内网互访应保持原地址
内网不同网段之间的通信应当保持原地址。一旦内网流量命中出口的源地址转换规则，源地址就被改写成出口地址，服务器日志里看到的全是设备地址，访问控制与后续排障都会失真。处理方式是加免转换规则，或者收紧转换规则的匹配范围。
基本信息
| 原因 | 目的地址在内网，却匹配了出口的源地址转换规则 |
|---|---|
| 处理 | 增加免转换规则或调整转换规则的匹配范围 |
| 验证 | 内网互访的会话中源地址应保持不变 |
| 顺序 | 免转换规则要排在源地址转换规则之前 |
典型使用场景
- 内网服务器日志里的来源地址全是设备地址
- 内网跨网段访问被误判为来自外网
- 审计要求内网互访保留真实源地址
- 新增出口转换规则后内网访问出现异常
- 单臂部署下排查地址改写问题
华为示例
华为示例
nat-policy
rule name no-nat-internal
source-address 192.168.0.0 mask 255.255.0.0
destination-address 192.168.0.0 mask 255.255.0.0
action no-nat
quit
quit
# 规则需排在源地址转换之前；改完用内网互访会话验证源地址现象与排查方向
| 现象 | 方向 |
|---|---|
| 服务器日志来源是设备地址 | 内网互访命中了出口转换规则 |
| 内网访问被策略误拦 | 放行规则按转换后的地址匹配 |
| 部分网段出现、部分正常 | 转换规则范围覆盖了内网地址段 |
| 改完规则仍复现 | 免转换规则的顺序在源转换规则之后 |
规则放在源地址转换之前，同时确认内网互访流量确实需要经过本设备（单臂回注场景）。
免转换规则范围写得太宽，会把真正需要转换的出访流量一起放过，出访流量就暴露了内网编址。
验证免转换是否真的生效，最直接的办法是看内网服务器上的连接来源：源地址显示为真实客户端地址才算正确。