华为防火墙 NAT 规则配置全攻略：原理+实战+多场景一网打尽

华为防火墙 NAT 规则配置全攻略原理实战多场景一网打尽摘要一、华为防火墙 NAT核心概念1.1 什么是 NAT1.2 NAT两大核心类型必掌握1.3 NAT配置前提必看二、华为防火墙 NAT标准配置流程图三、华为防火墙 NAT基础配置环境搭建四、华为防火墙 NAT源 NAT 配置内网用户上网4.1 场景说明4.2 配置方式一Easy-IP最常用推荐4.3 配置方式二NAT 地址池多公网 IP 场景五、华为防火墙 NAT目的 NAT 配置外网访问内网服务器5.1 场景说明5.2 配置命令NAT Server六、华为防火墙 NAT关键验证命令6.1 查看 NAT 策略配置6.2 查看 NAT Server端口映射6.3 查看实时 NAT 会话表最有效6.4 查看 NAT 地址池七、华为防火墙 NAT常见故障排查7.1 故障1内网无法上网源 NAT 故障7.2 故障2外网无法访问内网服务器目的 NAT 故障7.3 故障3配置正确但偶尔断网八、华为防火墙 NAT注意事项九、总结关键点回顾The Begin点点关注收藏不迷路摘要本文零基础、超详细、全场景讲解华为防火墙USG6000/USG9500系列NAT 规则配置包含 NAT 原理、配置流程图、源 NAT上网、目的 NAT端口转发、NAT 高级配置、验证命令、故障排查是企业网络上网与服务器发布必备核心技能。一、华为防火墙 NAT核心概念1.1 什么是 NATNATNetwork Address Translation网络地址转换实现内网私有 IP ↔ 公网 IP相互转换解决公网 IP 不足、隐藏内网拓扑的核心技术。1.2 NAT两大核心类型必掌握类型作用别名典型场景源 NAT (SNAT)内网 → 外网上网Easy-IP、NAPT员工电脑访问互联网目的 NAT (DNAT)外网 → 内网发布端口映射、NAT Server外网访问内网网站/服务器1.3 NAT配置前提必看防火墙接口已加入安全区域内网Trust外网Untrust接口已配置正确IP 地址内网私网、外网公网防火墙已配置缺省路由指向运营商已配置安全策略放行流量华为防火墙默认拒绝所有二、华为防火墙 NAT标准配置流程图渲染错误:Mermaid 渲染失败: Parse error on line 5: ...T]D -- D1[配置源 NAT (内网上网)]D -- D2[配置目 ----------------------^ Expecting SQE, DOUBLECIRCLEEND, PE, -), STADIUMEND, SUBROUTINEEND, PIPE, CYLINDEREND, DIAMOND_STOP, TAGEND, TRAPEND, INVTRAPEND, UNICODE_TEXT, TEXT, TAGSTART, got PS三、华为防火墙 NAT基础配置环境搭建在配置 NAT 前必须先配置接口、区域、路由、安全策略# 1. 进入系统视图USG6000system-view[USG6000]sysname FW-NAT# 2. 配置内网接口 (GE0/0/1: Trust 区域)[FW-NAT]interface GigabitEthernet0/0/1[FW-NAT-GigabitEthernet0/0/1]ipaddress192.168.10.1255.255.255.0[FW-NAT-GigabitEthernet0/0/1]service-manage http permit# 允许Web管理[FW-NAT-GigabitEthernet0/0/1]service-managepingpermit# 允许Ping[FW-NAT-GigabitEthernet0/0/1]quit[FW-NAT]firewall zone trust[FW-NAT-zone-trust]addinterface GigabitEthernet0/0/1# 加入Trust区域[FW-NAT-zone-trust]quit# 3. 配置外网接口 (GE0/0/2: Untrust 区域, 公网IP 113.20.xx.xx)[FW-NAT]interface GigabitEthernet0/0/2[FW-NAT-GigabitEthernet0/0/2]ipaddress113.20.xx.xx255.255.255.0[FW-NAT-GigabitEthernet0/0/2]quit[FW-NAT]firewall zone untrust[FW-NAT-zone-untrust]addinterface GigabitEthernet0/0/2# 加入Untrust区域[FW-NAT-zone-untrust]quit# 4. 配置默认路由 (指向上网网关)[FW-NAT]iproute-static0.0.0.00.0.0.0113.20.xx.1# 5. 配置安全策略 (允许内网访问外网, 允许外网访问服务器)[FW-NAT]security-policy[FW-NAT-policy-security]rule name policy-trust-untrust[FW-NAT-policy-security-rule-policy-trust-untrust]source-zone trust[FW-NAT-policy-security-rule-policy-trust-untrust]destination-zone untrust[FW-NAT-policy-security-rule-policy-trust-untrust]source-address192.168.10.0 mask255.255.255.0[FW-NAT-policy-security-rule-policy-trust-untrust]action permit[FW-NAT-policy-security-rule-policy-trust-untrust]quit[FW-NAT-policy-security]quit四、华为防火墙 NAT源 NAT 配置内网用户上网4.1 场景说明内网192.168.10.0/24需求内网所有用户通过防火墙公网 IP 上网4.2 配置方式一Easy-IP最常用推荐直接使用外网接口公网 IP进行转换无需地址池# 配置 NAT 策略[FW-NAT]nat-policy[FW-NAT-policy-nat]rule name nat-trust-untrust# 创建NAT规则[FW-NAT-policy-nat-rule-nat-trust-untrust]source-zone trust# 源区域[FW-NAT-policy-nat-rule-nat-trust-untrust]destination-zone untrust# 目的区域[FW-NAT-policy-nat-rule-nat-trust-untrust]source-address192.168.10.0 mask255.255.255.0# 源网段[FW-NAT-policy-nat-rule-nat-trust-untrust]action nat easy-ip# 核心Easy-IP转换[FW-NAT-policy-nat-rule-nat-trust-untrust]quit[FW-NAT-policy-nat]quit4.3 配置方式二NAT 地址池多公网 IP 场景# 1. 