NAT 会话数为什么要盯
NAT 会话表记录每一条被转换的连接，条目数有硬上限。被 P2P、爬虫、扫描占满后，新连接建不起来——典型现象是已有连接还活着、网页打不开、出口丢包。正确的处理顺序是：先量化（当前会话数与增长趋势）、再治理（限源、限制单主机并发）、最后才考虑容量与上限参数。
基本信息
| 适用设备 | 三厂路由器/防火墙（华为 VRP / H3C Comware / 思科 IOS） |
|---|---|
| 华为命令 | display nat session all、display nat statistics（视版本） |
| 思科命令 | show ip nat statistics、ip nat translation max-entries N |
| H3C 命令 | display nat session all、display nat session count |
| 关键认知 | NAT 表容量是硬规格，先看数字再谈治理 |
| 典型症状 | 新连接失败、老连接正常、出口业务时通时不通 |
典型使用场景
- 出口异常时定量确认：当前会话数是否接近上限
- 大促或保电前评估并发连接余量
- 发现某台内网主机占用异常多的会话，定位到具体终端
- P2P、下载类应用拖慢全网时取证并做限制
- 设备选型：把并发会话数与新建速率作为比价指标
华为 VRP
华为 VRP
display nat session all verbose
! 输出量大，务必加过滤：display nat session all | include 192.168.1
display nat statistics # 部分版本可看会话总数与资源占用
display nat session all | include 10.1.1.66 # 定位单主机占用情况思科 IOS
思科 IOS
show ip nat statistics
show ip nat translations | include 192.168.1
ip nat translation max-entries 20000 # 全局条目上限
ip nat translation max-entries host 200 # 单主机上限（部分版本支持）
show ip nat statistics | include entries # 观察条目数与上限的比值H3C Comware
H3C Comware
display nat session count
display nat session all | include 192.168.1
display nat statistics # 视版本提供会话相关统计
display memory | include NAT # 观察 NAT 相关资源占用三厂命令对照
| 用途 | 华为 VRP | H3C Comware | 思科 IOS |
|---|---|---|---|
| 查看会话明细 | display nat session all | display nat session all | show ip nat translations |
| 查看总量 | display nat statistics（视版本） | display nat session count | show ip nat statistics |
| 全局上限 | 以平台规格为主，部分型号提供资源限制 | 以平台规格为主，部分型号提供资源限制 | ip nat translation max-entries N |
| 单主机上限 | 通过策略或资源限制实现（视平台） | 通过策略或资源限制实现（视平台） | ip nat translation max-entries host N（部分版本） |
查看会话一定要加过滤条件（按源地址或目的端口 include），否则整表输出可能刷屏数分钟；分析问题时先按内网主机聚合，才能看出是谁在占用资源。
调小 max-entries 等于给全网并发连接设闸：先明确当前峰值并留足余量再动，改完立即观察新建连接失败率与业务反馈。