问题：防火墙的策略 NAT 如何实现接口 NAT 的 nat‑hairpin 的功能呢

需求：使用策略 NAT（全局 NAT 策略）实现内网 PC 用服务器公网映射 IP 访问内网服务器，等价于接口 NAT 下nat hairpin enable回流效果H3C。

核心背景

1. nat hairpin（NAT 回流）是接口 NAT的特性：在内网接口开启后，内网主机访问服务器公网 IP 时，报文在内网接口同时做源 NAT + 目的 NAT：目的 IP 从公网 IP 转成服务器真实内网 IP；源 IP 从内网 PC 地址转换成外网 NAT 地址池地址，解决回程路由问题知了社区。
2. 策略 NAT 优先级高于接口 NAT，一旦启用策略 NAT，接口下的nat hairpin enable不会生效，不能直接复用接口的 hairpin 能力，必须用双向 NAT（源 + 目的同时转换）模拟回流效果H3C。

组网举例

• 内网 PC：192.168.1.10，安全域 Trust
• 内网服务器真实地址：192.168.2.20
• 服务器对外公网映射 IP：203.0.113.10
• 源转换地址池：203.0.113.100‑203.0.113.110
• 流量：Trust 域内网 PC 访问 203.0.113.10 → 访问内网服务器

策略 NAT 实现 Hairpin（双向 NAT）配置思路

报文路径：内网 PC (192.168.1.10) → 访问公网 IP203.0.113.10 → 防火墙策略 NAT 同时执行：

1. 目的地址转换：目的203.0.113.10 → 服务器真实内网192.168.2.20（等价 nat‑server 目的转换）
2. 源地址转换：源192.168.1.10 → NAT 地址池公网地址（模拟 hairpin 的源转换，避免服务器回包直接回内网 PC，不走防火墙）知了社区

⚠️注意：

• 不能仅配置 NAT 内部服务器（目的转换），缺少源转换，服务器收到报文源还是 PC 内网地址，回包直接二层回给 PC，不经过防火墙，会话断裂不通。这就是 hairpin 要解决的根本问题。
• 策略 NAT 规则匹配条件：源安全域 Trust，目的安全域 Trust；源地址 = 内网 PC 网段；目的地址 = 服务器公网 IP，动作选择源 + 目的同时转换。

关键配置步骤（命令行视角，V7 版本防火墙）

1. 定义对象：内网主机对象、服务器公网 IP 对象、服务器真实内网对象、NAT 地址组

2. 配置策略 NAT 双向 NAT 规则（源域 Trust，目的域 Trust，同域 NAT）

重点：源域、目的域都是 Trust（内网到内网）；同时配置source‑nat和destination‑nat，实现双向转换，等价 hairpin 的双转换行为。

3. 原有外网访问服务器的 NAT 内部服务器保留（外网 Untrust 访问公网 IP 映射内网服务器）

4. 放行安全策略

• Trust‑>Trust：允许内网 PC 访问服务器流量；
• Untrust‑>Trust：允许外网访问服务器映射。

5. 路由检查 防火墙要有服务器真实内网网段路由；NAT 转换后的源地址池，需要保证回程报文送回防火墙。

Web 界面配置要点（策略‑策略 NAT‑新建 NAT44 规则）

1. 源安全域：Trust；目的安全域：Trust（同域，非常关键）
2. 源地址对象：内网 PC 网段
3. 目的地址对象：服务器对外公网 IP
4. 转换类型：同时开启源地址转换、目的地址转换
   • 源 NAT：选择 NAT 地址组（PAT）
   • 目的 NAT：静态转换，填入服务器真实内网 IP
5. 安全策略放行 Trust→Trust 对应流量。

两种方案对比

表格

常见排错点

1. 只配置目的 NAT，没有源 NAT：服务器回包直接回客户端，绕过防火墙，会话不通。
2. 策略 NAT 规则的目的安全域写成 Untrust：同域回流流量不会命中这条规则。
3. 安全策略没有放行 Trust‑Trust 之间流量。
4. NAT 地址组路由缺失，服务器无法把回包送到防火墙。
5. 同时混用接口 NAT + 策略 NAT：策略 NAT 优先级更高，接口 hairpin 完全失效H3C。