MSR3610 winet 电信和联通双线出口，如何实现两个公网ip都能访问路由器。

多出口网络NAT Server 来回路径不一致问题解决方法 不知各位童鞋有没有碰到过这样一个问题：网络中有多个出口，每个出口都映射了同一个内部服务器，结果发现无法从公网访问。本文提供了一个在H3C V7路由器上的解决方法。 示例拓扑 如图所示，RT2上为双出口，一个联通，一个电信，在内网要开放一台telnet服务器，公网中的RT3、RT4设备分别位于联通和电信的网络中，客户要求，当RT3通过RT2的GE1/0。 接口访问RT1的时候，从RT1发给RT3的报文也必须通过RT2的GE1/0接口回去，同理，RT4通过RT2的GE2/0接口访问内部RT1的时候，RT1回复给RT4的报文，也必须通过RT2的GE2/0接口回去。 首先分析一下多出口网络的路由，有以下两种情况 1、使用缺省路由 两条缺省路由负载分担 & 两条缺省路由一主一备 2、使用BGP协议，引入运营商明细路由 然后分析一下流量路径： 访问4.4.4.2时，natsession记录的入接口为GE1/0，服务器回应报文到达RT2，此时如果RT2上使用的是负载分担的缺省路由，则会随机选择一个出接口将报文发出，无法保证出接口一定是GE1/0，亦即无法匹配上nat session。如果RT2上使用的是主备模式的缺省路由，则解决了访问4.4.4.2的问题就会导致访问3.3.3.2失败。如果使用BGP协议，引入运营商明细路由，对于联通用户访问4.4.4.2、电信用户访问3.3.3.2是正常的，但是电信用户访问4.4.4.2、联通用户访问3.3.3.2会失败。 这样一分析，似乎并没有两全其美的解决方法？从路由的角度去看当然是一个无解的问题，但是咱们可以换一个思路去思考，所谓解铃还需系铃人，咱们就从nat身上想想办法。 H3C v7路由器提供了一个natinbound的功能，它可以转换入方向流量的源地址。 配置命令如下： 在G1/0上配置nat inbound [H3C] acl advanced 3000 [H3C-ipv4-acl-adv-3000] rule permit ipdestination 4.4.4.2 destination-port eq 23 [H3C]nat address-group 1 [H3C-address-group-1]address 4.4.4.2544.4.4.254 [H3C-address-group-1]quit [H3C]interface GigabitEthernet 1/0 [H3C-GigabitEthernet0/1]nat inbound 3000address-group 1 在GE2/0接口上配置natinbound [H3C] acl advanced 3001 [H3C-ipv4-acl-adv-3001] rule permit ipdestination 3.3.3.2 destination-port eq 23 [H3C]nat address-group 2 [H3C-address-group-2]address 3.3.3.2543.3.3.254 [H3C-address-group-2]quit [H3C]interface GigabitEthernet 2/0 [H3C-GigabitEthernet0/1]nat inbound 3001address-group 2 其中4.4.4.254和3.3.3.254为ISP提供的网关地址。 配置完成以后分别在电信和联通telnet 4.4.4.2和3.3.3.2测试，皆能正常登录。 再次分析流量路径： 联通用户访问4.4.4.2，RT2进行nat server和nat inbound转换，转换后的源地址为4.4.4.254、目的地址为5.5.5.2。RT1回包经过RT2时，根据4.4.4.254查找路由表，发现为直连路由，直接从GE1/0发出，此时可匹配到nat session，将源地址转换为4.4.4.2，目的地址转换为电信用户IP。 其它情形流量原理一致，不再赘述，有兴趣的童鞋可以逐一分析。 参考这篇文章解决了！ 估计是这问题太简单，高手都不屑出手。

原文在这里https://zhiliao.h3c.com/Theme/details/5419

最新版的固件已经有了ip last-hop hold这条命令了，升级后已解决此问题。