防火墙 on Lutong's Homepage

华为H3C实战 | 第14章 NAT 与地址转换

Wed, 07 Oct 2026 10:00:00 +0800

📚 本系列共 43 篇（第 14 / 43 篇）　·　第二卷路由与广域网篇 —— 让数据找到路

← 上一篇：第 13 章 IS-IS 协议配置详解　下一篇：第 15 章 PPP 与 PPPoE →

本章导读：公司内部每人一个分机号，外面只知道总机号——NAT 就是这套"总机转分机"，把几乎无限的私网设备塞进有限的公网地址。本章讲清出方向 NAT、地址池，以及"NAT 配了却还是上不了网"的三层排查法。

本章结构：

14.1 功能原理与业务场景 —— 总机/分机的比喻、RFC 1918 三个私网段、NAT 会话表（五元组映射）与报文的地址改写过程
14.2 华为设备配置详解 —— 老式 AR 风格模板、逐行讲解，以及四个设计要点：为什么 nat outbound 后面 ACL 是必须的、地址池大小怎么估算、NAT 与安全策略谁先谁后、NAT 之后怎么审计
14.3 H3C 设备配置详解 —— H3C 的 nat outbound 写法与逐行坑点对照
14.4 命令对照表 —— 两家并排
14.5 配置验证 —— display nat session / display nat outbound 看会话与规则命中
14.6 排错与故障树 —— 三层排查：流量到没到出口 → 有没有建会话（ACL 匹配计数是否增长）→ 会话建了回包通不通
14.7 新手踩坑 —— NAT 配在错误的接口方向、ACL 匹配不上却不报错
14.8 本章小结 —— 要点清单 + 自测题

重点提示：内网不能上网，按 14.6 的三层从上往下走，先确认包有没有到出口设备。“NAT 看着配了但不生效"绝大多数是 ACL 没匹配上——看 display acl 2000 的匹配计数有没有涨，比反复看配置快得多。防火墙上做 NAT 还要注意策略顺序（第 26、27 章）。 关联章节：出口路由（默认路由指向运营商）见第 10 章；家庭/企业拨号拿到公网地址见第 15 章；防火墙上的 NAT 与安全策略顺序见第 27 章；BRAS 侧的地址转换见第 31 章。

华为H3C实战 | 第26章防火墙安全区域与基本策略

Fri, 25 Sep 2026 10:00:00 +0800

📚 本系列共 43 篇（第 26 / 43 篇）　·　第四卷设备与安全篇 —— 路由器与防火墙

← 上一篇：第 25 章路由器基础配置　下一篇：第 27 章防火墙 NAT 与部署模式 →

本章导读：路由器"能路由就转发"，防火墙"没放行就丢弃"——这条默认行为差异是转岗第一道坎。本章讲清安全区域、安全策略及其匹配规则：通是配出来的，不通才是默认。

本章结构：

26.1 功能原理与业务场景 —— 区域划分与优先级、报文过防火墙的六个处理步骤（含会话与状态检测）、“默认拒绝一切"的三层含义，以及和路由器的六维思维差别
26.2 华为设备配置详解 —— 区域创建、接口挂区、安全策略规则、service-manage 管理面放行的完整模板
26.3 H3C 设备配置详解 —— H3C 安全域模型 + 包过滤 ACL 的对照写法
26.4 华为 / H3C 命令对照表
26.5 配置验证 —— 会话表、策略命中计数、display/display security-policy 一类命令怎么看
26.6 排错与故障树 —— “策略明明配了却不通"的分支排查
26.7 新手踩坑与注意事项
26.8 本章小结

重点提示：配完接口和路由发现内网 ping 不通外网，别怀疑设备坏了，先回 26.1.3 确认是不是没放行；从外网登录不上、内网能登录，看 local 区域和 service-manage 那一段；两个网段互访不受管控，检查 26.1.3 第三层讲的"同区域默认放行”。 关联章节：路由器基础与转发逻辑见第 25 章；ACL 的写法与匹配顺序见第 17 章；NAT 与安全策略的先后关系见第 27 章。

华为H3C实战 | 第27章防火墙 NAT 与部署模式

Thu, 24 Sep 2026 10:00:00 +0800

📚 本系列共 43 篇（第 27 / 43 篇）　·　第四卷设备与安全篇 —— 路由器与防火墙

← 上一篇：第 26 章防火墙安全区域与基本策略　下一篇：第 28 章防火墙双机热备 →

本章导读：NAT 是"公司前台"——出去的改寄件人，进来的改收件人。本章重点不是 NAT 怎么配，而是NAT 和安全策略谁先谁后：目的地址看转换后、源地址看转换前，这一条写反了，策略永远不命中。

