防火墙RBM的NAT问题

在RBM三层主备与VRRP联动的场景中，**并不强制要求使用address-group**来关联VRRP组。是否使用address-group取决于具体的NAT配置需求。

如果出口公网地址只有一个接口地址（如2.1.1.5），且仅需将该接口地址用于NAT转换，可直接在NAT配置中引用该接口地址或配置一个单地址的address-group。例如：

```bash
nat address-group 1
address 2.1.1.5 2.1.1.5
```

或将接口地址直接用于NAT Server或Easy IP等场景。

但需要注意：
- 若使用`nat server`或动态NAT，推荐通过`address-group`方式明确指定公网地址范围，便于与RBM状态联动。
- 在RBM主备切换场景中，VRRP负责虚拟IP（如2.1.1.3）的漂移，而NAT地址池（如2.1.1.4、2.1.1.5）需确保在主备设备上配置一致，并通过RBM同步状态，避免切换时NAT会话异常。

因此，**若公网地址仅为接口上的单个IP，可配置address-group包含该地址（如2.1.1.5 2.1.1.5），也可根据实际NAT方式灵活处理，但建议统一使用address-group以保证RBM切换时的NAT一致性**。