Cisco 2600 NAT 如何减轻CPU负载？

 

cookiexu：
某校园组建100台电脑用于校园网吧使用。
TOPO：
Internet(10M光纤)------>(Fa1/0)Cisco 2620(Fa0/0)------->Dlink交换机------->100台主机
路由:Cisco 2620
IOS:c2600-i-mz.123-22.bin
闪存:8M
内存:32M
故障现象：100台同时上网后C2620会出现CPU过载，CPU频率在90以上。严重时导致路由死机。
C2620当前配置：
Building configuration...
Current configuration : 1141 bytes
!
version 12.3
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname XXXX_C2620
!
boot-start-marker
boot-end-marker
!
enable secret 5 $1$yPyO$EHKhZzLyRjRHfD.unFyIa.
!
no aaa new-model
ip subnet-zero
ip cef
!
!
no ip domain lookup
!
no ip bootp server
!
!
!
!
!
interface FastEthernet0/0
description Internat
ip address 192.168.100.254 255.255.255.0
ip nat inside
duplex auto
speed auto
!
interface FastEthernet1/0
description Internet
ip address 1.1.1.2 255.255.255.248
no ip unreachables
ip nat outside
duplex auto
speed auto
!
ip nat inside source list 1 interface FastEthernet1/0 overload
no ip http server
ip classless
ip route 0.0.0.0 0.0.0.0 1.1.1.1
!
!
!access-list 1 permit 192.168.100.0 0.0.0.255
no cdp run
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
IP NAT Translation 默认时长:
timeout is 86400 seconds (24 hours)
udp-timeout is 300 seconds (5 minutes)
dns-timeout is 60 seconds (1 minute)
tcp-timeout is 86400 seconds (24 hours)
finrst-timeout is 60 seconds (1 minute)
Q1：请问ip nat translation 的时长应该怎么设置，主要是不大明白100台主机都要玩网络游戏,那至少要保证不会掉线的话。以上IP NAT Translation 时长应该做如何调整？
Q2：因为这台C2620的闪存只有8M，内存只有32M。然后IOS:c2600-i-mz.123-22.bin已经是它所能运行的最高版本了,不知道是不是IOS版本不稳定还是怎样。所以想请教达人有比较稳定的版本推荐么,前提是这台C2620所能支持的？
Q3：哪位达人可以推荐些防范典型网络病毒的ACL配置表么？

zhycisco
网络攻击与路由器的NAT功能

首先看下2600路由器：（一下以6509为列）
CAT6509#sh ip nat statistics
Total active translations: 18404 (0 static, 18404 dynamic; 18372 extended)
Outside interfaces:
Vlan3, Vlan5
Inside interfaces:
Vlan10, Vlan12, Vlan103, Vlan108, Vlan109, Vlan165, Vlan166
Hits: 979206714 Misses: 9323076
Expired translations: 10650887
Dynamic mappings:
-- Inside Source
access-list 1 pool teachers refcount 9269
pool teachers: netmask 255.255.255.224
start 210.83.X.X end 210.83.X.X
type generic, total addresses 28, allocated 28 (100%), misses 34659
access-list 2 pool students refcount 9135
pool students: netmask 255.255.255.240
start 210.83.X.X end 210.83.X.X
type generic, total addresses 13, allocated 13 (100%), misses 194892
NAT表里的连接数已经达到1万8千多条！这基本是CPU处理能力的极限（还要看数据包的流量）。
那么如何解决这个问题?
需要使用下面的一系列命令:
CAT6509(conf)#ip nat translation max-entries 12000
把NAT表里的连接数限制到12000条，防止达到处理能力的极限，造成全瘫。

CAT6509(conf)#ip nat translation icmp-timeout 10
ICMP连接的空闲时限是60秒，现在把它设为10秒，这样可以使空闲10秒的ICMP连接被及时清除出NAT表，防止NAT表里的连接数被“虚占其位”的ICMP空闲连接搞得迅速增长，耗尽CPU资源。

CAT6509(conf)#ip nat translation udp-timeout 20
UDP连接的空闲时限是300秒，现在把它设为20秒，原因同前面一样。

CAT6509(conf)#ip nat translation syn-timeout 15
设置发出TCP连接请求数据包后，等待握手应答的空闲时间，缺省是60秒，现在设为15秒。由于“红色代码”病毒是以一种漫无目的方式发起TCP连接，许多目的地址是不存在的，或是没有运行IIS系统，所以根本没有应答。设置发出TCP连接请求数据包后，等待握手应答的空闲时间为15秒，可以使空闲15秒的TCP发起连接被及时清除出NAT表。

CAT6509(conf)#ip nat translation tcp-timeout 300
设置当TCP连接经过三次握手建立起来后，连接没有数据流的空闲时限，缺省为24小时，现在设为5分钟，这样可以使空闲300秒的TCP连接被及时清除出NAT表，同样防止NAT表里的连接数被“虚占其位”的TCP空闲连接搞得迅速增长，耗尽CPU资源。
NAT的参数你可以自己调整，调试适合的参数来做现实网络环境的出口。看看CPU是不是很过高。

你的这台2600路由器，cpu利用率高，你得观察是那一项进程在耗cpu的资源。有可能是硬件坏，也有可能是链路上的存在问题，还有可能是局域网内存在病毒等。
2600#show proc cpu
……
至于acl防范病毒的配置，你可以去搜搜，很多。但是cpu利用率这么高的话，得少用acl。静态的路由最好也不要指向接口，用IP地址，做下一跳。
如果CPU一直很高的话，建议跟换设备调试下。不行的话，估计得换设备了，2600毕竟已经是历史的产物了。

cookiexu：
因为这台100台类似于网吧型的应用。所以将IP NAT Translation时长做如下调整
ip nat translation timeout 3600
ip nat translation tcp-timeout 1800
ip nat translation udp-timeout 150
ip nat translation finrst-timeout 30
ip nat translation syn-timeout 30
ip nat translation dns-timeout 30
ip nat translation icmp-timeout 30
ip nat translation max-entries 15000

这样合理么？会导致一些网络游戏出现掉线或者卡死等状况么？
这样路由器会瘫么？

zhycisco：
ip nat translation max-entries 15000 一般的路由器的这一项控制在12000就行了。如果是网吧，采用的是光纤接入，转换成FastEthernet 接入内网，一般的包转发率是可以承受的。
看下你的show interafce
show porc cpu