AF 上的 NAT 是怎么组织的
深信服 AF 把地址转换拆成源地址转换与目的地址转换两类策略，在控制台上按区域、地址对象、用户等维度定义，并普遍使用对象化引用。它与安全策略是两层配置：NAT 负责改写地址，安全策略负责放行，任何一层漏配业务都不通，排查时要按顺序分别确认。
基本信息
| 适用平台 | 深信服 AF 系列防火墙（控制台路径随版本略有差异） |
|---|---|
| 源地址转换 | 定义内网源对象与出口地址池或接口地址 |
| 目的地址转换 | 定义公网映射地址与内网服务器的地址、端口 |
| 联动关系 | NAT 策略生效后仍需安全策略放行对应流量 |
典型使用场景
- 内网出访公网：用地址池做源转换，隐藏内网地址结构
- 对外发布服务器：用目的转换把公网端口映射到内网服务器
- 多出口选路：按目的地址或用户维度选择不同出口地址池
- 改造过渡期：新旧网段并存时用地址对象分别维护，减少策略改动量
- 临时开放：为联调或验收临时加一条映射，事后须登记并回收
实施顺序
实施顺序
1. 先建地址对象：出口地址池、内网服务器组、目的地址组
2. 配置源地址转换策略，绑定出口接口与地址池
3. 配置目的地址转换，指定公网地址端口与内网服务器端口
4. 配置安全策略放行对应源、目的与端口
5. 从内外网双向验证，并检查会话表确认转换结果符合预期业务不通常见原因
| 环节 | 检查点 | 典型遗漏 |
|---|---|---|
| 地址对象 | 成员与掩码是否准确 | 对象改了但策略未引用新对象 |
| NAT 策略 | 源/目的方向与接口是否匹配 | 方向写反导致策略不命中 |
| 安全策略 | 放行源、目的、服务 | 只配 NAT 未配安全策略 |
| 路由与回程 | 服务器是否具备回程路由 | 回程走默认网关丢失转换信息 |
控制台菜单位置随版本调整，操作前按当前版本手册比对路径；对象与策略是强引用关系，删除对象前先看引用列表，避免策略失效。