内网整机映射固定公网地址

静态一对一映射把内网某台设备的私有地址与一个公网地址做双向绑定：外网可以主动访问该主机，该主机出访时也使用这个公网地址，源地址固定有利于对端做白名单。它适合对外发布的服务器与需要固定出口地址的业务，代价是每个主机独占一个公网地址，地址利用率低，且主机全部端口都会暴露在公网上。

基本信息

典型使用场景

• 对外发布的服务器需要固定公网地址与固定源地址
• VPN 或专线对端要求 ipsec 协商源地址固定
• 邮件服务器等需要正向与反向解析一致的业务
• 设备从其他平台迁移时把地址池方式改为一对一映射
• 临时把某台设备映射到公网做联调，用后回收

华为 VRP

interface GigabitEthernet0/0/1
 nat static global 202.1.1.10 inside 192.168.1.10
 nat static global 202.1.1.11 inside 192.168.1.11
 display nat static                # 核对一对一映射条目
 display nat session all

思科 IOS

ip nat inside source static 192.168.1.10 202.1.1.10
! 同一内网地址存在多条映射时按平台要求加相应关键字
show ip nat translations
show ip nat statistics

H3C Comware

interface GigabitEthernet1/0/1
 nat static outbound 192.168.1.10 202.1.1.10
 display nat static
 display nat session all
! 部分版本语法为 nat static global 公网地址 inside 私网地址，配置前用帮助确认

三厂写法与差异

配置与运维要点

• 一对一映射暴露主机的全部端口：映射对象必须是已加固的服务器，不能是办公终端或管理设备
• 公网地址必须归属本设备或已路由到本设备，否则条目存在但不可达
• 需要限制访问来源时，在接口上配合过滤策略，映射本身不提供访问控制
• 删除映射要按条目操作并回读确认，思科需写完整否定命令且参数一致
• 映射关系要有台账：公网地址、内网主机、用途、责任人逐项登记
• 定期清理不再使用的映射，避免地址被长期占用

常见疑问

• 与端口映射怎么选：只需开放少量端口时用端口映射更安全，需要固定源地址或整机可达时用一对一
• 外网访问不通怎么查：确认条目存在、公网地址归属、主机侧放行与回程路由
• 主机出访会不会也走这个公网地址：会，双向绑定，源地址固定是它相对端口映射的优势
• 能否一个内网地址映射多个公网地址：部分平台支持，需要按版本语法与关键字确认