H3C ER2200G3 NAT配置没有转发数据

映射的端口可能被运营商限制

参考手册检查配置  01-端口映射典型配置举例

可以升级一下路由器版本 首页支持文档与软件软件下载Aolynk产品MiniER系列路由器H3C ER2200G3 路由器

一、最常见：外网端口和路由器自身端口冲突（必查）

• 你映射外网 80/443/8080 → 路由器优先拦截访问自己，不转发内网，表现就是 “端口被限制”。
  ✅ 解决：
• 把外网端口改成 10000–65000 高位，例如：
  • 外网 10080 → 内网 80
  • 外网 10443 → 内网 443
• 测试：外网访问 公网IP:10080

二、确认 NAT 配置本身（简单但容易漏）

1. 条目已勾选启用
2. WAN 口绑定正确（你实际上网的那个 WAN，不是 LAN）
3. 内网 IP / 端口完全正确（协议 TCP/UDP 别选错）
4. 不要填 “仅内网访问”

三、内网服务器默认网关必须是路由器 LAN 口 IP（关键）

• 内网服务器网关必须指向 ER2200G3 的 LAN 口 IP（如 192.168.1.1）。
• 网关错 → 回包不经过路由器 → NAT 会话断 → 外网 “被限制”。
  ✅ 检查：

• 默认网关必须是路由器 LAN IP，不能是其他设备。

四、路由器默认安全规则拦截（新机器默认开）

• 只配 NAT 映射，没放行 WAN→内网，流量被路由器防火墙直接丢弃。
  ✅ 放行（Web 界面）：

1. 高级设置 → 安全设置 → 访问控制 → WAN 口入站规则
2. 添加规则：
   • 动作：允许
   • 协议：TCP（或你的协议）
   • 源地址：任意
   • 目的地址：内网服务器 IP
   • 目的端口：你的内网端口（如 80）
3. 启用规则，保存。

五、运营商 / 公网 IP 问题（容易忽略）

1. 确认是真实公网 IP，不是运营商 CGNAT（10/100/172/192 开头的是私网，外网无法访问）。
2. 联系运营商：
   • 开通公网 IP
   • 确认未封禁你的映射端口（如 80/443 常被封）

六、快速验证命令（Web 内置命令行）

• 无会话：NAT 配置 / WAN 口 / 公网 IP 问题
• 有会话但无回包：内网网关 / 服务器监听问题

七、最简正确配置示例（直接照填）

• 公网 IP：113.XX.XX.XX
• 内网服务器：192.168.1.100:80（TCP）
• 路由器 LAN：192.168.1.1

1. 虚拟服务器（NAT）：
   • 启用：是
   • WAN 口：选实际 WAN
   • 协议：TCP
   • 外网端口：10080
   • 内网 IP：192.168.1.100
   • 内网端口：80
2. WAN 入站放行规则：
   • 允许 TCP 任意 → 192.168.1.100:80
3. 内网服务器网关：192.168.1.1

总结（按顺序做）

1. 外网端口改高位（避开 80/443/8080）
2. 确认 NAT 条目启用、WAN 绑定正确
3. 内网服务器网关指向路由器 LAN
4. WAN 口入站放行内网端口
5. 确认是真实公网 IP

1. 端口被运营商封锁（可能性：高）

• 现象：你映射的端口可能被运营商屏蔽了。

• 解释：部分运营商（如电信、联通）会主动封锁高危端口（如 135, 139, 445）或常见服务端口（如 80, 8080），主要是为了防范安全风险。

• 快速验证：

  1. 换个端口号：将你的服务端口（例如原本是80）换成一个不常见的5位数端口，比如50080或60080，然后重新映射。

  2. 外部测试：用手机4G/5G网络访问http://你的公网IP:新端口，看能否成功。

• 更准确的方法：

  1. 在线端口扫描：访问站长工具这类网站，输入你的公网IP和映射的端口号，它会从外部探测该端口是否开放。

 2. 路由器Web管理端口冲突（可能性：高）

• 现象：你的端口映射规则与你路由器的远程Web管理端口发生了冲突。

• 解释：这是一个常见的陷阱。ER2200G3默认的Web管理端口是80，如果你在配置端口映射时，外网端口也填了80，或者启用了“远程Web管理”功能，两者就会冲突。路由器会优先处理到达自身的流量，导致映射到内网服务器的规则失效。

• 解决方法：

  1. 登录路由器，找到“设备管理”或“系统管理”，检查“远程Web管理”是否开启。

  2. 如果开启，且其端口与你映射的外网端口冲突，请修改远程Web管理的端口（例如改为8089），或直接关闭远程Web管理。

 3. NAT ALG功能导致（可能性：中）

• 现象：映射配置正确，但服务访问依然失败。

• 解释：某些应用层协议（如FTP）需要NAT ALG（应用层网关）功能才能正确转换。如果此功能被关闭，可能导致访问失败。

• 解决方法：登录路由器，在“NAT配置” -> “高级配置” -> “NAT ALG”中，确保你需要的服务（如FTP）处于开启状态。

 4. UPnP功能冲突（可能性：中）

• 现象：手动配置的端口映射规则似乎“失效”了。

• 解释：路由器通常默认开启UPnP（即插即用）功能，允许内网设备自动添加端口映射规则。如果自动生成的规则与你的手动规则冲突，或者占用了你期望的端口，就会导致“失效”的假象。

