h3c SecPath F1000-AK125

1.   首先确定服务器、路由没有问题，可通过内网PC去ping防火墙的内网口和外网口地址以及公网的IP地址（例如：114.114.114.114）或者域名（www.baidu.com）是否能通

2.       内网PC通过服务器的私网地址能否访问需要被映射的服务

3.       检查下外网口映射的配置是否正确

interface GigabitEthernet1/0/1

ip add 202.1.1.100 255.255.255.248

nat server protocol tcp global 202.1.1.100 8081 inside 192.168.1.88 8081

4.       检查下域间策略是否放通，测试的时候建议全部放通，暂时先不关联源目的地址和端口测试，如果能正常在加上这些参数测试

防火墙有三种不通的安全策略配置方法，确认防火墙设备使用哪种策略，参考对应策略

security-zone name Untrust

import interface GigabitEthernet 1/0/1

security-zone name Trust

import interface GigabitEthernet 1/0/4

包过滤策略配置：

acl advanced 3000

 rule 0 permit ip

zone-pair security source Untrust destination Trust

packet-filter 3000

对象策略配置：

object-policy ip OA服务器  

rule 0 pass

zone-pair security source Untrust destination Trust

object-policy apply ip OA服务器

安全策略配置:

security-policy ip

 rule 0 name 1

  action pass

  source-zone Untrust

  destination-zone Trust

5.       在防火墙上加外网口源地址去ping内网服务器的地址是否可以正常通

  ping -a 202.1.1.100  192.168.1.88

  如果不通，在内网口添加一个nat outbound测试看下是否正常

  interface GigabitEthernet 1/0/4

   nat  outbound

6.   防火墙有多出口的话，并且有多条默认路由，可以在外网口增加一条保存上一跳功能

  interface GigabitEthernet1/0/1

     ip last-hop hold

7.       该防火墙多出口如果配置了策略路由，那么看下策略路由的ACL中是否匹配了该服务器地址或者ACL规则里的网段是否包含了该服务器地址