问

SecPath F100-C-A2 内网部署的服务无法暴露到公网

iptables防火墙

3小时前提问

0关注
0收藏，49浏览

zhiliao_rIPoBQ

zhiliao_rIPoBQ 零段

粉丝：0人关注：0人

问题描述：

想要将内网的 192.168.0.8 的 5174 端口转发到公网的15174 端口。现在无法通过公网访问15174端口

组网及组网描述：

4 个回答

按时间按赞数

zhiliao_sEUyB

zhiliao_sEUyB 九段

粉丝：90人关注：11人

检查下内部连通性情况

回复zhiliao_rIPoBQ:

安全策略any一下试试

zhiliao_sEUyB 发表时间：3小时前 更多>>

已经可以通过这部电脑访问 192.168.0.8的对应端口

zhiliao_rIPoBQ 发表时间：3小时前

回复zhiliao_rIPoBQ:

安全策略any一下试试

zhiliao_sEUyB 发表时间：3小时前

zhiliao_Gixe

zhiliao_Gixe 九段

粉丝：15人关注：9人

请按以下步骤排查：
1. 检查公网IP：确认公网口IP是否为真实公网IP，若为运营商私网IP（如10/100开头），需联系运营商解决。
2. 验证NAT配置：
确认NAT Server配置在公网出接口（G0/0或Dialer口）：

interface GigabitEthernet0/0
nat server protocol tcp global current-interface 15174 inside 192.168.0.8 5174

注意：如果是PPPoE拨号，使用current-interface关键字。
3. 检查安全策略：
确认Trust到Local或Untrust到Trust的安全策略放行流量。

security-policy ip
rule name nat_server_in
source-zone untrust
destination-zone trust
destination-ip 192.168.0.8 255.255.255.255
service tcp destination 5174
action pass

4. 检查内网连通性：
从防火墙 ping 192.168.0.8 确认内网通畅。
确认服务器防火墙未拦截来自非本网段的访问。
5. 诊断查看：
display nat session 看是否有会话生成。
display firewall session table 看会话表项。
在公网口抓包：packet-capture interface G0/0，确认公网请求到达防火墙。

zhiliao_GeOM0O

zhiliao_GeOM0O 九段

粉丝：34人关注：2人

需求：公网端口 15174 → 内网 192.168.0.8:5174，已经配置NAT 内部服务器+ 安全策略，公网无法访问，按下面顺序逐项排查。

一、先核对当前配置

NAT 内部服务器（qualify_web） 接口 GE1/0/3（Untrust 外网口），协议 TCP，外网端口 15174，内网地址 192.168.0.8，内网端口 5174 ✅配置本身是对的。
安全策略 WeChat_quality_web 源安全域Untrust，目的安全域Trust，目的 IP 192.168.0.8，服务对象组WeChat_quality_web（TCP 15174~5174），动作允许。

⚠️重点坑点：安全策略目的 IP 写内网服务器 IP 是错误！ 防火墙 V7 安全策略，Untrust 访问映射后的服务，目的 IP 应该写【公网 IP】，不是内网 192.168.0.8。外网用户访问的是防火墙公网 IP:15174，流量到达防火墙才做 NAT 转换；安全策略校验的是转换前报文，也就是目的地址 = 防火墙公网 IP。你现在策略目的地址填 192.168.0.8，外网原始报文目的 IP 不是这个，策略匹配不到，直接拒绝流量。

二、完整排查步骤

修正安全策略（最高优先级） 编辑WeChat_quality_web策略：

源域：Untrust
目的域：Untrust
目的 IP：填写防火墙 GE1/0/3 的公网 IP
服务：WeChat_quality_web
动作：允许

原理：NAT 内部服务器属于目的 NAT，报文先匹配安全策略，再做地址转换。原始包：源公网 IP → 防火墙公网 IP:15174，所以目的域是 Untrust，目的 IP 是防火墙公网地址。

确认外网接口 GE1/0/3 状态 UP，公网 IP 正常。
内网连通性验证：在防火墙本身ping 192.168.0.8，并且防火墙内网侧 telnet 192.168.0.8 5174，确认内网服务器端口监听正常、服务器防火墙放行 5174（Windows 服务器防火墙大概率拦截）。
检查服务对象组WeChat_quality_web：确认是 TCP 端口 15174（外网）→5174（内网），协议 TCP 无误。
开启会话统计，公网测试访问，在防火墙看会话：

display session table destination-port 15174

有会话：NAT 和策略通，问题在内网服务器防火墙 / 应用没监听；
无会话：策略没放行，或者运营商封禁 15174 端口。

三、其他常见问题

运营商封锁端口：部分运营商屏蔽非标准端口，可以临时换 8080 这类端口测试，判断是否运营商拦截。
服务器网关：192.168.0.8 的默认网关必须指向防火墙 Trust 侧接口 IP，否则回包无法送回防火墙，会话不通。
策略顺序：这条放通策略要放在拒绝策略前面，防火墙策略自上而下匹配。

快速总结

核心故障根源：安全策略目的域、目的 IP 填写错误。 外网访问防火墙公网 IP，原始报文目的 IP 是公网 IP，安全策略目的域应为 Untrust、目的 IP 填防火墙公网地址，不要填写内网服务器 192.168.0.8。修正策略后，再确认内网服务器防火墙放行 5174、服务器网关指向防火墙。