| 场景 | 精确圈定需要 NAT 的流量 |
|---|---|
| 适用 | 华为 VRP（basic ACL 匹配源地址） |
| 技巧 | 先 permit 特定网段，末尾用 deny 排除不需转换的私网互访流量 |
华为 VRP
华为 VRP
acl number 2000
rule 5 permit source 192.168.1.0 0.0.0.255
rule 10 permit source 192.168.2.0 0.0.0.255
rule 100 deny source 10.0.0.0 0.255.255.255
interface GigabitEthernet0/0/1
nat outbound 2000
display nat outbound思科 IOS
思科 IOS
access-list 1 deny 10.0.0.0 0.255.255.255
access-list 1 permit 192.168.1.0 0.0.0.255
access-list 1 permit 192.168.2.0 0.0.0.255
! 思科末尾隐式 deny any：未匹配的内网以外的流量不转换H3C Comware
H3C Comware
acl basic 2000
rule 5 permit source 192.168.1.0 0.0.0.255
rule 10 permit source 192.168.2.0 0.0.0.255
rule 100 deny source 10.0.0.0 0.255.255.255差异：思科 ACL 有隐式 deny，写在里面的 deny 顺序很重要；华为/H3C 需显式写 deny 兜底。三厂共通点：NAT 的 ACL 只匹配源地址（基本 ACL），不要错写成扩展/高级 ACL。