F100-M-G2 两条外线，怎么做端口映射

正常做就行,没有啥特殊配置

nat server 配置在B线上

您好，参考

首先确保内外网接口配置正确，并配置两条默认路由（区分优先级，A 外线优先）。

# 配置内网接口

2. 配置策略路由，确保上网流量优先走 A 外线

3. 配置 NAT 服务器，将内部服务器映射到 B 外线

正常配置就行，原进原出配置上

针对F100-M-G2防火墙，配置两条外线（A外线和B外线），上网流量默认优先从A外线出，同时将内部服务器映射到B外线的公网IP上，配置步骤如下：

1. **配置接口与路由**
- 将A外线和B外线分别配置在两个不同的外网接口（如GigabitEthernet1/0/2 和 GigabitEthernet1/0/3），配置各自的公网IP地址。
- 配置默认路由指向A外线网关，确保内网用户上网优先从A外线出：
```
ip route-static 0.0.0.0 0.0.0.0 <A外线网关> preference 60
```
- 可选：为B外线配置策略路由或备份路由，按需使用。

2. **配置服务器端口映射到B外线IP**
在Web界面或CLI中配置**NAT Server（端口映射）**，将B外线的公网IP的指定端口（如8081）映射到内网服务器192.168.1.88的对应端口：
- 外网接口：选择B外线对应的接口
- 外网IP：B外线的公网IP（如202.1.1.100）
- 外网端口：8081
- 内网IP：192.168.1.88
- 内网端口：8081
- 启用规则

3. **配置安全策略**
- 创建安全策略，允许外网（B外线接口区域）访问该服务器的8081端口，动作为“允许”。

4. **确保源地址转换（SNAT）不影响映射**
- 确保B外线接口上的源NAT策略不干扰目的地址为B外线IP的访问流量。
- 可通过配置NAT策略或对象策略，排除目的地址为B外线公网IP的流量不做源NAT。

5. **验证**
- 外网用户通过 `http://<B外线公网IP>:8081` 访问OA服务器。
- 内网用户仍可通过 `192.168.1.88:8081` 正常访问。
- 确认上网流量仍优先走A外线。

> 注：本操作基于F100系列Version 7.1及以上版本，界面与命令可能略有差异，请以实际设备为准。

如需CLI示例，请进一步提供B外线IP、服务器IP及端口等信息。

要实现 H3C F100-M-G2 防火墙双外线的流量区分（上网优先走 A 外线，服务器映射走 B 外线），可通过策略路由 + NAT 服务器的组合配置实现。以下是详细步骤：

一、网络拓扑假设

A 外线：接口GigabitEthernet1/0/1，公网 IP A_Pub，网关 A_GW

B 外线：接口GigabitEthernet1/0/2，公网 IP B_Pub，网关 B_GW

内部服务器：IP 192.168.1.100（位于 Trust 区域，接口GigabitEthernet1/0/3）

需求：内网用户上网优先走 A 外线；外部访问服务器时，流量从 B 外线的B_Pub IP 映射进入。

二、配置步骤

1. 接口与安全区域配置

<F100> system-view

[F100] interface GigabitEthernet1/0/1

[F100-GigabitEthernet1/0/1] ip address A_Pub 255.255.255.0

[F100-GigabitEthernet1/0/1] security-zone name Untrust

[F100-GigabitEthernet1/0/1] quit

[F100] interface GigabitEthernet1/0/2

[F100-GigabitEthernet1/0/2] ip address B_Pub 255.255.255.0

[F100-GigabitEthernet1/0/2] security-zone name Untrust

[F100-GigabitEthernet1/0/2] quit

[F100] interface GigabitEthernet1/0/3

[F100-GigabitEthernet1/0/3] ip address 192.168.1.1 255.255.255.0

[F100-GigabitEthernet1/0/3] security-zone name Trust

[F100-GigabitEthernet1/0/3] quit

2. 静态路由配置（双外线默认路由）

[F100] ip route-static 0.0.0.0 0.0.0.0 A_GW preference 60  // A外线默认路由，优先级更高

[F100] ip route-static 0.0.0.0 0.0.0.0 B_GW preference 80  // B外线默认路由，备用

3. 策略路由：内网流量优先走 A 外线

[F100] acl advanced 3000

[F100-acl-adv-3000] rule 0 permit ip source 192.168.1.0 0.0.0.255 destination any  // 匹配内网所有上网流量

[F100-acl-adv-3000] quit

[F100] policy-based-route PBR_A permit node 10

[F100-pbr-PBR_A-10] if-match acl 3000

[F100-pbr-PBR_A-10] apply next-hop A_GW  // 强制上网流量走A外线网关

[F100-pbr-PBR_A-10] quit

[F100] interface GigabitEthernet1/0/3

[F100-GigabitEthernet1/0/3] ip policy-based-route PBR_A  // 在Trust接口应用策略路由

[F100-GigabitEthernet1/0/3] quit

4. NAT 服务器：将服务器映射到 B 外线

[F100] nat server Server_Map protocol tcp global B_Pub 80 inside 192.168.1.100 80

[F100-nat-server-Server_Map] interface GigabitEthernet1/0/2  // 指定NAT出接口为B外线

[F100-nat-server-Server_Map] quit

5. 安全策略配置

// 允许外部访问服务器映射端口

[F100] security-policy

[F100-policy-security] rule name Allow_Server

[F100-policy-security-rule-Allow_Server] source-zone Untrust

[F100-policy-security-rule-Allow_Server] destination-zone Trust

[F100-policy-security-rule-Allow_Server] destination-address 192.168.1.100 0.0.0.0

[F100-policy-security-rule-Allow_Server] service tcp 80

[F100-policy-security-rule-Allow_Server] action permit

[F100-policy-security-rule-Allow_Server] quit

// 允许内网上网流量

[F100-policy-security] rule name Allow_Internet

[F100-policy-security-rule-Allow_Internet] source-zone Trust

[F100-policy-security-rule-Allow_Internet] destination-zone Untrust

[F100-policy-security-rule-Allow_Internet] action permit

[F100-policy-security-rule-Allow_Internet] quit

三、验证与测试

上网流量验证：内网用户访问外网时，通过display ip routing-table或防火墙会话表（display session table）确认流量下一跳为A_GW。

服务器映射验证：外部设备访问B_Pub:80，通过防火墙日志或会话表确认流量从G1/0/2进入并转发到192.168.1.100:80。

四、注意事项

若 A 外线故障，策略路由会自动失效，流量将按静态路由优先级切换到 B 外线（需确保 B 外线能正常上网）。

若服务器需映射多个端口，可重复配置nat server命令，或使用端口范围（如global B_Pub 80-8080）。

安全策略需根据实际业务端口调整，避免开放不必要的服务。

通过以上配置，即可实现 “上网优先走 A 外线，服务器映射走 B 外线” 的需求。