内网互访为什么要经设备
单臂部署或不同安全区域互访时，内网之间的流量也会回到设备转发：例如服务器的网关指向设备的同网段接口，跨网段访问就得经过设备。这时既要按区域对放行策略，也要避免内网流量被出口的源地址转换规则改写地址，否则访问日志与后续排障都会失真。
基本信息
| 常见形态 | 服务器网关指向设备的同网段接口（单臂回注） |
|---|---|
| 策略要求 | 按区域对放行必要的内网互访服务 |
| 注意事项 | 避免内网互访命中出口源地址转换规则 |
| 前提条件 | 流量同进同出，避免非对称路由 |
典型使用场景
- 单臂部署下内网服务器互相访问不通或变慢
- 不同安全区域之间的互访需要逐条放行
- 内网服务器日志里出现设备地址，需要排查地址改写
- 评估内网流量经过设备后的性能影响
- 变更策略前梳理互访关系
配置要点
配置要点
# 1. 内网区域对之间策略放行必要服务，不要整段放开
# 2. 用免转换规则覆盖内网互访网段，避免被出口转换改写地址
# 3. 回注场景确认流量同进同出，避免非对称路由
# 4. 观察内网互访带来的设备资源占用，评估性能余量现象与排查方向
| 现象 | 排查方向 |
|---|---|
| 出公网正常、访问隔壁服务器不行 | 内网区域对策略未放行 |
| 内网服务器日志里全是设备地址 | 命中出口源地址转换规则 |
| 访问偶发失败 | 回注路径非对称，去程回程不一致 |
| 内网访问变慢 | 设备转发能力不足或策略条目过多 |
内网互访的性能评估要考虑设备转发能力与区域策略数量，不能只按出口流量估算。
同网段主机之间的流量不经过设备时，设备上的放行策略不会生效，需要调整网关指向或组网方式。