| 现象 | 外网可访问、内网同域名访问失败或超时 |
|---|---|
| 方案一 | 设备开启 NAT 回流（hairpin） |
| 方案二 | 内网 DNS 拆分解析，把域名指向内网地址 |
排查与处理
排查与处理
1. 内网测 telnet 公网映射地址:端口
2. 查看 nat 会话与策略命中
3. 设备支持则开启回流特性；否则走 split DNS
4. 改完从内网与外网各验证一次split DNS 方案对防火墙无额外压力，是常见的替代做法，但要注意证书域名一致性。
NAT 回流（hairpin）
内网用户访问公网映射地址时流量需要绕回内网，若设备不支持回流或未开启，会出现内网访问不了自家对外站点。
易错点
- 回流与 split DNS 同时启用时不冲突，但排查时要先确认解析结果指向哪条路径
- HTTPS 站点用 IP 直连测试会触发证书告警，回流验证要用真实域名
数据来源与参考
- 华为 USG6000 产品文档：NAT 回流
- RFC 4787（NAT hairpinning 行为）