配置步骤

你配置的这个是安全策略，还需要配置一个端口映射配置

1.2  配置需求及实现的效果

防火墙部署在互联网出口，内网有一台OA服务器192.168.1.88通过防火墙发布了8081端口到外网，内网用户使用192.168.1.88加端口号8081可以正常访问服务器，目前需要实现外用用户通过公网地址202.1.1.100加端口号8081访问OA服务器。

2 组网图

3 配置步骤

3.1  配置内部服务器映射（端口映射）

#在外网口填写运营商提供的公网地址，掩码，配置映射，映射端口8081，服务器地址192.168.1.88

system-view

[H3C] interface GigabitEthernet1/0/1

[H3C-GigabitEthernet1/0/1]ip add 202.1.1.100 255.255.255.248

[H3C-GigabitEthernet1/0/1]nat server protocol tcp global 202.1.1.100 8081 inside 192.168.1.88 8081

[H3C-GigabitEthernet1/0/1] quit

3.2  配置安全策略（域间策略）

      #创建地址对象组，地址对象组名称为OA服务器

[H3C]object-group ip address OA服务器

[H3C-obj-grp-ip-OA服务器]network host address 192.168.1.88

[H3C-obj-grp-ip-OA服务器]quit

#创建服务对象组，服务对象组名称为8081端口，目的端口8081

[H3C]object-group service 8081端口

[H3C-obj-grp-service-8081端口]service tcp destination eq 8081

[H3C-obj-grp-service-8081端口]quit

#创建IPv4对象策略，策略名称为0A服务器

[H3C]object-policy ip OA服务器

[H3C-object-policy-ip-OA服务器]rule 0 pass destination-ip 0A服务器 service 8081端口

#创建安全策略，源安全域为Untrust目的安全域为Trust，放通外网访问OA服务器的8081端口

[H3C]zone-pair security source Untrust destination Trust

[H3C-zone-pair-security-Untrust-Trust]object-policy apply ip OA服务器

[H3C-zone-pair-security-Untrust-Trust]quit

3.3  保存配置

[H3C]save force

参考配置举例：

https://www.h3c.com/cn/d_202304/1833208_30005_0.htm

另外如果是80、443、8080

是需要到工信部备案的

策略--NAT---nat内部服务器

1. 先确认基础网络配置

• 防火墙 ** 外网口（通常是 GE0/0/1 或对应 Untrust 域接口）** 已配置固定公网 IP，并能正常访问互联网。
• 内网服务器（192.168.200.150）网关指向防火墙内网口（Trust 域接口），确保内网互通。
• 确认服务器需要开放的端口（如 80/443/3389 等）。

2. 配置 NAT Server（端口映射）

Web 界面操作步骤：

1. 进入 网络 → NAT → 静态 NAT / NAT Server
2. 点击「新建」，选择 NAT Server
3. 配置关键参数：
   • 接口：选择连接外网的接口（如 GE0/0/1）
   • 协议：根据业务选择（TCP/UDP/ICMP，通常选 TCP）
   • 外部端口：外网访问时使用的端口（可与内网端口一致，如 80）
   • 内部 IP：内网服务器 IP（192.168.200.150）
   • 内部端口：服务器实际监听的端口（如 80、3389）
   • 公网 IP：防火墙外网口的固定公网 IP（若接口已配置，可直接选择「接口 IP」）

命令行配置示例（以映射 3389 端口为例）：

3. 配置安全策略放通流量

1. 进入 策略 → 安全策略，找到名为 server 的策略（或新建）
2. 确保以下配置：
   • 源安全域：Untrust（外网）
   • 目的安全域：Trust（内网）
   • 源 IP：Any（或限制特定外网 IP）
   • 目的 IP：服务器（已包含 192.168.200.150）
   • 服务：选择你映射的端口（如 3389、HTTP 等，若没有则新建服务）
   • 动作：允许
3. 保存配置，确保策略已启用。

4. 验证与测试

1. 防火墙侧验证：
   bash

   运行

   display nat server # 查看 NAT Server 配置是否生效 display firewall session table # 查看会话是否建立
2. 外网测试：
   在外网设备上访问 公网IP:映射端口，若能正常连接则映射成功。
3. 排障：
   • 若无法访问，检查 NAT Server 配置是否正确、安全策略是否放通、服务器端口是否监听、路由是否可达。
   • 确认运营商未封禁对应端口（如 80/443 可能需要备案）。

直接命令行 nat-server 打问号看看参数一直配置就行 放通untrust-trust

一般叫NAT服务器，但大部分防火墙里面没有这个，可以用上面的那种方式来做