问

h3c-F1050防火墙内外网网络没有问题nat server 失败请教各位大侠谢谢。配置如下：

2025-06-16提问

0关注
0收藏，334浏览

zhiliao_bf7hau

zhiliao_bf7hau 零段

粉丝：0人关注：0人

问题描述：

version 7.1.064, Release 9360P28

sysname SW2

context Admin id 1

telnet server enable

irf mac-address persistent timer

irf auto-update enable

irf auto-merge enable

undo irf link-delay

irf member 2 priority 5

irf member 2 description FW-B

rip 199

network 10.0.0.0

network 192.0.0.0 0.255.255.255

password-recovery enable

vlan 1

irf-port 2/2

port group interface GigabitEthernet2/0/14

port group interface GigabitEthernet2/0/15

controller Cellular2/0/0

controller Cellular2/0/1

interface NULL0

interface GigabitEthernet2/0/0

port link-mode route

interface GigabitEthernet2/0/1

port link-mode route

interface GigabitEthernet2/0/2

port link-mode route

ip address 10.175.90.199 255.255.255.0

nat server global current-interface inside 192.168.1.5 rule ServerRule_1 counting

interface GigabitEthernet2/0/3

port link-mode route

interface GigabitEthernet2/0/4

port link-mode route

interface GigabitEthernet2/0/5

port link-mode route

interface GigabitEthernet2/0/6

port link-mode route

interface GigabitEthernet2/0/7

port link-mode route

interface GigabitEthernet2/0/8

port link-mode route

interface GigabitEthernet2/0/9

port link-mode route

interface GigabitEthernet2/0/10

port link-mode route

interface GigabitEthernet2/0/11

port link-mode route

ip address 192.168.1.199 255.255.255.0

interface GigabitEthernet2/0/12

port link-mode route

interface GigabitEthernet2/0/13

port link-mode route

interface GigabitEthernet2/0/16

port link-mode route

interface GigabitEthernet2/0/17

port link-mode route

interface GigabitEthernet2/0/18

port link-mode route

interface GigabitEthernet2/0/19

port link-mode route

interface GigabitEthernet2/0/20

port link-mode route

interface GigabitEthernet2/0/21

port link-mode route

interface GigabitEthernet2/0/22

port link-mode route

interface GigabitEthernet2/0/23

port link-mode route

interface GigabitEthernet2/0/14

interface GigabitEthernet2/0/15

security-zone name Local

security-zone name Trust

import interface GigabitEthernet2/0/11

security-zone name DMZ

security-zone name Untrust

import interface GigabitEthernet2/0/2

security-zone name Management

scheduler logfile size 16

line class aux

user-role network-operator

line class console

user-role network-admin

line class vty

user-role network-operator

line aux 1

user-role network-operator

line con 1

user-role network-admin

line vty 0 4

authentication-mode scheme

user-role level-15

user-role network-operator

line vty 5 63

user-role network-operator

ip route-static 0.0.0.0 0 10.175.90.199

ip route-static 192.0.0.0 8 192.168.1.199

performance-management

ssh server enable

acl basic 2000

rule 5 permit source 192.168.1.5 0

rule 100 deny

domain system

domain default enable system

role name level-0

description Predefined level-0 role

role name level-1

description Predefined level-1 role

role name level-2

description Predefined level-2 role

role name level-3

description Predefined level-3 role

role name level-4

description Predefined level-4 role

role name level-5

description Predefined level-5 role

role name level-6

description Predefined level-6 role

role name level-7

description Predefined level-7 role

role name level-8

description Predefined level-8 role

role name level-9

description Predefined level-9 role

role name level-10

description Predefined level-10 role

role name level-11

description Predefined level-11 role

role name level-12

description Predefined level-12 role

role name level-13

description Predefined level-13 role

role name level-14

description Predefined level-14 role

user-group system

local-user admin class manage

password hash $h$6$t7oIl7Y1CieVzlwY$bJQg2b4bpW4mV0c4rXEJODPvU/L8APA9oFI0uZORxtNsQ+uNOm4UONJ87XUifyjbItrn2o/8enl8K6RYbtDmhw==

