什么业务需要固定公网地址
NO-PAT 是一对一地址转换：内网地址与公网地址固定配对，端口保持不变。与常见的端口复用转换相比，它保留了对端看到的源地址与源端口，因此适合需要固定公网身份的场景——对方按白名单放行我方地址、或者业务本身携带地址信息。代价是消耗公网地址，一台主机独占一个。
基本信息
| 适用平台 | 华为 USG、H3C SecPath 等支持无端口转换地址池的设备 |
|---|---|
| 转换特点 | 地址一对一，端口不转换 |
| 华为配置 | 地址池设置 mode no-pat，配合 section 指定地址范围 |
| 资源消耗 | 每个参与转换的内网主机独占一个公网地址 |
典型使用场景
- 对端白名单限制：合作方只放行约定公网地址，端口不能变化
- 专线对接：双方按地址与端口约定互访，端口漂移会导致中断
- 协议兼容：部分业务协议依赖源端口一致，复用转换会造成异常
- 合规审计：对外访问需要可追溯到具体主机而非共享地址
- 多地址规划：需要按主机维度分配公网地址时使用
华为配置示例
华为配置示例
system-view
nat address-group pool-np
mode no-pat # 关闭端口复用，一对一转
section 0 202.1.1.20 202.1.1.29 # 公网地址范围
quit
nat-policy
rule name snat-nopat
source-zone trust
destination-zone untrust
source-address 192.168.10.0 mask 255.255.255.240
action source-nat address-group pool-np
quit
quit与端口复用对比
| 对比项 | NO-PAT | 端口复用转换 |
|---|---|---|
| 地址消耗 | 一主机一地址 | 多主机共享少量地址 |
| 端口 | 保持不变 | 会改写并需要维护映射 |
| 适合场景 | 白名单与固定身份 | 普通上网场景 |
| 排查难度 | 映射关系固定，便于定位 | 需查会话表关联端口 |
NO-PAT 一般要求可用公网地址数量与需要转换的内网主机数量匹配，数量不足时会出现部分主机无法转换。
规划阶段先算清账：参与 NO-PAT 的主机数量、地址池可用地址数量、以及未来半年的扩容余量，三者对照后再定池子大小，比事后临时加地址从容得多。