技术干货 2026-10-26 企业数据管家

内网几百人上网公网IP端口打架？华为Web界面配NAPT限私网地址数

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

私网用户上公网用 NAPT 方式做地址复用时，如果内网人数很多，大量用户挤在同一个公网地址上转换，可能出现 NAT 转换时端口冲突，表现为一部分人网页打不开、连接建不起来。华为官方案例给出了解法：限制单个公网地址对应的私网地址数，把端口资源摊匀。本篇按官方式的 Web 界面操作路径走一遍，不想敲命令行的管理员照着点就行。

场景数据：私网用户网段 10.1.1.0/24，GE0/0/1 为内网口（10.1.1.1/24，trust 区域）；GE0/0/2 为公网口（1.1.1.1/24，untrust 区域）；除公网接口 IP 外，公司还向 ISP 申请了 6 个公网地址 1.1.1.10～1.1.1.15 用于转换；单个公网地址对应的私网地址最大数设为 256。

第一步，配置接口。选择"网络 > 接口"，在"接口列表"中单击 GE0/0/1 所在行编辑：安全区域选 trust，IPv4 地址填 10.1.1.1/24，单击"确定"。同样方法配置 GE0/0/2：安全区域 untrust，IP 地址 1.1.1.1/24。

第二步，配置安全策略。选择"策略 > 安全策略 > 安全策略"，单击"新建"，按如下参数配置：名称 policy1，源安全区域 trust，目的安全区域 untrust，源地址 10.1.1.0/24，动作"允许"，单击"确定"。

第三步，配置 NAT 地址池。选择"策略 > NAT策略 > NAT策略 > 源转换地址池"，单击"新建"，配置地址池：地址范围为 1.1.1.10～1.1.1.15，开启允许端口转换（NAPT 模式），并把"源IP地址数量限制"设为 256。

这里有一个重要前置：官方明确说明，在配置"源IP地址数量限制"功能之前，必须先配置业务 CPU 分流的 HASH 模式为源 IP 模式，命令行如下，配置后需要重启设备生效，注意先保存配置再重启。

<DeviceA> system-view
[DeviceA] firewall hash-mode source-only
[DeviceA] quit
<DeviceA> reboot

地址池参数填好后单击"确定"。

第四步，配置 NAT 策略。选择"策略 > NAT策略 > NAT策略 > NAT策略"，单击"新建"，匹配条件为源安全区域 trust、目的安全区域 untrust、源地址 10.1.1.0/24，转换动作为引用刚才的源转换地址池，单击"确定"。

第五步，配置缺省路由。选择"网络 > 路由 > 静态路由"，单击"新建"：协议类型 IPv4，目的地址/掩码 0.0.0.0/0.0.0.0，下一跳 1.1.1.254（ISP 网关），单击"确定"。

另外还有两件事要在外部配合：一是私网主机要把 10.1.1.1 配置为默认网关，流量才会送到防火墙；二是在 Router（ISP 接入网关）上配置到 1.1.1.10～1.1.1.15 的静态路由、下一跳指向 1.1.1.1——因为转换后的公网地址不存在实际接口，通过路由协议无法直接发现，通常需要联系 ISP 的网络管理员配置。

完整的配置脚本如下，便于核对 Web 界面的各项参数。

#
 sysname DeviceA
#
interface GE0/0/1
 ip address 10.1.1.1 255.255.255.0 
#
interface GE0/0/2
 ip address 1.1.1.1 255.255.255.0 
#
firewall zone trust
 set priority 85
 add interface GE0/0/1
#
firewall zone untrust
 set priority 5
 add interface GE0/0/2
#
 ip route-static 0.0.0.0 0.0.0.0 1.1.1.254 
# 
nat address-group addressgroup1 0
 mode pat
 route enable
 section 0 1.1.1.10 1.1.1.15 
 srcip-car-num 256
#  
security-policy   
  rule name policy1  
    source-zone trust 
    destination-zone untrust 
    source-address 10.1.1.0 24  
    action permit 
#  
nat-policy  
  rule name policy_nat1 
    source-zone trust 
    destination-zone untrust  
    source-address 10.1.1.0 24   
    action source-nat address-group addressgroup1  
#                                          
return

配置完成后怎么验证？官方检查点有三个：公司内网用户可以访问 Internet；内网用户上网时，选择"监控 > 会话表"可以查看源地址为内网地址的会话；当内网用户上线使得当前公网地址对应的私网地址数达到阈值时，设备将发送日志和告警——看到会话表里转换正常、阈值告警逻辑在工作，这套配置就算落地了。

内网人多、公网地址有限的单位，NAPT 加源 IP 数量限制这招能有效避免端口打架。欢迎搜索关注贵州诚鑫致达科技，获取更多企业出口网络优化经验。

企业存储选型参考｜贵州诚鑫致达

做高可用与业务不间断保障，群晖机型参考：PAS7700 · RS2423RP+ · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。广西南宁企业存储与网络建设维护，本地化技术支持。