service-type ssh telnet http https

authorization-attribute user-role level-15

authorization-attribute user-role network-operator

ip https port 8088

ip https enable

security-policy ip

rule 10 name permit-all

action pass

counting enable

source-zone Local

source-zone Trust

source-zone Untrust

destination-zone Local

destination-zone Trust

destination-zone Untrust

return

查看nat信息：[SW2]dis nat sess ver

Slot 2:

Initiator:

Source IP/port: 10.175.90.198/3771

Destination IP/port: 10.175.90.199/443

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet2/0/2

Source security zone: Untrust

Responder:

Source IP/port: 192.168.1.5/443

Destination IP/port: 10.175.90.198/3771

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet2/0/11

Source security zone: Trust

State: TCP_SYN_SENT

Application: HTTPS

Rule ID: 10

Rule name: permit-all

Start time: 2025-06-16 10:37:36 TTL: 28s

Initiator->Responder: 0 packets 0 bytes

Responder->Initiator: 0 packets 0 bytes

Initiator:

Source IP/port: 10.175.90.198/3

Destination IP/port: 10.175.90.199/2048

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: ICMP(1)

Inbound interface: GigabitEthernet2/0/2

Source security zone: Untrust

Responder:

Source IP/port: 192.168.1.5/3

Destination IP/port: 10.175.90.198/0

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: ICMP(1)

Inbound interface: GigabitEthernet2/0/11

Source security zone: Trust

State: ICMP_REQUEST

Application: ICMP

Rule ID: 10

Rule name: permit-all

Start time: 2025-06-16 10:27:30 TTL: 55s

Initiator->Responder: 0 packets 0 bytes

Responder->Initiator: 0 packets 0 bytes

为什么还是无法连接：192.168.1.5

组网及组网描述：

查看nat信息：[SW2]dis nat sess ver

Slot 2:

Initiator:

Source IP/port: 10.175.90.198/3771

Destination IP/port: 10.175.90.199/443

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet2/0/2

Source security zone: Untrust

Responder:

Source IP/port: 192.168.1.5/443

Destination IP/port: 10.175.90.198/3771

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: TCP(6)

Inbound interface: GigabitEthernet2/0/11

Source security zone: Trust

State: TCP_SYN_SENT

Application: HTTPS

Rule ID: 10

Rule name: permit-all

Start time: 2025-06-16 10:37:36 TTL: 28s

Initiator->Responder: 0 packets 0 bytes

Responder->Initiator: 0 packets 0 bytes

Initiator:

Source IP/port: 10.175.90.198/3

Destination IP/port: 10.175.90.199/2048

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: ICMP(1)

Inbound interface: GigabitEthernet2/0/2

Source security zone: Untrust

Responder:

Source IP/port: 192.168.1.5/3

Destination IP/port: 10.175.90.198/0

DS-Lite tunnel peer: -

VPN instance/VLAN ID/Inline ID: -/-/-

Protocol: ICMP(1)

Inbound interface: GigabitEthernet2/0/11

Source security zone: Trust

State: ICMP_REQUEST

Application: ICMP

Rule ID: 10

Rule name: permit-all

Start time: 2025-06-16 10:27:30 TTL: 55s

Initiator->Responder: 0 packets 0 bytes

Responder->Initiator: 0 packets 0 bytes

为什么还是无法连接：192.168.1.5

最佳答案

zhiliao_sEUyB

zhiliao_sEUyB 九段

粉丝：100人关注：9人

H3C F1050防火墙的NAT Server配置失败可能由以下原因导致：

一、配置冲突或错误

公网端口/协议冲突
- 问题：同一接口下多个NAT Server规则使用了相同的 协议类型+外网IP+外网端口 组合。
- 表现：日志提示 The NAT server with Easy IP is invalid because its global settings conflict...（日志等级4）。
- 解决：
  - 执行 display nat all 检查 "NAT internal server information"。
  - 修改冲突的配置，确保每个NAT Server的 协议、外网地址、端口 组合唯一。

