Cómo resolver el error ‘NAT port is exhausted’ en Fortinet al usar puertos NAT constantemente

El presente artículo aborda un problema común que enfrentan los dispositivos FortiGate: el agotamiento de los puertos NAT. Este problema es importante porque puede afectar la conectividad y el rendimiento de la red al limitar la capacidad de manejar nuevas sesiones. El artículo proporcionará un diagnóstico del problema, así como soluciones recomendadas para mitigar su impacto.

Descripción del problema

Cuando un FortiGate se queda sin puertos NAT disponibles, los nuevos intentos de creación de sesiones son rechazados. Esto no solo afecta la capacidad de la red, sino que también genera una gran cantidad de registros que el sistema debe procesar, complicando aún más la situación.

Alcance

Este artículo es relevante para dispositivos FortiGate que utilizan NAT para el manejo de sesiones en entornos donde se producen múltiples conexiones concurrentes.

Diagnóstico paso a paso

Para comprender mejor el problema, consideremos un escenario típico en el que un FortiGate tiene un solo IP SNAT, lo que le permite crear hasta 60,418 sesiones.

1. Una vez alcanzado el límite de 60,418 sesiones, cualquier nueva sesión será denegada debido al agotamiento del puerto NAT. Esto provocará un aumento en el valor del ‘clash’.

2. El sistema escribirá registros limitados a 10 líneas cada 7 a 8 segundos para evitar la sobrecarga.

El siguiente ejemplo de registro muestra únicamente una línea para mayor claridad.

Solución recomendada

Para gestionar el problema de agotamiento de puertos NAT, se recomienda revisar la configuración de NAT y evaluar la posibilidad de aumentar el número de direcciones IP disponibles para NAT. Esto se puede lograr al agregar IPs adicionales o ajustar la configuración de las sesiones concurrentes permitidas.

Comandos CLI utilizados

Algunos comandos útiles para el diagnóstico y resolución del problema son:

• show system session: Muestra el número actual de sesiones activas y el uso de puertos NAT.
• get session: Proporciona información detallada sobre las sesiones activas y posibles conflictos.
• diag firewall iprope list: Muestra el estado de la tabla de NAT y las escalas de las sesiones.

Buenas prácticas y recomendaciones

Para evitar el agotamiento de puertos NAT en el futuro, considere implementar las siguientes buenas prácticas:

• Revise y optimice regularmente la configuración de NAT.
• Monitoree el uso de sesiones y ajuste las políticas de firewall según sea necesario.
• Considere la posibilidad de habilitar la sincronización HA para mantener la disponibilidad de las sesiones en la red.

Notas adicionales

Es fundamental mantenerse actualizado con las últimas versiones de firmware de FortiGate, ya que pueden incluir mejoras en la gestión de NAT y el rendimiento general del dispositivo.