技术干货 2026-10-27 企业数据管家

内网服务器怕被攻击？华为路由器NAT Server加源NAT一举两得

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

不少中小企业的网络是这么一个尴尬局面：手头只有一个公网IP，内网里还跑着Web服务器、FTP服务器这些对内提供服务的机器。运维上常见的担心是，内网电脑直接用内网地址访问这些服务器，一旦某台电脑中了病毒发起攻击，服务器很快就会被打挂。更稳妥的做法是强制内网用户也走公网口的IP地址来访问内部服务器，同时让服务器收到的流量都经过网关做一次转换。本文整理自华为官方发布的典型配置案例，把这个场景的完整配置拆开讲清楚。

场景与思路

以官方案例的组网为例：网关设备DeviceA的公网口上只有1.1.1.1这一个可用公网地址，内网口接Web服务器（10.2.0.7）和FTP服务器（10.2.0.8）。思路分四步：先把两个接口的IP和NAT功能打开；再配源NAT策略，让内网PC能访问公网口地址；然后用NAT Server建两条静态映射，把公网地址上的8080端口映射到Web服务器的80端口、21端口映射到FTP服务器；最后配一条缺省路由把流量送出去。

具体配置步骤

先配置公网口10GE0/0/1的IP地址，并开启NAT功能：

<HUAWEI> system-view
[HUAWEI] sysname DeviceA
[DeviceA] interface 10ge 0/0/1
[DeviceA-10GE0/0/1] ip address 1.1.1.1 24
[DeviceA-10GE0/0/1] nat enable
[DeviceA-10GE0/0/1] quit

再配置内网口10GE0/0/2，同样开启NAT功能（内网服务器需要把10.2.0.1配置为默认网关）：

[DeviceA] interface 10ge 0/0/2
[DeviceA-10GE0/0/2] ip address 10.2.0.1 24
[DeviceA-10GE0/0/2] nat enable
[DeviceA-10GE0/0/2] quit

配置源NAT策略，允许内网地址10.2.0.6访问公网地址，动作用easy-ip直接借用接口地址：

[DeviceA] nat-policy
[DeviceA-policy-nat] rule name policy_nat1
[DeviceA-policy-nat-rule-policy_nat1] source-address 10.2.0.6 32
[DeviceA-policy-nat-rule-policy_nat1] action source-nat easy-ip
[DeviceA-policy-nat-rule-policy_nat1] quit
[DeviceA-policy-nat] quit

创建两条NAT Server静态映射，分别指向Web服务器和FTP服务器：

[DeviceA] nat server policy_web protocol tcp global 1.1.1.1 8080 inside 10.2.0.7 www no-reverse route
[DeviceA] nat server policy_ftp protocol tcp global 1.1.1.1 ftp inside 10.2.0.8 ftp no-reverse route

FTP这类协议的控制通道和数据通道是分开的，需要开启FTP协议的NAT ALG功能，否则登录后列表可能出不来：

[DeviceA] firewall detect ftp

最后配置缺省路由，让内网流量可以正常转发至ISP的路由器：

[DeviceA] ip route-static 0.0.0.0 0.0.0.0 1.1.1.254

另外，ISP侧通常还需要联系运营商管理员，在其路由器上配置一条到公网地址1.1.1.1的静态路由，把去服务器的流量送到DeviceA。

配好怎么验证

验证的关键是看会话表里有没有做双向转换：内网PC访问1.1.1.1的8080端口后，在网关上查询目的地址为公网地址、源地址为内网PC地址的表项，如果NAT转换后的目的IP是服务器私网地址、源IP是接口地址，说明策略生效：

<HUAWEI> display session all verbose
  Session Table Information:
    Protocol          : 6(TCP)
    SrcAddr  Port Vpn : 10.2.0.6 2474
    DestAddr Port Vpn : 1.1.1.1 8080
    Time To Live      : 60s
    NAT Info
      New SrcAddr     : 10.2.0.1
      New SrcPort     : 2674
      New DestAddr    : 10.2.0.7
      New DestPort    : 80
  Total : 1

日常维护中看到这个表项正常老化、业务访问不掉，就说明NAT Server加源NAT的组合稳定工作。企业出口网关这类NAT规划与加固，欢迎搜索关注贵州诚鑫致达科技，我们持续分享落地配置经验。

企业存储选型参考｜贵州诚鑫致达

做备份容灾一体机方案，群晖机型参考：DP7400 · DP520 · DP320。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。凯里（黔东南）、都匀（黔南）：企业存储方案与 IT 运维。