老化时间的两难
NAT 会话在设备上是有生命周期的：空闲超过老化时间就被删除，映射端口随之释放给新连接复用。这个参数一短一长都有代价——设得太短，长连接业务会被定期打断；设得太长，空闲会话长期占用端口资源，高并发场景下可用端口被无效占用，新连接反而建不起来。
基本信息
| 适用平台 | 华为 USG、H3C SecPath、深信服 AF 等提供 NAT 的设备 |
|---|---|
| 典型默认 | TCP 通常以小时计，UDP 明显更短，具体以设备实际值为准 |
| 敏感业务 | 数据库长连接、视频监控、IoT 心跳、推送通道 |
| 调整原则 | 按协议分类调整，并同步观察会话数与内存占用 |
典型使用场景
- 业务规律性闪断：闪断间隔与老化时间高度吻合，是首要怀疑对象
- 端口资源紧张：高并发出口上缩短无用会话的老化时间以释放端口
- 长连接保障：对特定业务延长老化或启用长连接处理
- UDP 类业务：音视频与实时类流量对 UDP 老化时间更敏感，需单独核对
- 容量评估：调整前后对比会话数与端口使用率，避免只看单项指标
观察方法
观察方法
# 查询指定源地址的会话，反复刷新观察是否按周期消失重建
display firewall session table source 192.168.10.20
# 记录观察前后的会话总数与地址池端口使用率，用于评估调整效果
# 调整前先记录原值，便于出问题时快速回退现象对照
| 现象 | 可能原因 | 验证方式 |
|---|---|---|
| 固定间隔闪断 | 老化时间小于业务心跳间隔 | 对比闪断周期与老化时间 |
| 新连接建不起来 | 空闲会话占满端口资源 | 查端口使用率与空闲会话占比 |
| UDP 业务体验差 | UDP 老化时间偏短 | 核对 UDP 类会话的老化配置 |
| 调整后无改善 | 业务侧心跳或中间链路另有问题 | 两端抓包确认断开责任方 |
出现「业务按固定间隔闪断」时，先对比闪断周期与设备老化时间是否吻合，这是成本最低的一次判断。