NAT 命中为什么要单独验证
NAT 规则按顺序匹配，靠前的规则先命中，因此一条新增规则可能因为位置靠后而永远不生效。只看配置是否符合预期是不够的，必须用实际流量验证：从客户端发起新的测试连接，查看会话表中的转换前后地址与端口，并与预期逐项核对，同时确认命中规则编号与计划的规则一致。
基本信息
| 验证方法 | 建立新的测试连接后查看会话表中的转换前后地址对 |
|---|---|
| 辅助手段 | 按规则与地址核对 NAT 日志 |
| 关键点 | NAT 规则按顺序匹配，位置决定优先级 |
| 对比要求 | 预期转换结果与实际会话表逐项核对 |
典型使用场景
- 新增 NAT 规则后：确认新建连接命中的是预期规则
- 地址扩容或更换：验证转换后使用的地址是否正确
- 业务不通排障：判断是否命中错误规则或被其他规则抢先
- 端口映射发布：确认外部端口与内部服务的对应关系
- 变更回归：调整规则顺序后重新验证关键业务
验证步骤
验证步骤
# 1. 从客户端发起一次明确的测试访问，避免复用已有会话
# 2. 在设备上查看该会话，展开转换前与转换后地址端口
# 3. 核对源与目的转换结果是否符合预期
# 4. 结合规则顺序判断：抢先命中的是否为靠前的其他规则
# 5. 查看 NAT 日志，确认规则编号与转换结果一致会话字段读法
| 字段 | 含义 | 异常表现 |
|---|---|---|
| 转换前源地址 | 客户端真实地址 | 与实际客户端不符，需排查前置设备 |
| 转换后源地址 | NAT 后的地址 | 不是预期地址池说明命中了其他规则 |
| 转换后端口 | 转换后的源端口 | 依赖固定端口的服务要重点核对 |
| 命中规则 | 实际匹配的 NAT 规则 | 与计划规则不同说明顺序有问题 |
测试连接务必新建：复用已有会话时看到的是变更前建立的会话，转换结果属于旧配置，容易得出错误结论。