f5030d防火墙，nat地址能否做优先级？

nat outbound命令用来配置出方向动态地址转换。

undo nat outbound命令用来删除指定的出方向动态地址转换。

【缺省情况】

不存在动态地址转换配置。

【命令】

NO-PAT方式：

nat outbound [ ipv4-acl-number | name ipv4-acl-name ] address-group { group-id | name group-name } [ vpn-instance vpn-instance-name ] no-pat [ reversible ] [ rule rule-name ] [ priority priority ] [ disable ] [ counting ] [ description text ]

undo nat outbound [ ipv4-acl-number | name ipv4-acl-name ]

PAT方式：

nat outbound [ ipv4-acl-number | name ipv4-acl-name ] [ address-group { group-id | name group-name } ] [ vpn-instance vpn-instance-name ] [ port-preserved ] [ rule rule-name ] [ priority priority ] [ disable ] [ counting ] [ description text ]

undo nat outbound [ ipv4-acl-number | name ipv4-acl-name ]

【视图】

接口视图

配置模板—接口视图

【缺省用户角色】

network-admin

mdc-admin

vsys-admin

【参数】

ipv4-acl-number：ACL的编号，取值范围为2000～3999。

name ipv4-acl-name：ACL的名称，为1～63个字符的字符串，不区分大小写，必须以英文字母a～z或A～Z开头。为避免混淆，ACL的名称不允许使用英文单词all。

address-group group-id：指定地址转换使用的地址组。如果不指定该参数，则直接使用该接口的IP地址作为转换后的地址，即实现Easy IP功能。

group-id：地址组的编号，取值范围与设备的型号有关，请以设备的实际情况为准。

group-name：地址组的名称，为1～63个字符的字符串，不区分大小写。

vpn-instance vpn-instance-name：指定地址组中的地址所属的VPN实例。vpn-instance-name表示MPLS L3VPN中的VPN实例名称，为1～31个字符的字符串，区分大小写。请指定已经存在的VPN实例，否则配置不生效。如果未指定本参数，则表示地址组中的地址不属于任何一个VPN实例。

no-pat：表示使用NO-PAT方式进行转换，即转换时不使用报文的端口信息；如果未指定本参数，则表示使用PAT方式进行转换，即转换时使用报文的端口信息。PAT方式仅支持TCP、UDP和ICMP查询报文，由于ICMP报文没有端口的概念，我们将ICMP ID作为ICMP报文的源端口。

reversible：表示允许反向地址转换。即，在内网用户主动向外网发起连接并成功触发建立地址转换表项的情况下，允许外网向该内网用户发起的连接使用已建立的地址转换表项进行目的地址转换。

port-preserved：PAT方式分配端口时尽量不转换端口。port-preserved参数对NAT端口块动态映射无效。

rule rule-name：NAT规则的名称，取值范围为1～63个字符的字符串，区分大小写，不能包括“\”、“/”、“:”、“*”、“?”、“<”、“>”、“|”、“””、和“@”。如果不指定该参数，则表示该规则无名称。

priority priority：NAT规则的匹配优先级，取值范围为0～2147483647，缺省值为4294967295。优先级的数值越小，优先级越高。如果不指定该参数，那么相应的NAT规则在同类NAT规则中，其匹配优先级最低。

disable：表示禁用该地址转换映射。如果不指定该参数，则地址转换映射处于启用状态。

counting：开启NAT转换计数功能，即对每一次首报文地址转换进行计数。

description text：配置出方向动态地址转换的描述信息，text为1～63个字符的字符串，不区分大小写。

【使用指导】

一般情况下，出方向动态地址转换配置在和外部网络连接的接口上，一个接口下可同时配置多条出方向地址转换。动态地址转换有两种转换方式：

·              PAT方式：对于从内网到外网的报文，如果符合ACL permit规则，则使用地址组中的地址或该接口的地址（Easy IP方式）进行源地址转换，同时转换源端口（IP1/port1转换为IP2/port2）；如果同时配置了PAT方式下的地址转换模式为EIM（Endpoint-Independent Mapping），则外网可以通过IP2/port2主动访问内网，NAT设备根据EIM表项转换目的地址和端口（IP2/port2转换为IP1/port1）。

·              NO-PAT方式：对于从内网到外网的报文，如果符合ACL permit规则，则使用地址组中的地址进行源地址转换，不转换源端口（IP1转换为IP2）；如果同时配置了reversible，则允许外网通过IP2主动访问内网，对于此类报文，需要进行ACL反向匹配（提取报文的源地址/端口和目的地址/端口，并将目的地址转换为IP1，然后将源地址/端口和目的地址/端口互换去匹配ACL），只有反向匹配ACL的报文才能进行转换（将目的地址IP2转换为IP1），否则不予转换。NAT444端口块动态映射不支持该方式。

指定出方向和入方向动态地址转换引用的地址组时，需要注意：

·              一个地址组被nat outbound配置引用后，不能再被nat inbound引用。

·              一个地址组被PAT方式的nat outbound配置引用后，不能再被NO-PAT方式的nat outbound配置引用，反之亦然。

·              如果PAT方式的nat outbound所引用的地址组中配置了端口块参数，则将对匹配的报文进行NAT444端口块动态映射。

指定出方向动态地址转换引用的ACL时，需要注意：

·              在一个接口下，一个ACL只能被一个nat outbound引用。

·              配置多条出方向动态地址转换时，只有一个nat outbound可以不引用ACL。

·              不指定ACL编号或名称的情况下，不对转换对象进行限制。

·              对于同一接口下的出方向动态地址转换配置，指定了ACL的配置的优先级高于未指定ACL的配置的优先级；对于指定了ACL的出方向动态地址转换配置，其生效优先级由ACL编号的大小决定，编号越大，优先级越高。

在VPN组网中，配置出方向动态地址转换时需要指定vpn-instance参数，且VPN实例的名称必须与该接口关联的VPN实例一致。

对于引用了ACL的出方向动态地址转换，当NAT规则的匹配优先级相同时，设备将按照ACL名称或ACL编号进行匹配，且ACL名称的优先级高于ACL编号的优先级，具体规则如下：
·              对于ACL名称，设备将根据名称的字符序对NAT规则进行排序，在字符序中的位置越靠前，相应的NAT规则的匹配优先级越高。
·              对于ACL编号，编号越大，优先级越高，设备将优先进行匹配。