SecPath U200-S NAT需要映射一个IP的端口段

可以参考以下配置进行测试看看：

服务器的IP地址为192.168.1.2，需要把TCP80到443以及UDP100到200端口映射到外网。让外网能够通过100.0.0.1的外部IP访问内网服务器。防火墙1口加入untrust区域，2口加入trust区域。防火墙1口连接外网IP为100.0.0.1，2号口连接内网IP为192.168.1.1。

命令行配置步骤

1. 接口配置IP地址（省略）

2. 创建ACL访问控制列表，匹配目的端口为TCP80到443和UDP100到200的数据流

   !@H3C@!sys

[H3C]acl number 3333

[H3C-acl-adv-3333]rule 0 permit tcp destination-port range 80 443

[H3C-acl-adv-3333]rule 5 permit udp destination-port range 100 200

[H3C-acl-adv-3333]quit

1. 在连接外网的1号接口配置映射引用之前创建的ACL

[H3C]int g0/1

[H3C-GigabitEthernet0/1]nat server protocol tcp global 3333 inside 192.168.1.2

[H3C-GigabitEthernet0/1]nat server protocol udp global 3333 inside 192.168.1.2

[H3C-GigabitEthernet0/1]quit

1. 创建服务集名称为tcp80to443和udp100to200，定义TCP80到443端口和UDP100到200端口

[H3C]object service tcp80to443

[H3C-obj-service-tcp80to443]service tcp destination-port 80 443

[H3C-obj-service-tcp80to443]quit

[H3C]object service udp100to200

[H3C-obj-service-udp100to200]service udp destination-port 100 200

[H3C-obj-service-udp100to200]quit

1. 创建网络主机名称为servera，定义服务器的IP地址

[H3C]object network host servera

[H3C-object-network-servera]host address 192.168.1.2

[H3C-object-network-servera]quit

1. 配置untrust去往trust区域的安全策略，放通访问映射的流量，引用之前创建的服务集和网络主机

[H3C]interzone source untrust destination trust

[H3C-interzone-untrust-trust]rule 0 permit

[H3C-interzone-untrust-trust-rule-0]service tcp80to443

[H3C-interzone-untrust-trust-rule-0]service udp100to200

[H3C-interzone-untrust-trust-rule-0]source-ip any_address

[H3C-interzone-untrust-trust-rule-0]destination-ip servera

[H3C-interzone-untrust-trust-rule-0]rule enable