NAT 不生效排查流程是什么
NAT 不生效的排查遵循固定顺序：先确认安全策略是否放行，再看路由是否可达并走了预期接口，然后确认 NAT 规则是否命中且顺序正确，接着查看会话表里的转换结果，最后在出口抓包对比源地址。顺序的价值在于避免在多个配置面之间来回跳：NAT 与安全策略是两个独立配置面，只看其中一面很容易得出错误结论。
基本信息
| 第一层 | 安全策略是否放行该流量（访问是否被拒绝） |
|---|---|
| 第二层 | 路由是否可达、是否走了预期的出口接口 |
| 第三层 | NAT 规则是否命中、顺序是否正确、引用是否有效 |
| 第四层 | 会话表是否建立，转换后的地址端口是否符合预期 |
| 第五层 | 出口抓包对比源地址，确认链路上的真实报文 |
典型使用场景
- 新配源 NAT 后内网仍上不了网：按顺序确认是策略、路由还是规则问题
- 服务器映射外部访问不通：区分是入向策略未放行还是映射未命中
- 改造后部分业务不通：核对改动是否影响原有规则顺序或引用
- 单通问题：确认源 NAT 存在且回程路由正确
- 故障复盘：按同一顺序复核，形成可复用的排查记录
排查链路
排查链路
1. display security-policy rule all 策略是否命中
2. display ip routing-table 8.8.8.8 路由是否可达
3. display nat-policy rule all NAT 规则命中与顺序
4. display firewall session table 会话与转换结果
5. 出口抓包对比源地址是否已被改写
# 每一步记录结论，避免多次改配置把现场破坏成无法复现分层结论对照
| 层 | 异常特征 | 结论指向 |
|---|---|---|
| 策略 | 命中计数为 0 且有丢弃记录 | 策略条件或顺序问题 |
| 路由 | 无到目的的匹配路由 | 路由缺失或出口错误 |
| NAT 规则 | 无命中、引用失效 | 规则范围、顺序或对象错误 |
| 会话 | 无会话或转换值异常 | 流量未到设备或命中其他规则 |
| 抓包 | 源地址未改写 | 转换发生在其他设备或未生效 |
每一步都记录命令输出与结论：把排查过程写成链条，既能避免反复修改配置，也能在返工时快速回到问题现场，交接给他人时也有依据。