NAT / ACL 配置速查

三厂商对照模板 · 7 组高频场景 · 可直接粘贴改地址即用

NAT 基础概念速记

三种 NAT 一句话

静态 NAT: 1对1 固定映射 (内网服务器发布)
NAPT (PAT): 多对1 端口复用 (办公网出公网最常用)
Easy IP: 直接借用出接口地址 (中小企业最简)
NAT Server: 内网服务器端口发布 (公网访问内网)

方向口诀

inside = 内网侧接口, outside = 外网侧接口
NAT 只在 inside→outside 方向的出流量上触发

华为 VRP NAT 配置

Easy IP (最简出公网)

acl number 2000
 rule 5 permit source 192.168.10.0 0.0.0.255
interface GigabitEthernet0/0/1  # 出接口
 nat outbound 2000

NAPT 地址池

nat address-group 1 202.100.1.10 202.100.1.12
interface GigabitEthernet0/0/1
 nat outbound 2000 address-group 1

NAT Server 端口发布

interface GigabitEthernet0/0/1
 nat server protocol tcp global 202.100.1.5 443 inside 192.168.20.10 443

验证

display nat session all
display nat session protocol tcp

H3C Comware NAT 配置

Easy IP

acl basic 2000
 rule permit source 192.168.10.0 0.0.0.255
interface GigabitEthernet1/0/2
 nat outbound 2000

NAT Server 发布

interface GigabitEthernet1/0/2
 nat server protocol tcp global 202.100.1.5 443 inside 192.168.20.10 443

验证

display nat session
display nat all

思科 IOS NAT 配置

PAT (端口复用)

access-list 1 permit 192.168.10.0 0.0.0.255
ip nat inside source list 1 interface GigabitEthernet0/0 overload
interface GigabitEthernet0/0
 ip nat outside
interface GigabitEthernet0/1
 ip nat inside

静态端口发布

ip nat inside source static tcp 192.168.20.10 443 202.100.1.5 443

验证

show ip nat translations
show ip nat statistics
clear ip nat translation *  # 清会话 (改完 ACL 后必做)

ACL 两种体系对比

华为/H3C vs 思科

华为/H3C: acl number 3000 (高级, 可匹配源目IP+端口) + traffic-filter
思科: access-list / ip access-list extended + access-group
注意: 华为 acl 默认步长 5 (rule 5, rule 10...), 思科无步长

命名区别

思科: ip access-list extended WEB-ONLY
华为/H3C: acl name WEB-ONLY advanced 3001

ACL 高频模板

只允许管理网 SSH

acl number 3001
 rule 5 permit tcp source 10.10.10.0 0.0.0.255 destination any destination-port eq 22
 rule 100 deny ip
# 应用: user-interface vty 0 4 → acl 3001 inbound

禁止 VLAN 互访

acl number 3002
 rule 5 deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255
 rule 10 permit ip
# 应用: interface vlan 10 → traffic-filter outbound acl 3002

只放行 DNS+HTTP 出网

acl number 3003
 rule 5 permit udp destination-port eq dns
 rule 10 permit tcp destination-port eq 80
 rule 15 permit tcp destination-port eq 443
 rule 100 deny ip

NAT 调 ACL 改后不生效

华为/H3C NAT 引用 acl 后修改 acl 规则不会重建会话 → undo nat outbound / 重配, 或 clear 对应 session

排障四步

1 会话在吗

display nat session all / show ip nat translations
没有会话 → ACL 没放行 / inside outside 没标 / 路由缺失

2 命中计数

display acl 3000 / show access-lists → 看 hits 有没有涨

3 服务器侧

NAT Server 不通: 先内网直连服务器通不通, 再查 global 地址在出口有没有 ARP 冲突

4 变更后备份

改 ACL/NAT 前先备份配置: pip install netcfg-vault → netcfg-vault backup
https://bg8cfb.github.io/netcfg-vault/