F100-c-G5多条宽带时NAT不通

多宽带场景下策略NAT失效，这个问题的确很典型。根本原因通常是**流量“出去”和“回来”的路径不一致**，还有**策略路由（PBR）**和**负载均衡**策略的影响。
1. 来回路径不一致 (最常见)外网访问流量从宽带A进来，经过NAT转换后，服务器的回程流量却可能因为路由或负载均衡策略，错误地从宽带B发出。运营商网络会校验源IP，发现不匹配从而丢弃数据包，导致无法访问。开启"源进源出"功能强制让服务器回程流量从它进来的那个接口原路返回。在该接口下配置`ip last-hop hold`命令即可。 
2. 负载均衡策略的误伤如果开启了出方向链路负载均衡，且策略配置为通配（如 `0.0.0.0/0`），那么从外网访问服务器的流量（经过NAT转换后是去往内网）也可能会被错误的策略重新扔回外网。 在负载均衡策略中放行服务器流量,创建一条更精细的策略，明确匹配访问你服务器的流量，并设置动作为直接转发(`forward`)，跳过负载均衡处理。
3. NAT会话残留,在多出口主备场景中，若主链路故障切换到备用链路，原有NAT会话表项未及时老化，可能导致流量仍匹配旧会话，引发业务中断。清除或重建NAT会话临时解决：执行`reset nat session`命令手动清除会话。根本解决：开启链路切换时自动重建会话功能，配置`nat link-switch recreate-session`。 |
4. 安全策略限制,多出口场景下，流量路径变复杂，可能触发之前未考虑到的安全策略拦截。 | 调整安全策略暂时创建一个 `any-to-any`（任意访问任意）的宽松策略进行测试，快速定位问题是否由安全策略引起。 |

如果上述方法都无法解决问题，请检查是否使用了全局NAT策略。在V7平台上，全局NAT的优先级高于接口NAT。若全局策略中存在通配规则，可能会意外地匹配并影响你的服务器流量，导致接口NAT配置失效。

做多条策略

你遇到的“单条宽带时策略NAT生效，多条宽带时外网不通”的问题，是多出口NAT（网络地址转换）场景下的一个典型故障。其核心原因通常是往返路径不一致。

简单来说，数据包在进出防火墙时走了不同的运营商出口，导致回程流量被丢弃。你可以通过配置“策略路由”和“保持上一跳”功能来解决。

 核心原因：数据包“迷路”了

让我们通过一个例子来理解这个问题：

1. 你的配置：防火墙连接两条宽带，电信（IP：1.1.1.1）和联通（IP：2.2.2.2），并做了策略NAT，将内网服务器（192.168.1.10:80）分别映射到这两个公网IP上。

2. 正常流程（单条宽带）：只插电信宽带时，路由简单，流量从电信口进，自然也从电信口回。

3. 故障流程（多条宽带）：

   • 入站：外部用户通过联通IP 2.2.2.2 访问成功，数据包被目的NAT（DNAT）转发给内网服务器。

   • 回程：服务器响应时，防火墙需要做源NAT（SNAT）。由于路由表（尤其是存在多条等价默认路由时）或策略配置问题，防火墙可能错误地选择从电信口（1.1.1.1）将数据包发出。

   • 问题：用户的请求发往“联通”，却在等待“电信”的回应，这种源地址与入接口不匹配的“回程路径不一致”数据包会被运营商设备直接丢弃。

 解决方案：为不同流量“指路”

解决方案的核心是为不同宽带流量“指路”，确保它从哪个口进，也从哪个口出。

方案一：配置策略路由 (Policy-Based Routing)

通过策略路由，为不同源地址的流量强制指定出接口。

1. 创建ACL：匹配需要走特定出口的流量。

   • 匹配内网服务器IP段（如192.168.1.0/24）的ACL。

   • 匹配办公网段（如10.0.0.0/24）的ACL。

2. 创建策略路由节点：为每个出口创建节点。

   • 服务器流量走联通：对匹配服务器ACL的流量，指定出接口为联通口（如GigabitEthernet1/0/2）。

   • 办公网流量走电信：对匹配办公网ACL的流量，指定出接口为电信口（如GigabitEthernet1/0/1）。

3. 应用策略路由：在入接口上应用。

注意：在H3C防火墙上，策略路由的配置可能在某些逻辑或子接口下受限。

方案二：启用“保持上一跳”功能 (Reverse Route)

此功能可使防火墙自动记录会话的入接口，确保回程流量原路返回。它比复杂的策略路由更简单有效。

操作：在连接内网的接口（如GigabitEthernet1/0/3）上配置：

在实施上述方案时，还需确认以下基本配置已正确：