H3C端口映射如何配置外网访问内网服务？

Question

在H3C路由器或防火墙上配置端口映射后，外网仍无法访问内网服务，常见原因有哪些？例如，已正确设置NAT Server将公网IP的80端口映射到内网Web服务器，安全策略也放行相关流量，但外部用户访问时连接超时。可能涉及的问题包括：公网IP是否为真实可路由地址（非运营商NAT地址）、ACL策略是否双向放行、服务器默认路由是否指向H3C设备、以及运营商是否封锁常用端口（如80、443）。如何逐一排查并解决？

Answer 1

一、端口映射配置后外网无法访问内网服务的常见原因分析

在H3C路由器或防火墙上配置NAT Server实现端口映射是企业网络中常见的需求，尤其用于发布Web、FTP等内部服务器。然而即使完成基础配置，外部用户仍可能遭遇连接超时等问题。以下从由浅入深的角度系统性地剖析此类问题的根本原因及排查路径。

1. 确认公网IP是否为真实可路由地址（非运营商NAT）

许多宽带接入场景下，用户获取的“公网IP”实为运营商级NAT（CGNAT）下的私有地址，不具备外网直接访问能力。

• 检查方式：登录设备执行 display ip interface brief 查看WAN口IP，并与互联网IP查询网站（如 https://ip.cn）比对。
• 若两者不一致，则说明处于CGNAT环境，需申请静态公网IP或使用内网穿透方案（如FRP、ZeroTier）。
• 典型现象：内网可通过公网IP访问映射服务（DNS回流），但外网完全不可达。

2. 检查NAT Server配置准确性

NAT Server规则必须精确匹配协议、端口和内部服务器IP。

配置项	示例值	说明
公网IP	203.0.113.10	应为设备WAN接口实际绑定的公网IP
公网端口	80	通常为标准服务端口
协议类型	TCP	必须与服务一致
私网IP	192.168.1.100	确保无拼写错误
私网端口	80	可与公网不同，但需正确映射

3. 安全策略（ACL/安全域策略）是否双向放行流量

H3C防火墙采用安全域机制，默认拒绝跨域通信，仅配置NAT不够，还需显式允许流量通过。

1. 确认数据流向：Untrust → Trust 方向需放行目的为内部服务器的流量。
2. 命令示例：
   security-policy
rule name ALLOW_WEB_IN
source-zone untrust
destination-zone trust
destination-address 192.168.1.100 32
service http
action permit
3. 注意：部分版本还需配置反向响应流量策略（Trust → Untrust），尽管通常自动放行，但在严格模式下仍需手动添加。

4. 内部服务器默认路由指向问题

当外部请求经NAT到达内网服务器后，服务器回包若未经过H3C设备，则形成“路径不对称”，导致返回报文无法被正确NAT转换而丢弃。

解决方案：

• 确保服务器的默认网关设置为H3C设备的内网接口IP（如192.168.1.1）。
• 验证方法：在服务器上执行 tracert 8.8.8.8，首跳应为H3C设备。
• 若存在多出口或旁挂部署，需考虑策略路由或VRF隔离。

5. 运营商端口封锁策略影响

国内运营商普遍对家庭宽带用户的80、443、25等端口进行封锁，防止私自架设服务器。

排查步骤：

1. 尝试将NAT映射改为非标准端口（如8080、8443）。
2. 通知外部用户使用新端口访问测试（如 http://your-ip:8080）。
3. 若此时可访问，则证实端口被封，解决方案包括：
   - 申请企业专线（通常不限制端口）
   - 使用CDN反向代理或云转发服务
   - 部署HTTPS over非标准端口并配合域名访问

6. DNS解析与回流问题（Hairpin NAT缺失）

当内网用户通过公网域名访问本地服务器时，流量需“折返”，若未启用Hairpin NAT，会导致访问失败。

配置建议：

nat server web_hairpin protocol tcp global current-interface 80 inside 192.168.1.100 80
nat hairpin enable
zone-pair security source untrust destination trust

同时确保内网DNS能正确解析到公网IP，或部署内网DNS服务器做智能解析。

7. 综合诊断流程图（Mermaid格式）

graph TD
            A[外网访问失败] --> B{公网IP是否真实?}
            B -- 否 --> C[申请静态公网IP]
            B -- 是 --> D[NAT Server配置正确?]
            D -- 否 --> E[修正NAT规则]
            D -- 是 --> F[安全策略放行?]
            F -- 否 --> G[添加安全策略]
            F -- 是 --> H[服务器网关正确?]
            H -- 否 --> I[修改默认网关]
            H -- 是 --> J[运营商是否封端口?]
            J -- 是 --> K[更换端口或升级线路]
            J -- 否 --> L[启用Hairpin NAT测试内网访问]
            L --> M[问题定位完成]

8. 其他潜在因素补充

• 会话表满载：高并发场景下，设备会话资源耗尽，可通过 display session table 查看。
• MTU不匹配：大包分片导致TCP连接建立失败，建议在关键链路设置MSS值（如1400）。
• 时间同步异常：日志时间错乱影响故障追溯，建议启用NTP。
• 硬件性能瓶颈：低端设备处理加密流量或大量NAT时可能出现延迟或丢包。
• IPv6干扰：若启用了IPv6，需确认相关策略未误拦截流量。
• 应用层检测（ALG）冲突：如FTP ALG可能干扰特定协议传输，必要时关闭。