防火墙旁挂+静态nat 怎么实现nat回流

内网口开启nat hairpin功能

安全策略放行就可以了

思路：路由或者安全策略

tracert 跟踪下路由，看下是否到了防火墙

检查安全策略是否放行trust区域到trust区域或者untrust到trust区域

你遇到的这个问题，根源在于旁挂部署的流量路径与标准的“接口回流”场景不匹配。你开启的 nat hairpin 通常适用于公网IP直接配置在出口接口上的场景，而你的环境是“四段式”路径：内网终端 → 核心交换机 → 防火墙（内网口）→ 核心交换机 → 外网。流量需要进出防火墙两次，简单的 hairpin 无法正确处理这种往返路径。

最直接的解决方法是取消内网接口上的 nat hairpin 配置，转而通过策略路由（PBR）引流，并配合源NAT（NO-PAT） 来修正往返路径。

 配置调整清单

配置完成后，在内网终端 192.168.10.2 上访问 10.1.1.1。同时，在防火墙上执行 display session table ipv4 verbose，观察是否有对应的会话建立。如果会话存在且状态正常，说明配置已生效。

nat hairpin 生效的前提是你得是NAT server 要配置在接口上才能生效。如果是全局得NAT你要配置双向NAT才行。

根因：旁挂组网下，内网终端访问公网映射 IP（10.1.1.1），原始报文不经过防火墙；报文直接在内网交换机二层转发，根本送不到防火墙，接口下nat hairpin enable不会触发转换，所以不生效H3C。 直串模式下 hairpin 才好用；旁挂不能单纯依靠接口 hairpin 回环 NAT。

现象：外网访问 10.1.1.1 正常；内网 192.168.10.2 访问 10.1.1.1，流量不走防火墙，交换机直接把包扔给服务器 192.168.10.1；服务器回包目的 IP 是 192.168.10.2，但源 IP 是真实内网 192.168.10.1，不是公网 10.1.1.1，客户端收到源 IP 不匹配，直接断开连接。

两种可行解决方案（二选一）

方案 1（推荐，路由牵引，改动最小）：内网增加明细路由，强制访问公网映射 IP 的流量上送旁挂防火墙

在内网核心交换机配置静态路由：

效果：内网访问 10.1.1.1/10.1.1.2 的报文，强制转发到防火墙内网接口。

• 防火墙内网接口开启 nat hairpin enable
• 放行 trust‑trust 安全策略；

此时流量会上送到防火墙，hairpin 同时做目的转换（10.1.1.1→192.168.10.1）+ 源 NAT 转换，完成回流。

注意：防火墙必须有回程路由指向内网网段。

方案 2（策略 NAT，不用改核心路由），在防火墙上配置策略 NAT 实现回流

1. 地址对象：

• obj‑pub‑server：10.1.1.1、10.1.1.2（服务器公网映射 IP）
• obj‑lan‑segment：192.168.10.0/24（内网用户网段）

2. 新建策略 NAT： 源：obj‑lan‑segment；目的：obj‑pub‑server；服务：any

• 目的转换：转换成对应真实服务器内网 IP
• 源转换：转换成防火墙内网接口 IP（或地址池）

3. 安全策略放行 trust‑trust，允许该流量。

缺点：前提条件：流量必须到达防火墙，如果交换机直接二层转发报文，策略 NAT 同样不会触发，依然要配合上面的明细路由牵引流量。