SayGeA,防火墙 SecPath F1080
问题描述：
需求：内网服务器ip：192.168.11.11，内网端口：11。公网ip：222.222.22.22，公网端口：22。
1.端口映射，实在内外网环境下都可以通过公网端口+公网ip访问内部服务器。
2.目前可以在内网环境下通过公网端口+公网ip访问，但是外网环境下，无法实现。
组网及组网描述：
22是常用端口可能被运营商封了，可以使用其他端口测试，如果一定要用22端口需要联系运营商备案
14小时前回答您好，端口是假设的。这种是不是需要端口回流还是什么。
公网ip：222.222.22.22，公网端口：22。
修改22端口为其他端口 如 22222 22被运营商禁用了
域间策略放通内网服务器的IP和11端口
您好，端口是假设的。这种是不是需要端口回流还是什么。
内网访问 公网加端口号需要配置回流
zhiiiiao_N7L84 1.端口映射
直接再内网口开启nat hairpin enable
2.外网访问不好用检测一下，untrust 到trust 策略是否放通，
查看一下是否是安全策略没放通 以下为案例可以借鉴一下：
如果查看配置无误 可能是外网端口被禁用 可以将外网端口22更改为其他端口测试
5.1 配置内部服务器映射（端口映射）
#在外网口填写运营商提供的公网地址，掩码，配置映射，映射端口8081，服务器地址192.168.1.88
<H3C> system-view //进入系统视图
[H3C] interface GigabitEthernet1/0/1 //进入1号接口
[H3C-GigabitEthernet1/0/1]ip address
[H3C-GigabitEthernet1/0/1]nat server protocol tcp global
[H3C-GigabitEthernet1/0/1] quit //退出当前视图
#在内网口配置映射,填写内网网关地址以及配置Nat Hairpin
[H3C]interface GigabitEthernet1/0/4 //进入四号接口
[H3C-GigabitEthernet1/0/4]ip add 172.16.100.1 255.255.255.0 //接口配置地址
[H3C-GigabitEthernet1/0/4]nat hairpin enable //开启Nat Hairpin功能
[H3C-GigabitEthernet1/0/4]quit //退出当前视图
Nat Hairpin功能简介：通过在内网侧接口上使能NAT hairpin功能，可以实现内网用户使用NAT地址访问内网服务器或内网其它用户。NAT hairpin功能需要与内部服务器（nat server）、出方向动态地址转换（nat outbound）或出方向静态地址转换（nat static outbound）配合工作，且这些配置所在的接口必须在同一个接口板，否则NAT hairpin功能无法正常工作。
5.2 安全策略配置
防火墙目前版本存在两套安全策略，请在放通安全策略前确认设备运行那种类型的安全策略？以下配置任选其一。
1. 通过命令“display cu | in security-policy”如果查到命令行存在“security-policy disable”或者没有查到任何信息，则使用下面策略配置。
[H3C]display cu | in security-policy
security-policy disable
#创建地址对象组，地址对象组名称为OA服务器
[H3C]object-group ip address OA服务器 //创建地址对象组，地址对象组名称为OA服务器
[H3C-obj-grp-ip-OA服务器]network host address 192.168.1.88 //添加主机地址[H3C-obj-grp-ip-OA服务器]quit
#创建服务对象组，服务对象组名称为8081端口，目的端口8081
[H3C]object-group service 8081端口 //创建服务对象组，服务对象组名称为8081端口
[H3C-obj-grp-service-8081端口]service tcp destination eq 8081 //添加基于tcp的目的端口8081
[H3C-obj-grp-service-8081端口]quit //退出当前视图
#创建IPv4对象策略，策略名称为OA服务器，放通目的地址为192.168.1.88的8081端口
[H3C]object-policy ip OA服务器 //创建IPv4对象策略，策略名称为0A服务器
[H3C-object-policy-ip-OA服务器]rule 0 pass destination-ip 0A服务器 service 8081端口 //添加规则0,允许访问目的对象为” 0A服务器”的” 8081端口”
#创建安全策略，源安全域为Untrust目的安全域为Trust，应用创建的IPv4对象策略
[H3C]zone-pair security source Untrust destination Trust //创建安全策略，源安全域为Untrust目的安全域为Trust
[H3C-zone-pair-security-Untrust-Trust]object-policy apply ip OA服务器 //调用对象组” OA服务器”,用于放通外网访问OA服务器的8081端口
[H3C-zone-pair-security-Untrust-Trust]quit //退出当前视图
#创建IPv4对象策略，策略名称为互通,规则为允许
[H3C]object-policy ip 互通 //创建IPv4对象策略，策略名称为互通
[H3C-zone-pair-security-互通]rule pass //规则允许所有
[H3C-zone-pair-security-互通]quit //退出当前视图
#创建安全策略，源安全域为Trust目的安全域为Trust，放通内网到内部服务器的访问数据
[H3C]zone-pair security source Trust destination Trust //创建安全策略，源安全域为trust目的安全域为Trust
[H3C-zone-pair-security-Trust-Trust]object-policy apply ip 互通 //调用对象组” 互通”
[H3C-zone-pair-security-Trust-Trust]quit //退出当前视图
2. 通过命令“display cu | in security-policy”如果查到命令行存在“security-policy ip”并且没有查到“security-policy disable”，则使用下面策略配置。
#创建安全策略并放通源安全域为Untrust目的安全域为Trust，放通外网访问OA服务器的8081端口策略；
#创建地址对象组，地址对象组名称为OA服务器
[H3C]object-group ip address OA服务器 //创建地址对象组名称为OA服务器
[H3C-obj-grp-ip-OA服务器]network host address 192.168.1.88 //添加服务器主机地址
[H3C-obj-grp-ip-OA服务器]quit //退出
#创建服务对象组，服务对象组名称为8081端口，目的端口8081
[H3C]object-group service 8081端口 //创建服务对象组，服务对象组名称为8081端口
[H3C-obj-grp-service-8081端口]service tcp destination eq 8081 //添加允许访问目的对象为” 0A服务器”的” 8081端口”
[H3C-obj-grp-service-8081端口]quit //退出
#创建安全策略并放通trust到trust和Untrust到trust的目的地址为OA服务器、目的端口为8081端口的安全策略。
[H3C]security-policy ip //创建ipv4安全策略
[H3C-security-policy-ip]rule 10 name test //创建规则10命名test
[H3C-security-policy-ip-10-test]action pass //设置动作为允许
[H3C-security-policy-ip-10-test]source-zone Untrust //添加源安全域Untrust
[H3C-security-policy-ip-10-test]destination-zone Trust //添加目的安全域Trust
[H3C-security-policy-ip-10-test]destination-ip OA服务器 //添加目的地址组” OA服务器”
[H3C-security-policy-ip-10-test]service 8081端口 //添加服务对象组” 8081端口”
[H3C-security-policy-ip-10-test]quit //退出
[H3C-security-policy-ip]rule
[H3C-security-policy-ip-
[H3C-security-policy-ip-10-test2]source-zone Trust //添加目的安全域Trust
[H3C-security-policy-ip-10-test2]destination-zone Trust //添加目的安全域Trust
[H3C-security-policy-ip-10-test2]quit //退出当前视图
[H3C-security-policy-ip]quit //退出当前视图
14小时前回答NAT配置没问题，检查下域间策略
14小时前回答你正在,防火墙 SecPath F1080
