nat static问题

正常是出接口。 

nat static enable命令应该在数据包首次到达的接口上启用。对于最常见的“外网访问内网服务器”场景，就是在防火墙的外网接口（入方向）​ 上配置。
下面为您详细解释原理和配置方法。
核心原则：在数据包进入防火墙的接口上启用
华三防火墙的NAT处理遵循这样一个流程：接口收到数据包 → 查找NAT策略 → 执行地址转换 → 安全策略检查 → 路由转发。
因此，nat static enable需要配置在数据包首先到达的那个接口，这样防火墙才能在后续的安全策略处理前，正确识别并转换地址。
两种常见场景的配置位置
场景一：外网访问内网服务器（最常见）
数据流向：互联网用户 → 防火墙外网口 → 内网服务器
配置位置：外网接口（入方向）
# 假设GigabitEthernet1/0/1是外网接口
interface GigabitEthernet1/0/1
nat static enable # 在这里启用！

# 配置静态NAT映射
nat static outbound 192.168.1.100 202.96.128.10
为什么？​ 当外网用户访问202.96.128.10时，数据包首先到达外网接口。在此接口启用nat static enable，防火墙才能将目的IP 202.96.128.10转换为192.168.1.100，然后根据转换后的目的IP（内网地址）进行安全策略检查和路由。
场景二：内网服务器主动访问外网（出方向）
数据流向：内网服务器 → 防火墙内网口 → 互联网
配置位置：内网接口（入方向）
# 假设GigabitEthernet1/0/2是内网接口
interface GigabitEthernet1/0/2
nat static enable # 在这里启用！
为什么？​ 当内网服务器192.168.1.100主动访问外网时，数据包首先到达内网接口。在此接口启用，防火墙才能将源IP 192.168.1.100转换为202.96.128.10。
配置示例：外网访问内网Web服务器
假设您的网络结构如下：
内网服务器：192.168.1.100(真实IP)
公网IP：202.96.128.10(映射IP)
防火墙外网口：GigabitEthernet1/0/1(IP: 202.96.128.1)
防火墙内网口：GigabitEthernet1/0/2(IP: 192.168.1.1)
完整配置如下：
# 1. 在外网接口启用静态NAT
interface GigabitEthernet1/0/1
ip address 202.96.128.1 255.255.255.0
nat static enable # 关键配置！

# 2. 配置静态NAT映射规则
nat static outbound 192.168.1.100 202.96.128.10

# 3. 配置安全策略允许访问
security-policy ip
rule name permit_web
source-zone untrust
destination-zone trust
destination-ip host 192.168.1.100 # 注意：目的地址是转换后的内网地址！
service http
action pass
重要注意事项和验证方法
双向转换：静态NAT是双向的。一条nat static outbound规则同时实现了：
入方向：外网访问公网IP → 转换为内网IP
出方向：内网服务器访问外网 → 源地址转换为公网IP
安全策略配置要点：
规则中的目的地址要写内网真实IP（192.168.1.100），而不是公网IP
因为安全策略检查发生在NAT转换之后
验证命令：
# 查看静态NAT配置
display nat static

# 查看NAT会话（在外网访问时查看）
display nat session

# 查看接口NAT状态
display nat interface
如果配置错误：
配在内网接口而不是外网接口 → 外网访问不通（数据包在外网口未被转换，安全策略拒绝）
完全没配 nat static enable→ 双向都不通
两个接口都配 → 可以工作，但没必要
总结
场景
数据包方向
nat static enable位置
原因
外网访问内网服务器​
入方向
外网接口​
数据包首先到达外网口，需在此转换目的地址
内网服务器访问外网​
出方向
内网接口​
数据包首先到达内网口，需在此转换源地址
双向访问都需要​
双向
两个接口都配（或根据主要流量方向配一处）
确保两个方向的流量都能被正确转换
最简记忆法：nat static enable就像一道“转换门”，装在数据包进来时的第一个门口。
对于您的情况，如果是想让外网用户访问内网服务器，就在外网接口配置。配置完成后，保存配置并测试访问即可。

防火墙的 `nat static enable` 命令是在出接口上配置并开启的。