三厂 NAT 总对照
源地址转换与端口映射在两套体系里有清晰的对应关系：华为与 H3C 语法几乎逐字接近，都在外网接口下配置，一个管出向的源转换、一个管入向的端口映射；思科自成一套模型，用全局转换语句配合接口上的内外网角色标记，且不标记角色就完全不生效。理解这一层模型差异，是跨厂迁移 NAT 配置的关键。
基本信息
| 适用平台 | 三厂路由器、防火墙与三层交换机 |
|---|---|
| 源转换 | 出向流量的地址与端口复用 |
| 入向映射 | 把公网端口映射到内网服务 |
| 模型差异 | 思科需要接口角色，华为与 H3C 不需要 |
| 验证手段 | 会话表与统计计数 |
典型使用场景
- 设备替换或厂商迁移时重写全部转换规则
- 多厂商混合出口环境统一配置模板
- 排查跨厂设备的转换不生效问题
- 培训与交接时提供可查的对照表
- 审计时把各厂配置翻译成统一的语义描述
三厂 NAT 总对照
| 维度 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 源转换 | 接口下 nat outbound 引用 ACL | 全局语句加 overload，依赖接口角色 | 接口下 nat outbound 引用 ACL |
| 端口映射 | nat server 配在外网口 | 静态源转换语句，内网在前公网在后 | nat server 配在外网口 |
| 一对一映射 | nat static 条目 | 静态源转换不带端口 | 静态转换条目 |
| 地址池 | nat address-group | 地址池配置 | 地址池配置 |
| 接口角色 | 不需要 | 必须标内外网角色 | 不需要 |
| 会话查看 | display nat session all | show ip nat translations | display nat session all |
| 统计核对 | 查看转换条目挂载位置 | 查看统计中的命中与未命中 | 查看转换条目挂载位置 |
华为 VRP
华为 VRP
interface GigabitEthernet0/0/1
nat outbound 2000 # 源转换，复用接口地址
nat server protocol tcp global 1.1.1.1 80 inside 192.168.1.10 80 # 端口映射
display nat outbound
display nat server思科 IOS
思科 IOS
ip nat inside source list 1 interface GigabitEthernet0/0 overload
ip nat inside source static tcp 192.168.1.10 80 1.1.1.1 80
interface GigabitEthernet0/1
ip nat inside
interface GigabitEthernet0/0
ip nat outside
show ip nat statisticsH3C Comware
H3C Comware
interface GigabitEthernet1/0/1
nat outbound 2000
nat server protocol tcp global 1.1.1.1 80 inside 192.168.1.10 80
display nat outbound
display nat server迁移与排障要点
- 先判断方向：出向源转换与入向端口映射是两件事，迁移时分别核对
- 地址顺序容易写反：华为与 H3C 是公网在前，思科是内网在前
- 思科要补上接口角色标记：从其他平台迁移过来时最容易漏掉这一步
- 源选择规则用只匹配源地址的 ACL：换成精细匹配的类型在部分平台上语义不同
- 用会话表验证结果：迁移完成但没有会话产生，说明配置未被真正命中
- 把公网地址归属一并核对：条目存在但地址不属于本设备时外网不可达
常见疑问
- 为什么迁移后完全不通：先查思科侧的接口角色，再查命令挂载的接口
- 端口映射顺序记不住怎么办：记住内网设备视角的写法，思科是先自己后公网
- 地址池还要不要保留：地址固定的场景可以用，动态地址场景建议用接口地址复用
- 怎么确认转换在工作：看会话表与统计计数，同时用真实客户端验证业务
跨厂迁移 NAT 时，把配置拆成三段核对：源选择规则、转换动作、生效位置。三段中任何一段出错都会表现为完全不通，分开核对能快速定位。
迁移期间两套设备可能同时生效：新旧设备的转换规则重叠会造成流量路径不一致。割接窗口内明确切换顺序，先确认新设备转换可用再撤掉旧配置。
容易漏掉的一类配置是地址池与一对一映射：源转换与端口映射比较显眼，而面向固定地址需求的映射条目往往散落在接口配置里，迁移时逐条清点接口下的转换条目，比只看全局语句更保险。