FW F-100-S-G5
- 0关注
- 0收藏，101浏览
NAT‑server 只是做目的地址转换；V7 防火墙必须同时满足：接口加入安全域、安全策略放行、内网服务器回程路由正确，三者缺一不可。抓包看到报文到达防火墙，只能证明外网报文送到设备，不代表可以完成 NAT 转换 + 转发。
1、核对接口所属安全域（最高概率）
display security‑zone
- GE3（WAN 口）必须加入 Untrust 安全域
- GE11（接交换机服务器）必须加入 Trust 安全域
新设备接口默认不属于任何安全域，报文直接丢弃，即使 NAT 配置正确也不通H3C。
system‑view
security‑zone name Untrust
import interface GigabitEthernet 1/0/3
security‑zone name Trust
import interface GigabitEthernet 1/0/11
2、安全策略放行：Untrust → Trust 访问服务器
⚠️NAT 转换是先转换目的地址为服务器私网 192.168.0.250，再做安全策略检查；策略目的地址填写服务器内网 IP，不要填公网 IP。
security‑policy
rule name Allow‑Server‑4001
source‑zone untrust
destination‑zone trust
destination‑address host 192.168.0.250
service tcp‑4001
action permit
需要自定义 tcp‑4001 服务对象，TCP 端口 4001。 不要只配置 NAT 服务器，不配置安全策略，V7 默认全部跨域报文拒绝。
3、检查 nat‑server 内部服务器配置
WAN 接口 GE3 下配置 nat‑server，两种写法，用接口公网 IP 做映射 (Easy‑IP)：
interface GigabitEthernet 1/0/3
nat server protocol tcp global current‑interface 4001 inside 192.168.0.250 4001
核查：
display nat server
display nat session table
外网访问的时候，看是否生成 NAT 会话表项。抓包看到报文到防火墙，但没有生成 nat session，说明没有匹配到 nat‑server 规则。
4、服务器回程路由（非常容易忽略）
服务器 192.168.0.250，网关必须填写防火墙 GE11 接口 IP 地址。
服务器收到外网访问报文，回复包如果网关错误，应答报文不回防火墙，外网连接直接失败。 内网 telnet 测试是同网段，不需要网关，所以内网访问正常，外网映射失败。
✅确认：登录服务器，查看默认网关 = 防火墙 trust 侧接口 IP。
5、现场快速排查命令
#1.看nat‑server规则是否生效
display nat server
#2.外网访问时，看是否生成会话
display nat session table verbose
#3.看安全策略命中计数，确认策略是否被匹配
display security‑policy hit‑count
#4.查看报文丢弃统计，看是什么原因丢包
display system internal ip packet‑drop statistics
6、其他干扰点
- 运营商侧封锁 4001 端口：更换公网对外端口，例如 50001，测试排除运营商拦截。
- 服务器本机防火墙，检查 192.168.0.250 本机防火墙，放行 4001 入站 TCP。
- ASPF/ALG：4001 普通 TCP 业务不需要 ALG，保持默认。
最简排错执行顺序
- GE3 加入 Untrust、GE11 加入 Trust 安全域；
- 配置安全策略 untrust‑>trust，目的地址 192.168.0.250，TCP4001 允许；
- WAN 口配置 nat‑server 内部服务器映射；
- 服务器默认网关指向防火墙 GE11 接口 IP；
- 外网测试，观察
display nat session table是否建立会话。
现象区分：内网访问服务器正常，外网映射不通，90% 场景为【接口未加入安全域】、【缺少 untrust‑>trust 安全策略】、【服务器回程网关错误】三类问题。
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论