华三防火墙F1000-AK9130配置目的地址端口映射步骤(求命令行和WEB界面的操作案例)

一般叫NAT服务器，但大部分防火墙里面没有这个，可以用上面的那种方式来做

需求：公网 IP：199.23.145.66，外部访问199.23.145.66:6776，映射内网服务器192.168.50.10:6776。 说明：F1000‑AK 系列 V7 版本，NAT‑Server 配置在外网接口，同时必须放行域间安全策略，只做 NAT 映射不通，策略拒绝依然访问失败H3C。

假设：

• G0/0：外网接口，安全域Untrust，IP：199.23.145.66/29
• G0/1：内网接口，安全域Trust，服务器网关在防火墙。

一、命令行完整配置

1、在公网接口配置 nat‑server 端口映射

⚠️注意：

1. 如果业务是 UDP 协议，把tcp替换成udp；
2. global后跟公网地址，必须是该接口上真实配置的 IP 地址；
3. 接口下配置 nat server，不是全局模式。

2、配置域间安全策略（必配！很多人漏掉导致不通）

允许 Untrust→Trust，访问服务器 6776 端口

3、服务器侧注意

1. 内网服务器默认网关必须指向防火墙内网接口 G0/1IP；否则回包出不去。
2. 内网服务器防火墙、系统防火墙开放 6776 端口。

4、查看 & 排错命令

二、WEB 界面配置步骤（F1000‑AK Web 管理界面）

步骤 1：配置 NAT 内部服务器（端口映射）

1. 登录防火墙 Web；菜单：网络 → NAT → 内部服务器 (NAT‑Server)
2. 点击【新建】

• 接口：选择外网接口 GigabitEthernet0/0
• 协议：TCP（业务如为 UDP 选 UDP）
• 公网地址：199.23.145.66
• 公网端口：6776
• 内网地址：192.168.50.10
• 内网端口：6776

3. 点击【确定】保存。

步骤 2：配置安全策略放行 Untrust 到 Trust 访问该端口（关键）

1. 菜单：安全 → 安全策略 → 策略配置
2. 点击【新建策略】

• 策略名称：Allow_6776_server
• 源安全域：Untrust
• 目的安全域：Trust
• 目的 IP 地址：填写192.168.50.10/32
• 服务：选择 TCP 6776；没有就新建自定义服务对象
• 动作：允许
• 位置：放在策略靠前位置，不要被 deny 策略覆盖

3. 提交配置。

步骤 3：服务器检查

内网服务器网关指向防火墙内网接口 IP，关闭操作系统防火墙或放行 6776 端口。

三、常见故障排查点

1. ✘配置完 NAT‑Server，外网访问无响应：大概率域间策略没放行 Untrust‑>Trust；
2. ✘能收到请求，服务器不回包：服务器网关没有指向防火墙内网接口；
3. ✘确认公网 IP199.23.145.66 已经配置在外网接口，不能是不在接口上的 IP；
4. ✘运营商侧有没有封锁 6776 端口，部分运营商封禁非常规端口；可以临时换 8080 测试；
5. ✘内网测试：内网机器直接访问公网 IP 199.23.145.66:6776 不通，需要配置nat hairpin（NAT 回流 / 三角 NAT），内网优先访问服务器内网 IP。

如果需要内网用户也通过公网 IP 访问服务器，需要开启 NAT hairpin，我可以补充 hairpin 配置。

四、验证测试

1. 外网主机访问 telnet 199.23.145.66 6776 看端口通不通；
2. 防火墙上display nat session table，访问时应该看到有对应转换会话。