本章结构：

27.1 功能原理与业务场景 —— SNAT / DNAT / 双向 NAT 各管什么，报文处理的"先会话→再目的 NAT→再策略→最后源 NAT"四步顺序，Easy IP / NAPT / No-PAT / Smart NAT 怎么选
27.2 华为设备配置详解 —— NAT 策略、NAT Server、地址池与黑洞路由的完整模板
27.3 H3C 设备配置详解 —— H3C 侧对应写法与差异标注
27.4 华为 / H3C 命令对照表
27.5 配置验证 —— NAT 会话表、地址池使用率、Server-map 表怎么看
27.6 排错与故障树 —— “外网访问不到服务器"“内网上不了网"“时通时不通"的分支定位
27.7 新手踩坑与注意事项
27.8 本章小结

重点提示：任何"NAT 配了但不通"的问题，先回 27.1.3 对一遍地址——安全策略里的目的地址必须是转换后的私网地址。多公网 IP 的现场，别一股脑塞进源 NAT 地址池，先读 27.1.4 最后一段再决定。老设备的 nat outbound 写法和本本 nat-policy 不能混用。 关联章节：防火墙区域与安全策略见第 26 章；NAT 的协议机制与私网地址规划见第 14 章；防火墙上的 IPS 与安全策略挂载关系见第 29 章。

华为H3C实战 | 第28章防火墙双机热备

Wed, 23 Sep 2026 10:00:00 +0800

📚 本系列共 43 篇（第 28 / 43 篇）　·　第四卷设备与安全篇 —— 路由器与防火墙

← 上一篇：第 27 章防火墙 NAT 与部署模式　下一篇：第 29 章防火墙高级功能 →

本章导读：两台防火墙做主备，一台挂了另一台在毫秒级接管——但配错就会出现"双主"，两台都以为自己是主。本章讲清华为 VRRP+HRP 双机热备、H3C 双机热备/IRF 两套方案，以及"切换时业务到底断没断"怎么验。

本章结构：

28.1 功能原理与业务场景 —— 主备协商、配置同步、状态同步三件事分别对应什么技术；主备备份与负载分担的取舍；双机热备"能解决什么、不解决什么"的边界
28.2 华为设备配置详解 —— HRP 心跳口、VRRP 备份组、hrp track 与负载分担骨架的完整配置
28.3 H3C 设备配置详解 —— remote-backup group 家族的 H3C 写法
28.4 华为 / H3C 命令对照表
28.5 配置验证 —— VRRP 角色、HRP 状态、会话同步情况逐项确认
28.6 排错与故障树 —— 双主排查顺序：心跳 → 会话同步 → VRRP 角色
28.7 新手踩坑与注意事项
28.8 本章小结

重点提示：想快速搭起来看 28.2；出现双主先看 28.6 的排查顺序，别一上来就查 VRRP 配置（十有八九是心跳口断了）。只验证了能 ping 通就以为成功是新手最常见的误判——28.1.2 第 6 步讲清了为什么必须验证"切换后旧会话还在"。选负载分担前先读 28.1.3 的 NAT 端口分段坑。 关联章节：VRRP 原理、优先级与抢占见第 7 章；防火墙区域与安全策略见第 26 章；NAT 与策略先后顺序见第 27 章；AC 侧的 VRRO+HSB 双机可类比第 23 章。

华为H3C实战 | 第29章防火墙高级功能

Tue, 22 Sep 2026 10:00:00 +0800

📚 本系列共 43 篇（第 29 / 43 篇）　·　第四卷设备与安全篇 —— 路由器与防火墙

← 上一篇：第 28 章防火墙双机热备　下一篇：第 30 章设备管理安全与等保基线 →

本章导读：安全策略是门禁，只查"谁要来"；IPS/AV/URL 过滤和应用识别是在门禁后加的 X 光机。本章讲这四样怎么挂到策略上真正生效，以及 SSL VPN、IPSec VPN 两条通道怎么搭。