二、安全策略未放行

未配置入站安全策略
- 问题：外网访问NAT Server的流量被安全策略拦截。
- 解决：
  - 创建安全策略放行 Untrust→Trust/DMZ域 的流量：源安全域: Untrust 目的安全域: Trust/DMZ 源IP: 外网终端地址（或any）目的IP: 内网服务器真实地址（非映射地址）动作: 允许

三、硬件或资源限制

业务板硬件问题
- 问题：业务板硬件资源不足或不支持NAT功能。
- 表现：日志提示以下错误之一：
  - NAT service is not supported on this service card
  - the hardware resources are not enough
  - unknown error
- 解决：
  - 检查业务板是否支持NAT功能。
  - 通过 display device 查看硬件状态，排除故障。

四、链路负载均衡冲突

虚服务全局匹配干扰
- 问题：若同时配置了链路负载均衡（如 virtual-server 匹配全0地址），外网流量可能被错误转发至负载均衡链路。
- 案例：某局点因虚服务配置 virtual ip address 0.0.0.0 0 导致NAT Server失效。
- 解决：
  - 删除干扰的负载均衡配置，或为NAT Server单独创建链路组：loadbalance link-group lg-server // 新建链路组 virtual-server vs-server type link-ip virtual ip address <服务器公网IP> // 精确匹配NAT Server地址 default link-group lg-server

五、安全域配置遗漏

三层接口未加入安全域
- 问题：在透明模式部署中，物理接口已加入安全域，但对应的VLAN虚接口未加入安全域。
- 表现：外网流量抵达三层接口后被丢弃，日志提示 dropped by ASPF for nonexistent zone pair。
- 解决：
  - 将虚接口加入安全域（如Untrust/DMZ）：security-zone name Untrust import interface Vlan-interface<ID> // 例如Vlan-interface3994

六、会话无响应

服务器未回应流量
- 排查：
  - 执行 display session table ipv4 source-ip <外网IP> verbose 检查会话状态。
  - 若会话存在但无响应（如 State: TCP_SYN_SENT），需检查：
    - 内网服务器端口是否正常监听。
    - 服务器防火墙是否放行流量。
    - 内网路由是否可达。

七、接口NAT功能未启用

NAT Server被禁用
- 检查：
  - 执行 display nat server 确认配置状态为 "Active"。
  - 若显示 "Inactive"，检查日志提示的原因（如ACL无效、接口IP失效）。

快速排查步骤

检查日志：
- 搜索关键字 NAT_SERVICE_CARD_RECOVER_FAILURE 或 NAT_SERVER_INVALID 定位故障。
验证配置：
- 执行 display nat server 检查冲突和状态。
- 执行 display security-policy rule all 确认安全策略放行。
测试连通性：
- 从防火墙Ping内网服务器，验证基础路由。
逐步排除：
- 临时关闭链路负载均衡/其他高级功能，验证NAT Server是否恢复。

⚠️ 若上述步骤无效，收集以下信息联系技术支持：
配置文件
display nat all / display session table 输出
日志及告警信息 (display logbuffer)。

暂无评论

2 个回答

按时间按赞数

zhiliao_v6hOyc

zhiliao_v6hOyc 九段

粉丝：32人关注：1人

你从防火墙telnet一下内部服务器这个端口看看通不通

报文已经到了防火墙,策略也都是放通的

暂无评论

zhiliao_bf7hau

zhiliao_bf7hau 知了小白

粉丝：0人关注：0人

重新配置nat server 为10.175.90.200 换是不行，ping telnet https10.175.90.199 正常
查看longbuffer日志没有其它不正常告警信息
查看输出信息：
[SW2-security-policy-ip]dis nat all
NAT internal server information:
Totally 1 internal servers.
Interface: GigabitEthernet2/0/2
Protocol: 0(IPv4)
Global IP/port: 10.175.90.200/0
Local IP/port : 192.168.1.5/0
Rule name : ServerRule_1
NAT counting : 1
Config status : Active

