H3C设备上如何配置IPv6端口映射？

Question

在H3C设备上配置IPv6端口映射时，常见的技术问题是如何在IPv6网络中实现类似IPv4的NAPT（网络地址与端口转换）功能，以支持内部服务对外发布。由于IPv6拥有充足的地址空间，传统NAT使用减少，但在某些场景下仍需通过NAT66进行端口映射。用户常遇到的问题包括：如何正确配置NAT66策略、ACL规则与端口转发绑定，以及如何确保安全策略与会话控制的协同工作。此外，部分型号设备对IPv6 NAT的支持存在差异，导致配置不生效或转发异常。需结合具体设备型号与软件版本，合理使用`nat66`、`policy`、`acl`等命令实现端口映射功能。

Answer 1

一、IPv6端口映射与NAT66概述

在IPv6环境中，由于地址空间充足，传统NAT的使用频率大幅降低。但在某些场景下，如企业边界网关需要将内部IPv6地址的服务映射到外部IPv6地址并开放特定端口时，仍需使用NAT66（IPv6 Network Address and Port Translation）功能。

NAT66与IPv4中的NAPT类似，主要区别在于地址格式和部分命令的语法结构不同。H3C设备中，通过nat66、policy、acl等命令实现相关配置。

二、常见技术问题与分析

• NAT66策略配置错误：策略未正确绑定ACL或未启用端口转换功能。
• ACL规则不匹配：访问控制列表未正确指定源/目的地址及端口号，导致流量无法匹配。
• 安全策略与会话控制冲突：防火墙策略未放行NAT转换后的流量，导致连接失败。
• 设备型号兼容性问题：部分低端型号不支持完整的IPv6 NAT功能。
• 软件版本限制：旧版本固件中NAT66功能存在缺陷或缺失。

三、配置流程与关键命令

以下为H3C设备上配置IPv6端口映射的典型步骤：

1. 定义IPv6 ACL规则，匹配内部服务地址和端口。
2. 创建NAT66策略，绑定ACL并指定地址转换方式。
3. 配置策略规则（policy），确保NAT转换后的流量被放行。
4. 在接口上应用NAT66策略与安全策略。

ipv6 acl number 3001
 rule 0 permit tcp source fc00:1::10/128 destination fc00:2::1/128 destination-port eq 80
!
nat66 policy 1
 rule 0 acl ipv6 3001
 address-group 1 fc00:2::100
 port enable
!
security-zone name Untrust
 import interface GigabitEthernet0/0
!
policy 1
 match source-zone Untrust
 match destination-zone Trust
 match protocol tcp
 match destination-port 80
 action nat66 policy 1
 action service enable
    

四、设备兼容性与版本差异

H3C不同型号设备对IPv6 NAT66的支持程度存在差异，以下为部分设备支持情况示例：

设备型号	是否支持NAT66	建议软件版本
MSR3620	支持	V7.1.064及以上
SR6602	支持	V7.1.075及以上
S5130S-52S	不支持	-
SR8808	支持	V7.1.070及以上

五、安全策略与会话控制协同

在配置NAT66的同时，必须确保安全策略（security policy）与会话控制机制协同工作。典型问题包括：

• 未启用service enable，导致策略不生效。
• 未正确设置source-zone与destination-zone。
• 未开启状态检测（stateful inspection），导致会话无法建立。

建议配置如下：

policy 1
 match source-zone Untrust
 match destination-zone Trust
 match protocol tcp
 match destination-port 80
 action nat66 policy 1
 action service enable
 session state enable
    

六、验证与排错方法

完成配置后，需进行以下验证操作：

• 使用display nat66 session查看NAT会话表项。
• 使用display policy session查看策略匹配情况。
• 使用Wireshark等工具抓包分析流量是否被正确转换。
• 检查日志信息：display logbuffer。

若配置未生效，可参考以下流程图进行排错：

graph TD
    A[检查ACL是否匹配流量] --> B{匹配成功?}
    B -- 否 --> C[调整ACL规则]
    B -- 是 --> D[检查NAT66策略是否绑定]
    D --> E{绑定成功?}
    E -- 否 --> F[重新绑定策略]
    E -- 是 --> G[检查安全策略是否放行]
    G --> H{放行成功?}
    H -- 否 --> I[调整安全策略]
    H -- 是 --> J[检查会话是否建立]
    J --> K{会话建立?}
    K -- 否 --> L[检查状态检测是否启用]
    K -- 是 --> M[测试成功]