本章结构：

29.1 功能原理与业务场景 —— 内容安全与策略的处理顺序、“开了功能"不等于"生效了”、三类 VPN 怎么选、内容安全能防什么防不住什么，以及内容安全的性能陷阱（开满后吞吐只剩标称的几分之一）
29.2 华为设备配置详解 —— 安全配置文件（IPS/AV/URL）的引用、应用识别、SSL VPN、IPSec VPN 的配置骨架与启用要点
29.3 H3C 设备配置详解 —— H3C 侧对应写法与差异标注
29.4 华为 / H3C 命令对照表
29.5 配置验证 —— 内容安全命中记录、特征库/授权状态、VPN 隧道状态
29.6 排错与故障树 —— “开了 IPS 但没拦"“VPN 建不起来"的分支定位
29.7 新手踩坑与注意事项
29.8 本章小结

重点提示：功能"配了不生效"第一件事是查授权与特征库有没有加载（29.1.2 末尾的版本说明）；上了防火墙以后全网变慢，先看 29.1.5 的三条实践原则，别全量挂检测。要搭 VPN 先答"连的是人还是网络”，29.1.3 那张表直接对应到节号。 关联章节：安全策略与区域模型见第 26 章；ACL 与策略路由见第 17 章；NAT 与策略的先后顺序见第 27 章；内容安全与双机热备的配合见第 28 章。

华为H3C实战 | 第30章设备管理安全与等保基线

Mon, 21 Sep 2026 10:00:00 +0800

📚 本系列共 43 篇（第 30 / 43 篇）　·　第四卷设备与安全篇 —— 路由器与防火墙

← 上一篇：第 29 章防火墙高级功能　下一篇：第 31 章 BRAS 定位与组网 →

本章导读：前面几章都在让业务通，这一章反过来问：谁有资格改这台设备、怎么证明他是他、干了什么有没有留痕。本章把等保 2.0 三级的要求逐条翻译成设备命令，最后给一份可勾选的基线清单。

本章结构：

30.1 功能原理与业务场景 —— 管理面安全的三层堆叠（管理网段 / ACL 限源 / AAA / 日志+NTP）、从路由器转岗的安全思维差别，以及等保条款到配置项的映射表
30.2 华为设备配置详解 —— SSH 替换 Telnet、本地用户与权限分级、AAA 对接 RADIUS/TACACS+、SNMP v2c/v3、日志与 NTP、攻击防范
30.3 H3C 设备配置详解 —— H3C 侧对应命令与差异
30.4 华为 / H3C 命令对照表
30.5 配置验证 —— 账号、权限、日志外发、时钟同步逐项确认
30.6 排错与故障树 —— “SSH 登不上"“日志收不到"“时间不对"的定位
30.7 等保 2.0 三级基线配置清单 —— 逐条可勾选的落地清单
30.8 本章小结

重点提示：要过等保就直接用 30.7 的清单当施工单，一条一条打勾；日常运维先做 30.2 里的"关 Telnet 开 SSH + 一人一账号 + 日志外发 + NTP"四件事，性价比最高。30.1.3 提醒过：只配 ACL 不配 AAA 和日志，查不出是谁干的。 关联章节：命令行视图与用户权限基础见第 1 章；设备基础管理（保存、升级、日志）见第 1 章；ACL 的写法见第 17 章；防火墙上的管理面放行（local 区域）见第 26 章。

华为H3C实战 | 第38章小型办公网从零配置

Sun, 13 Sep 2026 10:00:00 +0800

📚 本系列共 43 篇（第 38 / 43 篇）　·　第六卷实战与附录篇 —— 把它们拼起来

← 上一篇：第 37 章校园网综合案例　下一篇：第 39 章典型组网排障实录 →

本章导读：这一章换个规模：80 人的小公司，五样设备——出口路由器、防火墙、核心交换机、AC、8 台 AP，从拆箱开始一路配到员工能上网。它是照着就能做出来的施工单，每一步都有"怎么判断这步做对了"。

本章结构：

38.1 场景与准备：开工前必须先想清楚的六件事 —— 规模与拓扑全貌、六个答不上来就别动手的问题
38.2 第一步：设备上架与接线
38.3 第二步：IP 规划落地与基础配置
38.4 第三步：VLAN 与二层配置
38.5 第四步：三层接口与路由
38.6 第五步：NAT 与安全策略
38.7 第六步：DHCP 与无线配置
38.8 第七步：ACL 与限速（访问控制）
38.9 第八步：验收与排错
38.10 本章小结

重点提示：严格按 38.2→38.9 的顺序敲，跳步和倒序都会返工；网关放哪台设备、外网是什么类型这两个问题（38.1.3）决定整章走法，先答完再动手。新人最常卡在 38.6：配完 NAT 却忘了安全策略，或者反过来写了转换后的地址。 关联章节：VLAN 与二层见第 3 章；三层网关与 VRRP 可选见第 6、7 章；DHCP 见第 8 章；NAT 见第 14 章；无线 PSK 配置见第 20 章；防火墙安全策略见第 26 章。

