你遇到的问题是H3C防火墙在配置NAT内部服务器（NAT Server） 进行端口映射时，默认会将访问流量的源IP地址也进行转换，导致后端Nginx服务器看到的都是防火墙自己的公网IP。要解决这个问题，核心思路是让防火墙只做目的地址转换（DNAT），而不做源地址转换（SNAT）。

 问题根因：NAT Server的隐式源地址转换

当你使用 nat server 命令进行端口映射时，H3C防火墙在某些场景（尤其是内网用户通过公网IP访问内网服务器，即NAT回流场景）下，可能会同时执行源地址转换。防火墙将客户端的源IP替换为自己的接口IP，以确保回程流量能正确返回防火墙，然后再由防火墙转回给客户端。但这样一来，Nginx服务器就无法看到真实的客户端IP了。

 解决方案：改用NAT策略实现“纯净”的DNAT

相比 nat server 命令，使用NAT策略（NAT Policy） 进行目的地址转换，可以更灵活地控制源地址是否转换。你需要删除现有的 nat server 配置，然后创建一个只做DNAT的NAT策略。

配置思路如下：

1. 删除原有的NAT Server配置：在对应接口下执行 undo nat server 命令。

2. 创建NAT策略，仅配置目的地址转换：
   在系统视图下，进入 nat policy 视图，创建一条规则。关键是指定匹配流量的条件（源区域、目的地址、服务端口），然后在动作中只配置 destination-nat，不要配置任何 source-nat 动作。

配置示例（概念性，请根据实际接口和地址调整）：

关键点：此配置中没有 source-nat 相关动作，因此客户端源IP会被保留，Nginx服务器就能看到真实的公网客户端IP了。

 备选方案与检查项

如果上述方案因版本或场景限制无法直接使用，可以检查以下配置：

检查并关闭NAT Hairpin
如果你的防火墙接口上配置了 nat hairpin enable，它会在内网接口上对报文同时进行源和目的地址转换。如果你的Nginx服务器同时需要被内网用户和公网用户访问，且内网用户是通过公网IP访问的，那么这个功能可能是导致源IP被改的元凶。可以尝试在内网接口上执行 undo nat hairpin enable 来禁用该功能。

考虑使用七层负载均衡
如果Nginx服务器位于防火墙之后，且你希望获得更高的灵活性，可以考虑在服务器前部署一个七层负载均衡设备（如H3C的LB产品）。负载均衡设备可以终结HTTP连接，并通过插入 X-Forwarded-For HTTP头来传递真实的客户端IP，Nginx服务器可以通过解析这个头信息来获取真实源IP。

 验证与排查

配置完成后，请务必进行验证：

1. 查看NAT会话：在防火墙上执行 display nat session 命令，查看新建的会话。重点关注“Source IP”一栏，确认它显示的是客户端的真实公网IP，而不是防火墙的接口IP。

2. 检查安全策略：确保你的安全策略允许流量从Untrust区域到服务器所在区域，并且匹配的是转换前的目的IP（公网IP），因为安全策略检查发生在NAT转换之前。

3. 在Nginx上验证：查看Nginx的访问日志，确认 $remote_addr 变量显示的是真实的客户端IP。

nginx默认得到的就是真是的公网IP地址，因为防火墙只做目的地址转换，你看下你的DNAT，是不是只做了目的地址转换

我使用DISP NAT SESSEION DESTINATION-IP 1.2.3.4 (1.2.3.4使我的公网IP)可以看到真是的源公网ip，但是nginx得到的还是防火墙的公网ip，使哪里出错了

1. 根因：外网访问内网服务器时，同时触发 DNAT（目的转换）+SNAT 源地址转换，报文源 IP 被改成防火墙公网 IP，后端 nginx 拿到的就是防火墙 IP。
2. 方案一（推荐，HTTP 业务）：取消这条流量的 SNAT，只保留 DNAT；后端服务器网关指向防火墙，后端直接回包给外网客户端，这样后端能拿到真实客户端公网 IP。
3. 方案二（无法取消 SNAT 时，Web 业务）：防火墙插入X-Forwarded-ForHTTP 头，nginx 读取这个 header 获取真实源 IP；三层 TCP 非 HTTP 业务不能用 XFF。
4. 方案三（TCP 通用）：开启 Proxy Protocol 代理协议，防火墙把真实源 IP 通过 TCP 协议携带传给 nginx，nginx 要支持 proxy 协议。
5. 核查：display nat all，确认这条服务器访问流量是否匹配了 SNAT 策略。