创建公网地址池 (113.20.xx.10 ~ 113.20.xx.20)[FW-NAT]nat address-group1# 创建地址池1[FW-NAT-nat-address-group-1]section113.20.xx.10113.20.xx.20[FW-NAT-nat-address-group-1]quit# 2. 配置 NAT 策略调用地址池[FW-NAT]nat-policy[FW-NAT-policy-nat]rule name nat-pool[FW-NAT-policy-nat-rule-nat-pool]source-zone trust[FW-NAT-policy-nat-rule-nat-pool]destination-zone untrust[FW-NAT-policy-nat-rule-nat-pool]source-address192.168.10.0 mask255.255.255.0[FW-NAT-policy-nat-rule-nat-pool]action nat address-group1# 调用地址池[FW-NAT-policy-nat-rule-nat-pool]quit[FW-NAT-policy-nat]quit五、华为防火墙 NAT目的 NAT 配置外网访问内网服务器5.1 场景说明内网 Web 服务器192.168.10.100:80需求外网访问防火墙公网 IP 113.20.xx.xx:80 → 转发到内网服务器5.2 配置命令NAT Server# 1. 配置 NAT Server (端口映射)[FW-NAT]firewall zone untrust# 在Untrust区域配置[FW-NAT-zone-untrust]nat server protocol tcp global113.20.xx.xx80inside192.168.10.10080# 核心命令[FW-NAT-zone-untrust]quit# 2. 配置安全策略放行外网流量 (必须配置!)[FW-NAT]security-policy[FW-NAT-policy-security]rule name policy-untrust-trust-server[FW-NAT-policy-security-rule-policy-untrust-trust-server]source-zone untrust# 源外网[FW-NAT-policy-security-rule-policy-untrust-trust-server]destination-zone trust# 目的内网[FW-NAT-policy-security-rule-policy-untrust-trust-server]destination-address192.168.10.100 mask255.255.255.255# 服务器IP[FW-NAT-policy-security-rule-policy-untrust-trust-server]servicehttp# 服务80端口[FW-NAT-policy-security-rule-policy-untrust-trust-server]action permit# 允许[FW-NAT-policy-security-rule-policy-untrust-trust-server]quit[FW-NAT-policy-security]quit六、华为防火墙 NAT关键验证命令6.1 查看 NAT 策略配置FW-NATdisplay nat-policy✅ 预期结果显示源 NAT 规则、状态、源/目的区域6.2 查看 NAT Server端口映射FW-NATdisplay nat server✅ 预期结果显示公网 IP、端口、内网 IP、端口6.3 查看实时 NAT 会话表最有效FW-NATdisplay firewall session table✅ 预期结果显示内网 IP 转换为公网 IP 的会话记录6.4 查看 NAT 地址池FW-NATdisplay nat address-group七、华为防火墙 NAT常见故障排查7.1 故障1内网无法上网源 NAT 故障未配置安全策略Trust → Untrust 默认拒绝NAT 策略配置错误源/目的区域、网段写错缺省路由缺失防火墙无法将流量送出外网接口区域划分错误外网口未加入 Untrust7.2 故障2外网无法访问内网服务器目的 NAT 故障未配置安全策略Untrust → Trust 未放行NAT Server 命令错误公网/内网端口颠倒服务器网关错误服务器网关未指向防火墙服务器防火墙拦截关闭服务器本机防火墙7.3 故障3配置正确但偶尔断网公网 IP 冲突NAT 会话表满运营商链路不稳定八、华为防火墙 NAT注意事项安全策略优先于 NAT必须先放行流量NAT 才能生效Easy-IP 优先单公网 IP 场景直接用 Easy-IP最简单稳定区域划分内网 Trust外网 Untrust千万不能搞反目的 NAT必须在Untrust 区域下配置nat server配置完必保存save九、总结本文完整讲解华为防火墙 NAT 配置全流程核心掌握两点源 NATEasy-IP解决内网上网问题目的 NATNAT Server解决外网访问内网服务器问题NAT 是防火墙最核心功能配合安全策略实现企业网络安全上网与服务发布。关键点回顾两大类型源 NAT上网、目的 NAT发布上网首选action nat easy-ip发布首选nat server global ... inside ...重中之重必须配置安全策略放行流量验证核心display firewall session tableThe End点点关注收藏不迷路