F100-M-G5防火墙怎么做出入端口映射

啥意思？  

设备：F100-M-G5（Comware V7）
业务两条流向：
入方向（外网→内网）：33.176.1.67 → 访问防火墙公网 IP【端口映射】→ 192.168.0.212:22
出方向（内网主动外联）：192.168.0.212 主动访问 33.176.1.67:9980/602/9981/6025/22/9080/6020
重点澄清：
33.176.1.67 是对端外网服务器 IP，不是防火墙公网地址！
✅ 入方向：端口映射 = NAT Server（外网访问内网 22）
✅ 出方向：不需要端口映射，只需要Trust→Untrust 安全策略放行 + 正常外网 SNAT
假设约定：
内网安全域：Trust
外网安全域：Untrust
防火墙外网接口：G1/0/0（Untrust 域）
防火墙公网 IP：203.xx.xx.xx（替换成你设备真实公网地址）
内网服务器：192.168.0.212
一、配置 1：入方向【端口映射 NAT Server】
在外网 Untrust 接口配置，实现 33.176.1.67（外网）访问防火墙公网IP 22端口 → 192.168.0.212:22
plaintext
system-view
# 进入外网接口（Untrust接口）
interface GigabitEthernet 1/0/0
# 端口映射：TCP 22
nat server protocol tcp global 203.xx.xx.xx 22 inside 192.168.0.212 22
quit
如果你外网接口是拨号 / 直接使用接口地址，可以简写：
nat server protocol tcp global current-interface 22 inside 192.168.0.212 22
二、配置 2：域间安全策略（两条流向必须同时放通）
plaintext
security-policy ip
# 规则1：外网Untrust → Trust 允许访问服务器22（端口映射流量）
rule 10 name IN_22
source-zone untrust
destination-zone trust
destination-address host 192.168.0.212
service tcp destination eq 22
action permit

# 规则2：内网Trust → Untrust 允许服务器主动访问对端33.176.1.67所有目标端口
rule 20 name OUT_ACCESS_SERVER
source-zone trust
destination-zone untrust
source-address host 192.168.0.212
destination-address host 33.176.1.67
service tcp
action permit
三、配置 3：内网访问互联网正常 SNAT（原有出口 NAT，确认存在）
内网机器访问外网必须配置出口 SNAT，没有则添加：
plaintext
nat address-group 1
address 203.xx.xx.xx 203.xx.xx.xx
quit

nat-policy
rule name SNAT_OUT
source-zone trust
destination-zone untrust
action source-nat address-group 1
如果你已经有全局上网 SNAT，无需重复新增。
⚠️ 极易踩坑重点
不要混淆 IP！
33.176.1.67 是远端对方服务器，不是防火墙公网 IP，不能把它写进 nat server global！
nat server global 只能填写防火墙自身公网 IP。
连通性逻辑区分
外网主动进来：依赖 nat server + Untrust→Trust安全策略
内网主动往外发起：只需要 Trust→Untrust策略 + SNAT，不需要任何端口映射。端口映射只用于外网主动访问内网。
服务器自身防火墙检查
192.168.0.212 操作系统防火墙不要拦截 22 端口；
对端 33.176.1.67 防火墙需要放行你防火墙公网 IP 的入站连接。
四、调试查看命令
plaintext
# 查看端口映射
display nat server
# 查看安全策略命中计数
display security-policy ip statistics
# 抓包查看NAT转换
debugging nat packet