USG防火墙NAT配置指南

NAT基础概念

NAT(Network Address Translation)是USG防火墙的核心功能之一，主要用于： - 解决IPv4地址不足问题 - 隐藏内部网络拓扑 - 实现内网访问外网或外网访问内网服务

NAT类型及配置方法

1. 源NAT(SNAT)

功能：将内网IP转换为公网IP访问外网

配置步骤：

1. 进入系统视图
   system-view

2. 创建NAT地址池(可选)
   nat address-group group-name
     mode pat
     section 0 公网IP起始地址 公网IP结束地址

3. 配置源NAT策略
   nat-policy
     rule name rule-name
       source-zone trust
       destination-zone untrust
       source-address 内网IP地址 子网掩码
       action source-nat address-group group-name

2. 目的NAT(DNAT)

功能：将公网IP映射到内网服务器

配置步骤：

1. 进入系统视图
   system-view

2. 配置目的NAT策略
   nat-policy
     rule name rule-name
       source-zone untrust
       destination-zone trust
       destination-address 公网IP地址 子网掩码
       service 服务类型(如http、https等)
       action destination-nat 内网服务器IP地址

3. 服务器映射(NAT Server)

功能：将公网IP的特定端口映射到内网服务器

配置步骤：

1. 进入系统视图
   system-view

2. 配置NAT Server
   nat server protocol tcp/udp global 公网IP 端口 inside 内网IP 端口

常见配置示例

示例1：内网用户访问互联网(SNAT)

nat address-group internet-group
  mode pat
  section 0 202.100.1.100 202.100.1.100

nat-policy
  rule name internet-access
    source-zone trust
    destination-zone untrust
    source-address 192.168.1.0 24
    action source-nat address-group internet-group

示例2：外网访问内网Web服务器(DNAT)

nat-policy
  rule name web-server
    source-zone untrust
    destination-zone trust
    destination-address 202.100.1.200 32
    service http
    action destination-nat 192.168.1.100

示例3：端口映射(NAT Server)

nat server protocol tcp global 202.100.1.200 8080 inside 192.168.1.100 80

NAT配置检查命令

1. 查看NAT地址池： display nat address-group

2. 查看NAT策略： display nat-policy

3. 查看NAT会话： display nat session

4. 查看NAT Server配置： display nat server

常见问题排查

1. NAT不生效：

   • 检查安全策略是否放行
   • 检查NAT策略匹配条件是否正确
   • 检查路由是否可达

2. 端口映射失败：

   • 检查服务器端口是否监听
   • 检查防火墙策略是否放行
   • 检查NAT Server配置是否正确

3. NAT会话不建立：

   • 使用display firewall session table查看会话
   • 检查源和目的区域配置是否正确

4. 地址池耗尽：

   • 增加地址池范围
   • 检查是否有IP被异常占用

最佳实践建议

1. 为不同类型的NAT配置使用有意义的规则名称
2. 定期检查NAT地址池使用情况
3. 对关键业务NAT配置进行备份
4. 使用日志功能监控NAT转换情况
5. 在变更前做好测试计划

如需更详细的配置指导，建议参考华为USG防火墙的官方文档或根据具体型号查找相应配置手册。