问
防火墙配置了nat server，只想让固定外网地址访问。安全策略应该怎么写呢？
4小时前提问
- 0关注
- 0收藏，51浏览
- 规则动作：
pass（允许） - 源安全域：
untrust - 目的安全域：
trust - 源IP地址：指定的固定外网地址（或地址对象）
- 目的IP地址：内网服务器的实际IP地址（例如
30.1.1.1） - 服务：服务器内网实际提供服务的端口（例如
tcp 8080）
按照这样写的策略，还需要在添加什么策略吗？
zhiliao_SqPKBM
发表时间：4小时前
zhiliao_Gixe
五段
问题根因
你当前配置的安全策略目的地址填了内网服务器私网地址，但H3C V7防火墙默认安全策略匹配NAT转换前的原始报文属性：外网用户访问NAT Server的初始报文，目的IP是你配置的NAT Server公网映射地址，所以填私网目的地址的规则根本匹配不到流量，源地址设为any时是命中了其他放通规则才通。
正确配置方法（二选一即可）
1. 推荐方案（无需修改设备默认行为）：
安全策略规则配置：
源安全域：Untrust，目的安全域：Trust
源地址：指定的固定外网访问地址
目的地址：填写你NAT Server配置的公网映射IP，不要填内网私网地址
服务：按需放通对应业务端口/所有
动作：允许
2. 适配原有配置习惯的方案：
全局视图下先执行命令nat server policy-dst-nat enable，开启后安全策略将匹配NAT转换后的私网目的地址，此时你原有规则（源为指定外网地址、目的为内网服务器私网地址、域间Untrust到Trust）直接生效即可。
验证命令
配置后用display security-policy rule id <规则ID>查看规则命中数是否增长，用display session table destination <服务器公网IP>确认对应访问会话正常生成。
你当前配置的安全策略目的地址填了内网服务器私网地址，但H3C V7防火墙默认安全策略匹配NAT转换前的原始报文属性：外网用户访问NAT Server的初始报文，目的IP是你配置的NAT Server公网映射地址，所以填私网目的地址的规则根本匹配不到流量，源地址设为any时是命中了其他放通规则才通。
正确配置方法（二选一即可）
1. 推荐方案（无需修改设备默认行为）：
安全策略规则配置：
源安全域：Untrust，目的安全域：Trust
源地址：指定的固定外网访问地址
目的地址：填写你NAT Server配置的公网映射IP，不要填内网私网地址
服务：按需放通对应业务端口/所有
动作：允许
2. 适配原有配置习惯的方案：
全局视图下先执行命令nat server policy-dst-nat enable，开启后安全策略将匹配NAT转换后的私网目的地址，此时你原有规则（源为指定外网地址、目的为内网服务器私网地址、域间Untrust到Trust）直接生效即可。
验证命令
配置后用display security-policy rule id <规则ID>查看规则命中数是否增长，用display session table destination <服务器公网IP>确认对应访问会话正常生成。
方案1，还是没用，没有数据
zhiliao_SqPKBM
发表时间：4小时前
更多>>
方案1，还是没用，没有数据
zhiliao_SqPKBM
发表时间：4小时前
防火墙 NAT Server 只允许固定外网 IP 访问 标准配置解法（H3C 防火墙通用）
先讲你不通的根因
你现在写法：安全策略：untrust→trust，源 = 固定外网 IP，目的 = 内网真实服务器地址 → 必然不通
核心关键点：
H3C 防火墙做域间安全策略时，目的地址必须写 NAT 后的外网公网地址，不能写内网真实地址只有路由 / ACL / 对象组里才用内网私网地址，安全策略目的域间策略看的是公网映射地址
正确配置步骤
1、先回顾 NAT Server 配置示例
plaintext
nat server protocol tcp global 公网IP 端口 inside 内网IP 端口
2、安全策略正确写法（重点）
安全域：Untrust → Trust
- 源地址：你要允许的固定外网单个 IP / 一段 IP
- 目的地址：填写NAT Server 对应的公网 IP（不是内网服务器私网 IP）
- 服务：对应端口 / 自定义服务
- 动作：允许
✅ 这样配立刻通；❌ 目的写成内网私网 IP，严格匹配模式下直接拦截，所以你改成源 any 能通、指定固定源就不通。
3、为什么源写固定 IP、目的写内网就不通？
- 外网用户发起访问：目的 IP 是公网 IP
- 防火墙先做会话匹配→安全策略检查，再做目的 NAT 转换
- 策略里目的是内网私网，和报文实际目的公网 IP 对不上，策略不命中，直接拒绝
- 你把源改成 any，命中了其他宽松默认策略，所以通了
4、额外两个必查点（很多人踩坑）
① 是否开启严格策略匹配
如果全局开启安全策略严格匹配，非命中全部拒绝，必须精准按上面公网目的 IP 写策略。
② 不要在策略里同时混用私网 + 公网目的
一条策略目的只写公网映射 IP，不要写内网地址。
③ 端口映射也要对应
如果是端口映射，策略里服务端口要和 NAT Server 端口一致。
极简模板你直接套用
域间策略：Untrust 到 Trust
- 源：外网固定 IP / 地址组
- 目的：NAT Server 公网 IP
- 服务：tcp 对应端口 / 所有可按需
- 行为：允许
配完立马正常，不需要改 NAT 配置，只改安全策略目的地址换成公网 IP就行。
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
这个明白，但是没用