Snat Pool使用不同网段地址注意事项

最近碰到一个case：客户VS采用了Snat pool，在使用过程中，发现Snat Pool的地址不足够，客户希望增加一个不同网段的地址到Snat pool，客户咨询这种方式是否可行？

根据： https://support.f5.com/csp/article/K7820，有以下描述：

Important: When using a SNAT pool with IP addresses from the egress VLAN (the VLAN for which the packet exits in the BIG-IP system) and non-egress VLAN networks, the egress VLAN network address is given higher priority. For example, egress VLAN external has a self IP of 172.16.0.254/24, and SNAT pool member addresses of 172.16.0.1/24 and 10.1.1.1/24. The BIG-IP system prefers the egress VLAN SNAT pool member address 172.16.0.1 and continues to use the same address until it becomes unavailable.

Snat pool是可以采用不同网段地址，但与数据包出口相同vlan的IP会优先采用，只有当这些IP地址变成“unavailable”时，会采用其他网段的地址。为了明确“unavailable”具体所指，查询了案例库，其中有一个case指出snat pool中“unavailable”为“connection of limitation”，即IP的连接数达到了设置的最大值。

为了验证此问题，做了以下验证：

一、测试版本

F5 LTM: BIG-IP 15.1.0.3 Build 0.0.12 Point Release 3

Client IP: 10.1.10.1/24

VS: 10.1.10.30:80

Pool Member: 10.1.20.11:80

Snat ip: 10.1.20.100、10.1.30.100

Server: 10.1.20.11/24

二、测试过程

a)       配置相应的VS和pool，同时VS中采用snat pool，snat pool的成员为10.1.20.100和10.1.30.100，snat IP 10.1.20.100设置connection limit为2。

b)       访问验证：http://10.1.10.30，业务正常，tcpdump抓包可以看到10.1.30.100已被选用

查看/var/log/ltm日志：

Nov 28 13:03:52 waf warning tmm[12172]: 01200016:4: Warning, node IP 10.1.20.100 has reached its connection limit.

Nov 28 13:03:53 waf warning tmm[12172]: 01200016:4: Warning, node IP 10.1.20.100 has reached its connection limit.

Nov 28 13:03:53 waf warning tmm1[12172]: 01200016:4: Warning, node IP 10.1.20.100 has reached its connection limit.

Nov 28 13:03:53 waf warning tmm[12172]: 01200016:4: Warning, node IP 10.1.20.100 has reached its connection limit

有10.1.20.100连接满的告警。

三测试结论

从以上的测试情况看：当snat pool采用了其他网段的地址时，可以把出口网段的snat ip的connection limit设置一定的值，当连接数达到此值后，此ip地址会变成unavailable的状态，则其他网段的地址会被采用。