公网端口映射到内网服务器

NAT Server 把公网地址上的指定端口静态映射到内网服务器的地址与端口，实现外网主动访问内网服务，是自建服务器对外发布最常用的出口配置。写法是 nat server protocol 协议 global 公网地址或 current-interface 端口 inside 内网地址 端口，配置在外网接口下。它能与 Easy IP 共存于同一台设备：源转换解决内网出网，端口映射解决外网进内网，两个方向的规则互不影响。

基本信息

典型使用场景

• 对外发布网站或业务系统，只开放 80 与 443 端口
• 远程办公场景把内网的远程桌面对外映射，需严格限定来源
• 监控或物联网设备需要被外部平台主动访问
• 调试阶段临时映射端口定位问题，用后立即回收
• 多台服务器共用一个公网地址，用不同端口区分

华为 VRP

interface GigabitEthernet0/0/1
 nat server protocol tcp global 202.1.1.1 80 inside 192.168.1.10 80
 nat server protocol tcp global current-interface 8080 inside 192.168.1.10 80
! current-interface 借用接口地址，适合公网地址不固定场景
display nat server                 # 核对映射条目
display nat session all            # 查看是否产生会话

思科 IOS

ip nat inside source static tcp 192.168.1.10 80 202.1.1.1 80
! 注意顺序：内网地址端口在前，公网地址端口在后
show ip nat translations
show running-config | include source static

H3C Comware

interface GigabitEthernet1/0/1
 nat server protocol tcp global 202.1.1.1 80 inside 192.168.1.10 80
display nat server
display nat session all

三厂端口映射写法对照

配置与运维要点

• 只开放业务必需端口：整机映射会把该主机全部端口暴露，安全风险远高于按端口映射
• 映射目标应是已加固的服务器，不要映射办公终端或管理设备
• 公网地址必须已配置在设备接口上或属于运营商分配的可用地址，否则条目存在但外网不可达
• 同一公网地址同一端口不要重复映射，后配的条目可能不生效或互相覆盖
• 映射上线后配合安全策略限制来源，能固定来源的尽量限源
• 临时调试映射用完立即删除，并把它纳入配置变更记录

常见疑问

• 外网测试通但业务不通：先确认服务器自身防火墙放行了端口，NAT 只负责转发不负责放行服务器
• 换公网地址后映射失效：写死地址的条目需要同步修改，动态地址场景建议用借用接口地址的写法
• 内网访问公网地址的映射能否通：部分平台支持回流，取决于设备实现，需要单独测试确认
• 为什么会话表里看不到条目：没有实际流量经过时不会建表，用外部测试流量触发后再查看