NAT logging:
Log enable : Disabled
Flow-begin : Disabled
Flow-end : Disabled
Flow-active : Disabled
Port-block-assign : Disabled
Port-block-withdraw : Disabled
Alarm : Disabled
NO-PAT IP usage : Disabled

NAT mapping behavior:
Mapping mode : Address and Port-Dependent
ACL : ---
Config status: Active

NAT ALG:
DNS : Enabled
FTP : Enabled
H323 : Disabled
ICMP-ERROR : Enabled
ILS : Disabled
MGCP : Disabled
NBT : Disabled
PPTP : Enabled
RTSP : Enabled
RSH : Disabled
SCCP : Disabled
SCTP : Disabled
SIP : Disabled
SQLNET : Disabled
TFTP : Disabled
XDMCP : Disabled

Static NAT load balancing: Disabled

NAT link-switch recreate-session: Disabled

NAT configuration-for-new-connection: Disabled

NAT global-policy compatible-previous-version rule-type ipv4-snat-and-dnat translate-before-secp : Disabled

[SW2]dis nat session brief
Slot 2:
Total sessions found: 0
[SW2]dis nat session verbose
Slot 2:
Total sessions found: 0
[SW2]dis nat session verbose
Slot 2:
Initiator:
Source IP/port: 10.175.90.198/4262
Destination IP/port: 10.175.90.200/23
DS-Lite tunnel peer: -
VPN instance/VLAN ID/Inline ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet2/0/2
Source security zone: Untrust
Responder:
Source IP/port: 192.168.1.5/23
Destination IP/port: 10.175.90.198/4262
DS-Lite tunnel peer: -
VPN instance/VLAN ID/Inline ID: -/-/-
Protocol: TCP(6)
Inbound interface: GigabitEthernet2/0/11
Source security zone: Trust
State: TCP_SYN_SENT
Application: TELNET
Rule ID: 10
Rule name: permit-all
Start time: 2025-06-16 15:52:08 TTL: 28s
Initiator->Responder: 0 packets 0 bytes
Responder->Initiator: 0 packets 0 bytes

Total sessions found: 1

暂无评论

编辑答案

分享扩散:

➤

网站相关: 关于我们; 服务条款; 隐私政策; 帮助中心; 经验与权限; 积分规则

联系我们: 联系我们; 建议反馈

常用链接: 标杆的神器下载

关注我们: H3C官网; 新华三服务公众号; 安仔远程运维服务; 新华三商城

内容许可: 除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1 浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定

✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

侵犯我的权益 >

对根叔社区有害的内容 >

辱骂、歧视、挑衅等（不友善）

侵犯我的权益

泄露了我的隐私 >

侵犯了我企业的权益 >

抄袭了我的内容 >

诽谤我 >

辱骂、歧视、挑衅等（不友善）

骚扰我

泄露了我的隐私

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。

1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
3. 是哪家企业？（营业执照，单位登记证明等证件）
4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

原文链接或出处

诽谤我

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

垃圾广告信息

色情、暴力、血腥等违反法律法规的内容

政治敏感

不规范转载 >

辱骂、歧视、挑衅等（不友善）

骚扰我

诱导投票

不规范转载

举报说明

产品线		搜索取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式	默认策略匹配全词匹配整句

h3c-F1050防火墙内外网网络没有问题nat server 失败请教各位大侠谢谢。配置如下：

问题描述：

组网及组网描述：

一、配置冲突或错误

二、安全策略未放行

三、硬件或资源限制

四、链路负载均衡冲突

五、安全域配置遗漏

六、会话无响应

七、接口NAT功能未启用

快速排查步骤

编辑答案

提出建议