看这个需求应该是防火墙vrrp结合nat的组网

必然在两个防火墙上配置同样的nat server,有可能造成mac地址冲突。 nat server的公网地址均响应ARP，这些公网地址响应ARP的MAC地址是接口MAC。相同的公网地址使用的是不同的接口MAC地址，因此出现ARP冲突，时通时不通的现象。

V5防火墙通过在nat配置后面track vrrp解决。缺省情况下，创建vrrp备份组后，会自动生成与之对应的虚拟MAC地址，虚拟IP地址与此虚拟MAC地址对应。如果配置了track vrrp参数，发送的arp就是虚拟MAC地址，不再出现ARP冲突。

而V7防火墙没有track vrrp的功能，无法通过V5的方式解决。在nat配置较少的情况下，可以通过 把NAT公网地址配成virtual-ip 方式规避；NAT公网地址配成virtual-ip后，以虚拟MAC地址响应ARP，问题得以解决。