NAT 会话查看是什么
查看会话是验证 NAT 是否生效最直接的手段：会话表里同时保留转换前的原始地址端口与转换后的地址端口，一眼就能看出流量走了哪个地址池、命中了哪条映射规则。当转换结果与预期不符时，说明命中了另一条规则或规则顺序有问题；看不到转换字段时，则说明该流量根本没有命中 NAT 规则。
基本信息
| 华为命令 | display firewall session table 支持按源、目的地址过滤，verbose 显示更多字段 |
|---|---|
| H3C 命令 | display session table ipv4 同样支持过滤与详细模式 |
| 关注字段 | 源与目的地址端口的转换前后值、协议、剩余老化时间 |
| 性能注意 | 大流量设备上全量查询会明显增加负载，务必带过滤条件 |
| 配套工具 | NAT 日志用于事后回溯，抓包用于确认链路上的真实报文 |
典型使用场景
- 新配源 NAT 后验证转换结果是否符合预期地址池
- 服务器映射不通时确认外部访问是否建立了会话与转换
- 排查单通：确认去程转换存在、回程是否被正确逆转
- 规则调整后对比新旧会话，确认改动已生效
- 容量排查：按源地址统计会话数，发现异常连接来源
查看示例
查看示例
# 华为：按内网源地址查会话
display firewall session table source 192.168.10.10
display firewall session table verbose source 192.168.10.10
display firewall session table destination 202.1.1.20 # 核对映射
display nat-policy rule all # 对照规则顺序与命中情况
# H3C
display session table ipv4 source 192.168.10.10会话字段读法
| 字段 | 含义 | 正常与异常 |
|---|---|---|
| 转换前源地址 | 内网主机的原始地址端口 | 与终端实际一致 |
| 转换后源地址 | 公网地址池中的地址端口 | 应为规划的地址池地址 |
| 转换后目的地址 | 映射改写后的内网地址端口 | 应指向真实服务器地址端口 |
| 协议 | TCP / UDP 等 | 与业务一致 |
| 剩余老化 | 表项还能空闲多久 | 接近零且业务仍在跑说明老化偏短 |
会话里看不到转换后字段时，先确认该流量是否真的命中了 NAT 规则：规则顺序、匹配范围与挂载接口都可能让流量绕过转换，只看配置存在与否容易得出错误结论。
命令输出用于取证时先保存文本再比对；旧会话不会随配置变更立即改变，验证改动效果需要等待老化或清理相关会话后重新发起连接。