内网访问自己公网地址
内网用户用域名访问本单位对外发布的站点时，DNS 解析到公网地址，报文到达出口设备后需要「绕回」内网，这一行为叫 NAT 回流（hairpin）。设备不支持回流或未开启时，典型现象是外网访问完全正常，内网访问同一域名却超时。另一种常见解法是内网 DNS 拆分解析，把域名直接解析到服务器内网地址。
基本信息
| 适用平台 | 华为 USG、H3C SecPath、深信服 AF 等做目的 NAT 发布的安全设备 |
|---|---|
| 典型现象 | 外网可访问、内网访问同域名失败或超时 |
| 方案一 | 设备侧开启 NAT 回流（hairpin）特性 |
| 方案二 | 内网 DNS 拆分解析，域名指向内网地址 |
典型使用场景
- 对外门户与内部办公网同域：员工在公司内打开官网需要走回流或拆分解析
- HTTPS 站点：证书绑定域名，用 IP 直连验证会报证书告警，必须用真实域名测
- 多出口环境：内网流量从 A 出口出去访问自家 B 出口的公网地址，回流行为更复杂
- 云上发布：云内主机访问云上弹性公网地址，同样存在绕行与回流问题
- 变更后回归：发布地址或 DNS 调整后，内测与外测必须各验证一次
排查与处理
排查与处理
1. 在内网测试终端上确认解析结果指向哪个地址
2. 用真实域名访问，确认是超时还是证书告警（两者原因不同）
3. 查设备上该流量的 NAT 会话与策略命中情况
4. 设备支持则开启回流特性；不支持则改用内网 split DNS
5. 改完从内网与外网各验证一次，并把解析策略写入变更记录两种方案对比
| 方案 | 实现位置 | 需要注意 |
|---|---|---|
| NAT 回流 | 出口安全设备 | 增加设备处理开销，需确认版本支持 |
| split DNS | 内网 DNS 服务器 | 内外解析结果不同，运维要维护两套记录 |
split DNS 对设备没有额外压力，是最常见的替代做法；但要保证证书、源站策略与内网地址一致，否则会出现登录跳转异常。