msr830 固件5.10硬件2.0软件版本CMW520-R2516P19如何设置nat回环

内网接口开启 nat hairpin

# MSR830 CMW520‑R2516P19 NAT 回环（Hairpin NAT）

>
> 需求：内网电脑通过**域名 / 公网 IP 访问内网服务器**，外网也能访问该服务器。
> 版本：V7 CMW520‑R2516P19，**nat hairpin enable**为回环核心命令H3C。

## 组网假设

- 内网接口：`GigabitEthernet0/0/1`，内网网关 `192.168.1.1/24`
- 外网接口：`GigabitEthernet0/0/2`（WAN，运营商公网 IP）
- 内网服务器：`192.168.1.100`，服务端口 80
- 公网映射 IP：`202.1.1.1`（WAN 接口 IP）

## 完整配置命令

```
#1、ACL，用于内网出站NAT
acl number 2000
rule 0 permit source 192.168.1.0 0.0.0.255

#2、外网WAN接口：配置nat server端口映射 + 内网上网nat outbound
interface GigabitEthernet 0/0/2
port link-mode route
ip address 202.1.1.1 255.255.255.0
nat outbound 2000
#把公网80映射到内网服务器192.168.1.100:80
nat server protocol tcp global 202.1.1.1 80 inside 192.168.1.100 80

#3、【关键】内网接口开启nat hairpin（NAT回环）
interface GigabitEthernet 0/0/1
port link-mode route
ip address 192.168.1.1 255.255.255.0
nat hairpin enable # 必须配置，实现内网访问公网IP回环访问服务器

#4、域名访问补充：nat dns‑map（内网DNS解析公网IP时，路由器做DNS映射）
nat dns-map ***.*** 202.1.1.1 tcp
nat alg dns enable
```

>
> ⚠️如果内网是 VLANIF 接口（不是物理 GE 口），**nat hairpin enable 要写在 Vlan‑interface 接口下面**，不是物理口。

## 原理说明

1. `nat hairpin enable`：内网接口开启回环，内网主机访问公网 IP（服务器映射地址），路由器做双向 NAT 转换：
- 目的 IP：公网 IP → 内网服务器 IP
- 源 IP：内网 PC → 路由器内网接口 IP，保证服务器回包能回来
2. `nat dns‑map`：当内网 DNS 解析域名得到公网 IP，路由器拦截 DNS 应答，把域名解析返回地址替换成内网服务器 IP；**不配置这条，内网域名访问会走 NAT hairpin；配置后直接访问内网 IP，性能更好**。

## 必看注意事项

1. **nat hairpin 必须配置在内网侧接口（LAN/Vlanif），不要配在 WAN 口**。
2. 安全策略：需要放行内网→服务器的业务流量；同时放行外网访问服务器的端口。
3. 同板卡约束：nat server 和 nat hairpin 必须在**同一个接口板**，否则回环失效H3C。MSR830 的 GE0/0/1、GE0/0/2 是同板卡，无问题。
4. 测试验证：

```
display nat session verbose
# 看内网PC访问公网IP，是否生成NAT会话表项。
display nat server
# 确认nat server映射存在
display interface GigabitEthernet 0/0/1
# 确认nat hairpin enable已经生效
```

## 两种方案对比

1. **NAT Hairpin（上面配置）**：内网访问公网 IP，经过路由器 NAT 转换；**不需要内网 DNS 服务器**，适合简单环境。
2. **Split‑DNS（分离 DNS）**：内网 DNS 服务器，内网域名解析返回内网服务器 IP，外网解析返回公网 IP；不需要 NAT 回环，性能最优，适合大型环境。

## 常见故障

1. 内网访问公网 IP 不通：
- 检查内网接口是否写了`nat hairpin enable`；
- 检查 nat server 是否在 WAN 接口配置；
- 检查安全策略是否放行流量；
2. 域名访问还是访问公网 IP：确认`nat dns‑map`与`nat alg dns enable`配置；
3. 外网可以访问服务器，内网不行：90% 是**漏配 nat hairpin enable**。