H3C NAT 配置要点是什么
Comware 的 NAT 配置挂在接口上：源地址转换用接口下 nat outbound 关联 ACL 与地址池，目的地址映射用 nat server 描述公网地址端口到内网主机端口的对应关系。这种写法直观、便于按接口排错，但也带来两个容易踩的点：ACL 只表示转换范围，不代表放行；接口更换绑定关系后 NAT 会随之失效，拓扑调整时要优先核对挂载点。
基本信息
| 源转换 | 接口下 nat outbound ACL 编号 复用方式或地址池编号 |
|---|---|
| 不指定地址池 | 直接使用接口地址做转换（地址复用） |
| 目的映射 | 接口下 nat server protocol 协议 global 公网地址端口 inside 内网地址端口 |
| 查看命令 | display nat all 查看全部 NAT 配置，display nat session 查看会话 |
| 关键区分 | ACL 只决定哪些流量做转换，是否放行由安全策略决定 |
典型使用场景
- 内网出网：外网侧接口下按 ACL 匹配内网网段做地址复用
- 服务器发布：外网侧接口下把公网端口映射到内网服务器端口
- 内网免转换：通过 ACL 排除专线或 VPN 目的地址，保持原始地址
- 双出口场景：不同外网接口使用各自地址池，避免回程异常
- 排障核对：确认映射或转换挂在哪个接口，判断流量是否匹配得上
组合示例
组合示例
system-view
acl basic 2000 # 只匹配需要转换的内网网段
rule 0 permit source 192.168.10.0 0.0.0.255
quit
interface GigabitEthernet1/0/2 # 外网侧接口
nat outbound 2000 address-group 1 # 源地址转换
nat server protocol tcp global 202.1.1.20 443 inside 192.168.20.10 8443
quit
display nat all常见问题对照
| 问题 | 原因 | 核对方法 |
|---|---|---|
| 转换不生效 | ACL 未匹配或接口挂载点错误 | display nat all 与接口配置 |
| 转换后地址不符 | 命中另一条更宽泛的规则 | 检查配置顺序与 ACL 范围 |
| 映射无响应 | 入向安全策略未放行 | 核对 untrust 到内网区的规则 |
| 内网互访被转换 | ACL 范围过宽 | 收窄 ACL 或增加例外 |
| 改完拓扑即失效 | 接口绑定关系变化 | 确认 NAT 配置挂在哪个接口 |
nat server 写在内网侧接口还是外网侧接口，各版本要求可能不同，以版本配置指导为准；配置前先确认本机版本的推荐写法，避免照搬示例后映射不生效。