SecPath F100-A-SI NAT映射不生效

  排查思路

防火墙映射不通问题定位思路：

1.   首先确定OA服务器、路由没有问题，可通过内网PC去ping防火墙的内网口G1/0/4和外网口G1/0/1地址以及公网的IP地址（例如：114.114.114.114）或者域名（www.baidu.com）是否能通

2.       内网PC（192.168.1.100）通过服务器的私网地址（192.168.1.88）能否访问需要被映射的服务

3.       检查下外网口映射的配置是否正确

interface GigabitEthernet1/0/1

ip add 202.1.1.100 255.255.255.248

nat server protocol tcp global 202.1.1.100 8081 inside 192.168.1.88 8081

4.       检查下域间策略是否放通，测试的时候建议全部放通，暂时先不关联源目的地址和端口测试，如果能正常在加上这些参数测试

防火墙有三种不通的安全策略配置方法，确认防火墙设备使用哪种策略，参考对应策略

security-zone name Untrust

import interface GigabitEthernet 1/0/1

security-zone name Trust

import interface GigabitEthernet 1/0/4

包过滤策略配置：

acl advanced 3000

 rule 0 permit ip

zone-pair security source Untrust destination Trust

packet-filter 3000

对象策略配置：

object-policy ip OA服务器  

rule 0 pass

zone-pair security source Untrust destination Trust

object-policy apply ip OA服务器

安全策略配置:

security-policy ip

 rule 0 name 1

  action pass

  source-zone Untrust

  destination-zone Trust

5.       在防火墙上加外网口源地址去ping内网服务器的地址是否可以正常通

  ping -a 202.1.1.100  192.168.1.88

  如果不通，在内网口添加一个nat outbound测试看下是否正常

  interface GigabitEthernet 1/0/4

   nat  outbound

6.   防火墙有多出口，并且有多条默认路由，可以在外网口增加一条保存上一跳功能

  interface GigabitEthernet1/0/1

     ip last-hop hold

7.       该防火墙多出口如果配置了策略路由，那么看下策略路由的ACL中是否匹配了该服务器地址或者ACL规则里的网段是否包含了该服务器地址

8.   该防火墙多出口并且配置了出方向的负载均衡，确认下是否放通了映射的地址

例如：目的地址是202.1.1.100的公网地址和目的地址是192.168.1.88服务器的地址，直接放通，不让他匹配负载均衡策略直接匹配路由走

acl advanced 3501

 rule  permit ip destination 202.1.1.100  0

 rule  permit ip destination 192.168.1.88  0

loadbalance class ying type link-generic

 match 1 acl 3501

loadbalance action she type link-generic

 forward all

loadbalance policy yingshe type link-generic

 class ying action she

#

virtual-server lb type link-ip

 virtual ip address 0.0.0.0 0

     lb-policy yingshe