双机下 NAT 为什么要同步
防火墙做地址转换时会为每条会话从地址池中分配地址与端口。双机场景下如果两台各自独立分配，切换后新设备分配的端口可能与旧设备仍在使用的端口冲突，表现为端口占用异常与连接被动重建。因此地址池配置必须两台完全一致，部分部署还需要开启地址池或端口分配状态的同步，让切换前后的分配结果保持连续。
基本信息
| 一致性要求 | 两台的地址池、映射与相关策略配置完全相同 |
|---|---|
| 同步内容 | 会话表以及地址池与端口分配状态，视产品能力 |
| 典型问题 | 切换后端口冲突、连接被重置、映射失效 |
| 配置要点 | 确认同步相关开关是否开启，不要假设默认已同步 |
| 验证方式 | 演练后检查会话连续性与端口占用告警 |
| 记录要求 | 地址池规划与同步配置记入配置文档 |
典型使用场景
- 双机上线时确认地址转换相关的同步配置已开启
- 切换演练后验证端口分配是否连续
- 排查切换后连接异常增多的原因
- 地址池扩容时同步更新两台配置
- 更换设备后重建双机时的配置比对
配置与验证要点
配置与验证要点
1. 核对两台地址池与映射配置完全一致 # 一致性
2. 确认地址池与端口同步相关开关按产品要求开启 # 依赖产品能力
3. 检查会话同步状态正常，无持续失败计数 # 同步健康
4. 演练后统计连接重建率与端口冲突告警 # 效果验证
5. 地址池规划与配置变更记入文档并纳入巡检 # 留痕常见问题与成因
| 现象 | 可能成因 |
|---|---|
| 切换后连接大量重建 | 会话同步未正常建立 |
| 端口冲突告警 | 地址池或端口分配状态未同步 |
| 部分映射失效 | 两台映射配置不一致 |
| 新建连接失败 | 地址池余量不足或规格不一致 |
同步是否默认开启、支持到什么粒度取决于产品与版本：配置时逐项确认，不要假设已经同步。
仅把两台配置复制得看起来一样并不够：地址池与端口分配状态若不同步，切换后仍会出现冲突。