检查下安全策略

M9008-S 接口 NAT（easy ip）命中，但是流量出不去

现象：会话可以建立、NAT 计数命中，但是报文只有出方向，没有回包，是 V7 防火墙经典场景，按顺序排查：

1、安全策略（最高概率）

接口 NAT 只是做地址转换，必须有 Trust→Untrust 的安全策略允许流量转发。

• 看会话状态：display session verbose
  • 如果会话状态是SYN_SENT，只有发起包，没有回包，大概率策略没放通。

注意：安全策略是域间转发策略，NAT 只是改源 IP，不能替代安全策略放行。

2、默认路由 / 回程路由问题（第二常见）

接口 NAT（EasyIP）只是把内网 IP 换成外网接口 IP，防火墙必须存在默认路由指向运营商下一跳。

• 没有默认路由：就算 NAT 命中，报文转发不出去。
• 运营商侧回程：运营商的设备要有回包 ARP；部分场景需要在出口接口开启nat outbound arp-proxy。

3、接口、安全域归属检查

• 内网口划入 Trust，外网口划入 Untrust；接口 IP 配置正确，接口 UP。

⚠️接口 NAT 要配置在外网出接口：nat outbound在 Untrust 接口下。

4、会话与 NAT 查看命令（定位报文方向）

看会话里面：

• Initiator → Responder：发包数量
• Responder → Initiator：回包数量 = 0 → 报文到外网之后没有回来，重点查默认路由 / 运营商
• 两边都有包，但终端收不到：检查内网 PC 网关是否指向防火墙内网接口

5、其他容易踩坑点

1. 黑名单 / 应用过滤 / 带宽策略：安全策略允许，但是应用识别、IPS、URL 过滤丢弃报文。
2. 多板卡 M9008-S：业务板卡（业务槽位）转发异常，会话建立在主控但是流量没有转发到业务板；需要确认业务板状态display device。
3. MTU：出口 PPPoe 场景，MTU 没调，大包丢包，小包 ping 正常，网页打不开。
4. 运营商绑定 MAC、IP 地址冲突。

快速定位一句话

display session verbose看回包计数

• 回包 = 0：防火墙发出去了，外网没有回复 → 查默认路由、运营商线路
• 有回包但是终端收不到：内网 PC 网关错误，或者安全策略拦截回程报文

最简排查顺序

1. 确认 Trust→Untrust 安全策略允许 any，hit 计数上涨
2. 确认存在默认路由，防火墙本身能 ping 公网 IP
3. display nat session 确认源地址已经转换成外网接口 IP
4. 看 session 的双向报文计数

补充：M9008-S 是模块化防火墙，业务流量跑业务板，不要只用主控测试。