• 解决方法：暂时关闭UPnP功能。通常在“高级功能”或“网络设置”菜单下，保存设置并重启路由器后，再测试手动映射的规则。

 5. 公网IP是“假公网IP”（可能性：中）

• 现象：所有配置都检查过，但外部依然无法访问。

• 解释：你需要确认路由器WAN口获得的IP地址是真正的公网IP，而不是运营商NAT后的内网IP（即CGNAT）。

• 判断方法：

  1. 登录路由器，在“系统状态”或“网络接口”中查看WAN口的IP地址，例如：100.64.x.x、10.x.x.x、172.16.x.x。

  2. 访问ip.sb这类网站，查看页面显示的IP。

  3. 如果这两个IP不一致，那么你的宽带就是内网IP，端口映射会失效。

• 解决策略：如果是假公网IP，唯一的办法就是致电运营商客服，申请将宽带IP改为公网地址。理由可以是“家里需要安装监控，需要公网IP”。

 6. NAT Hairpin（端口回流）未配置（影响特定场景）

• 现象：外网电脑可以成功访问，但内网电脑无法通过公网IP访问。

• 解释：NAT回流（Hairpin NAT）用于解决内网用户通过公网IP访问内部服务器的问题。H3C ER G3路由器支持此功能，但需要手动开启。

• 解决方法：如果你的测试场景是“内网访问公网IP失败”，可以在“NAT配置” -> “高级配置” -> “NAT Hairpin”中，勾选内网用户对应的VLAN接口。

 7. 路由器固件Bug（可能性：低，但需留意）

• 现象：所有排查都无效，问题间歇性出现。

• 解释：某些固件版本可能存在Bug，导致NAT功能异常。例如，早期R0126版本的说明书就提到了一些限制和问题。

• 解决方法：检查并升级路由器的固件到厂商推荐的最新稳定版本。升级后，建议将路由器恢复出厂设置，然后重新手动配置，不要直接导入旧版配置。

 8. 连接数/NAT表项限制（可能性：低）

• 现象：刚开始正常，但访问量大或运行一段时间后失败。

• 解释：ER2200G3有4万条NAT会话的限制。如果内网有大量设备或存在P2P下载，可能会占满会话数，导致新的映射请求被丢弃。

• 解决方法：在路由器的“系统状态”或“流量监控”中，查看当前NAT会话数是否接近极限。

 9. 内网服务器防火墙与网关设置（尽管你觉得不太可能，但请务必最后确认）

• 最后确认：请再次确认内网服务器的Windows防火墙是否已彻底关闭（公用网络和专用网络都关掉），并且其默认网关必须指向ER2200G3路由器的LAN口IP地址。

一、最高概率：路由器自身端口冲突（必查）

• 你映射的外网端口 = 80/443/8080 → 路由器优先自己响应，不转发内网，直接拦截，表现就是 “被限制访问”。
• 验证：把外网端口改成 10000 以上（比如 10080→内网 80，10443→内网 443），测试访问。
• 解决：不要用 80/443/8080 做外网端口，换高位端口。

二、第二概率：运营商封禁常用端口（必查）

• 现象：内网能通，路由器配置正确，外网扫描显示 “被限制 / 过滤”。
• 验证：同上，外网端口改 10000+ 测试。
• 解决：换非标端口，或联系运营商开端口（企业宽带 / 专线才给开）。

三、第三概率：服务器网关没指向路由器（必查）

• 网关错（指向光猫 / 其他设备）→ 回包不走路由器 → NAT 会话断 → 访问被拒。
• 验证：服务器上执行 tracert 8.8.8.8，第一跳必须是路由器 LAN 口。
• 解决：设服务器静态 IP，网关指向路由器，DNS 填 223.5.5.5。

四、第四概率：路由器默认安全规则拦截（ER2200G3 特有）

1. 登录 Web → 安全设置 → 防火墙 → 访问控制。
2. 看有没有拒绝 WAN 到 LAN 的规则，默认可能有一条 “禁止所有外部访问”。
3. 必须加一条放行规则：
   • 方向：WAN→LAN
   • 源：任意
   • 目的：服务器内网 IP
   • 端口：你映射的端口
   • 动作：允许
4. 保存并启用。

五、第五概率：光猫没桥接，双重 NAT（常见）

• 现象：路由器有端口映射，但外网根本到不了路由器，直接被光猫拦。
• 验证：路由器 Web → 网络管理 → 接口设置 → WAN，看 IP：
  • 100.64.0.0–100.127.255.255 → CGNAT 私网，不行。
  • 非 10/127/192 开头 → 公网 IP，正常。
• 解决：光猫改桥接模式，路由器 WAN 口拨号拿公网 IP。

六、第六概率：协议选错（TCP/UDP）

• 映射时协议选成 UDP，实际服务是 TCP（或反过来）→ 路由器丢包，显示被限制。
• 解决：确认服务协议（Web / 远程桌面都是 TCP），映射时选 TCP。

七、立刻执行的排查顺序（按优先级）

1. 外网端口改 10000+（如 10080→80）→ 测试。
2. 检查服务器网关 = 路由器 LAN IP → tracert 验证。
3. 路由器安全设置→防火墙→放行 WAN→LAN 对应端口。
4. 看路由器 WAN 口是不是公网 IP（不是就改光猫桥接）。
5. 确认映射协议是 TCP。