Haga clic en Service List en la esquina superior izquierda. En Networking, seleccione Virtual Private Cloud.
4. En el panel de navegación de la izquierda, haga clic en Subnets.
5. Compruebe si la subred del gateway de NAT está asociada con una ACL de red.

   El nombre específico de la ACL de red indica que la asociación tiene éxito.

   Figura 4 ACL de red
   
6. Haga clic en el nombre de la ACL de red para ver los detalles.
   Figura 5 Detalles de la ACL de red
   
7. Compruebe si se han agregado las reglas entrantes y salientes que permiten el tráfico dentro y fuera de la subred.

   Si no, agregue dichas reglas entrantes y salientes o disocie la ACL de red de la subred.

   Para obtener más información, consulte las secciones Adición de una regla de ACL de red y Disociación de una subred de una ACL de red.

   

   Las reglas de la ACL de red predeterminadas niegan todos los paquetes entrantes y salientes. Después de deshabilitar la ACL de red, las reglas predeterminadas siguen surtiendo efecto.

Comprobación de si se ha superado el límite de ancho de banda de EIP

Si una EIP está vinculada al Gateway NAT público, se utiliza el ancho de banda para proporcionar el tráfico de acceso entre la red pública y el Gateway NAT público.

Si la red está desconectada, compruebe si el ancho de banda de EIP excede el límite.

Para obtener más información, consulte ¿Cómo sé si se ha superado el límite de ancho de banda de mi EIP?

Para obtener instrucciones sobre cómo aumentar el ancho de banda, consulte Cambio de un ancho de banda de EIP.

Comprobación de si se ha superado el límite de conexión de SNAT para el Gateway NAT público

1. Inicie sesión en la consola de gestión.
2. Haga clic en en la esquina superior izquierda y seleccione la región y el proyecto deseados.
3. Haga clic en Service List en la esquina superior izquierda. En Management & Governance, seleccione Cloud Eye.
4. En el panel de navegación de la izquierda, elija Cloud Service Monitoring > NAT Gateway.
5. Busque la fila que contiene el Gateway NAT público que compró y haga clic en View Metric en la columna Operation para comprobar la supervisión detallada.
   Figura 6 Detalles de la métrica del gateway de NAT
   
6. Compruebe si se ha superado el límite de conexión de SNAT para el Gateway NAT público.
   • Si no, compruebe el siguiente elemento.
   • Si el número de conexiones de SNAT excede el límite superior de las especificaciones del Gateway NAT público, aumente las especificaciones.

     Para obtener más información sobre cómo aumentar las especificaciones del Gateway NAT público, consulte Modificación de un gateway de NAT público.

Comprobar si el estado del Gateway NAT público es normal

1. Inicie sesión en la consola de gestión.
2. Haga clic en en la esquina superior izquierda y seleccione la región y el proyecto deseados.
3. Haga clic en Service List en la esquina superior izquierda. En Networking, seleccione NAT Gateway.
4. En la lista de Gateway NAT público, localice el gateway de NAT y compruebe si su estado es Running.
   • En caso afirmativo, compruebe el siguiente elemento.
   • En caso negativo, las causas posibles son las siguientes:
     • El Gateway NAT público no se renueva a tiempo. Renueve la suscripción. Para obtener detalles sobre cómo renovar la suscripción, consulte Realización de reembolso (clientes directos de pospago).
     • La cuenta o los recursos de su cuenta se congelan porque violó los requisitos de seguridad o las leyes y regulaciones relacionados al usar la plataforma en Huawei Cloud. Si completa la rectificación dentro del período requerido y cumple con los requisitos legales y de seguridad relacionados, su cuenta y recursos pueden ser descongelados. Si no completa la rectificación dentro del plazo requerido, se eliminarán sus recursos.

Comprobación de puertos de ECS

Asegúrese de que los puertos del ECS están en el estado LISTEN. Tabla 5 enumera los estados comunes de TCP.

• Linux

  Ejecute el comando netstat -antp para comprobar si el puerto de ECS está en el estado LISTEN.

  Por ejemplo, ejecute netstat -ntulp |grep 80.

  Figura 7 Comprobación del estado de escucha del puerto
  

  Si no, habilite el puerto de ECS.

• Windows

  Realice las siguientes operaciones para comprobar la comunicación del puerto:

  1. Ejecute cmd.exe.
  2. Ejecute el comando netstat -ano | findstr "PID" para obtener el PID utilizado por el proceso.
     Por ejemplo, ejecute netstat -ano | findstr "80".

     Figura 8 Comprobación del estado de escucha del puerto
     

     Si no, habilite el puerto de ECS.