NAT 规则匹配顺序是什么
NAT 规则与安全策略一样是自上而下顺序匹配、命中即停。顺序错误的典型表现是：本该免转换的流量被通用规则先匹配，本应使用专用地址池的流量走了默认池，转换结果与设计不符却看不出配置哪里错。维护原则是把例外规则与专用规则放在通用规则之前，也就是先写特例、后写兜底，避免后期新增特例时反复调整顺序。
基本信息
| 匹配逻辑 | 按配置顺序匹配，第一条命中的规则决定转换方式 |
|---|---|
| 易错点 | 特例规则（免转换、专用地址池）被前面的通用规则挡掉 |
| 维护原则 | 例外与专用规则在前，通用兜底规则在后 |
| 排查依据 | 结合规则命中计数与会话中的转换结果确认实际命中 |
| 变更影响 | 顺序调整属高风险变更，需在窗口期执行并观察会话 |
典型使用场景
- 免转换例外：VPN 与专线目的地址不做转换，需排在通用规则前
- 专用地址池：特定部门或业务使用独立出口地址，避免走默认池
- 地址池扩容与迁移：新旧池并存期间按来源划分，确认后再收口
- 排障核对：确认某条流量实际命中哪条规则而不是按文档推断
- 策略梳理：把历史叠加的规则按「特例在前」重新编排
排查方法
排查方法
display nat-policy rule all # 查看规则顺序与命中情况
# 1. 找到实际命中的规则（可用会话转换结果反推）
# 2. 核对期望规则之前是否已有更宽泛的规则
# 3. 用规则移动命令调整顺序后再验证
# 4. 调整后清理旧会话或换源地址重新发起连接验证顺序问题与现象
| 顺序问题 | 现象 | 确认方式 |
|---|---|---|
| 例外规则在后 | VPN 流量被转换为公网地址 | 核对目的地址与转换结果 |
| 专用池规则在后 | 出口地址不是专用池地址 | 会话中转换后源地址核对 |
| 规则条件重叠 | 改规则后结果无变化 | 查命中计数与顺序 |
| 临时规则未回收 | 长期按临时池转换 | 按配置时间核对规则来源 |
| 新旧池并存 | 部分用户走旧地址 | 按源地址抽样验证 |
改动 NAT 规则顺序属于高风险变更：建议在窗口期执行并全程观察会话，调整后按来源地址抽样验证转换结果，确认覆盖原有业务后再清理旧规则。