| 匹配逻辑 | 按规则顺序匹配，首条命中生效 |
|---|---|
| 易错 | 特例规则被前面的宽泛规则挡掉 |
| 维护 | 把例外规则（no-nat、专用池）放在通用规则之前 |
排查方法
排查方法
display nat-policy rule all
# 1. 找到实际命中规则
# 2. 核对期望规则之前是否已有宽泛规则
# 3. 用 rule move 调整顺序后再验证会话转换结果改动 NAT 顺序属于高风险变更，建议在窗口期执行并全程观察会话。
NAT 规则匹配顺序
NAT 规则同样自上而下匹配，命中即停；顺序错误会让本应免转换或指定池的流量走了默认转换。
易错点
- 会话是短命状态：调整顺序后已建立的会话仍按旧规则运行，需等待自然老化或人工清理
- 只核对地址不核对端口范围，会让部分端口流量走到错误规则上
数据来源与参考
- 华为 USG6000 产品文档：NAT 规则顺序
- H3C SecPath NAT 匹配顺序说明