华为H3C实战 | 第40章华为 / H3C 命令速查字典

Fri, 11 Sep 2026 10:00:00 +0800

📚 本系列共 43 篇（第 40 / 43 篇）　·　第六卷实战与附录篇 —— 把它们拼起来

← 上一篇：第 39 章典型组网排障实录　下一篇：第 41 章新手常见问题 FAQ →

本章导读：这不是用来读原理的章节，是翻查用的工具书：知道要配什么功能、想不起准确命令，或者手上只有华为笔记却要配 H3C，就翻它。270 余行命令按功能分节，重点看"差异说明"栏。

本章结构：

40.1 使用说明与命名差异总纲 —— 三条查法、两家命名哲学对照表、核实标记说明（哪些是核对过官方原文的高风险命令）
40.2~40.4 —— 基础视图与设备管理、文件与配置管理、用户权限与远程登录
40.5~40.9 —— 接口配置、VLAN 与二层转发、STP、链路聚合与堆叠、三层接口与网关
40.10~40.13 —— 静态与动态路由、ACL 与路由策略、NAT、DHCP 与 DHCP Snooping
40.14~40.15 —— 无线 WLAN（AC/AP）、安全与防火墙策略
40.16 排错与维护
40.17 命令差异速记与易混点
40.18 场景索引：从「我要做什么」出发 —— 五个马上要用的配置片段（新建接入交换机、开新网段等）
40.19 本章小结

重点提示：不记得命令长什么样，先看 40.18 的场景索引——它是按"我要做什么"组织的，比按功能翻快；从华为切到 H3C 就先看 40.1.2 的命名总纲，再跳 40.17 的易混点。带 ⚠ 或 TODO-FIXME 的行不要直接上生产，先在设备上用 ? 确认。 关联章节：各功能的原理与排错见对应专题章（第 1~36 章）；术语叫法差异见第 42 章；命令来源与文档出处见第 43 章；新手问题见第 41 章。

华为H3C实战 | 第41章新手常见问题 FAQ

Thu, 10 Sep 2026 10:00:00 +0800

📚 本系列共 43 篇（第 41 / 43 篇）　·　第六卷实战与附录篇 —— 把它们拼起来

← 上一篇：第 40 章华为 / H3C 命令速查字典　下一篇：第 42 章术语表与协议索引 →

本章导读：技术上的困境是"这功能怎么配"，经验上的困境是"为什么配了却不生效"。前面各章解决第一种，本章专门解决第二种：45 条来自真实机房的问题，每条按症状→原因→怎么办→怎么避免四段写。

本章结构：

41.1 怎么用这一章 —— 给谁看、四段式怎么读、为什么按踩坑频率而不是难度排序
41.2 登录与视图类
41.3 配置习惯与保存类
41.4 常见报错与命令行提示类
41.5 VLAN 与二层类
41.6 路由与 IP 类
41.7 无线与认证类
41.8 安全策略与 NAT 类
41.9 排障思路类
41.10 工程规约与现场作业类
41.11 十条「老网管不会明说」的经验
41.12 本章小结

重点提示：急的时候只看每条的"怎么办"那一段；41.241.4 几乎人人都会踩，建议通读，之后的组按需查。已经能通但"时好时坏"，先看 41.9 排障思路类；要进现场作业的，41.10 和 41.11 别跳。 关联章节：命令行与视图体系见第 1 章；各类报错对应的功能章见第 336 章；命令怎么查见第 40 章；被问到的术语查第 42 章。

华为H3C实战 | 第42章术语表与协议索引

Wed, 09 Sep 2026 10:00:00 +0800

📚 本系列共 43 篇（第 42 / 43 篇）　·　第六卷实战与附录篇 —— 把它们拼起来

← 上一篇：第 41 章新手常见问题 FAQ 　下一篇：第 43 章参考资料与学习路径 →

本章导读：同一件事，华为叫 Eth-Trunk、H3C 叫 Bridge-Aggregation，思科叫 Port-Channel。本章把全书术语汇总成中英对照表，每条给中文全称、一句话解释和两家叫法差异，省掉反复确认"这俩是不是一个东西"的时间。

本章结构：

42.1 使用说明 —— 两种查法、为什么"两家叫法差异"这一列最有价值
42.2~42.5 —— 以太网与物理层、二层转发、三层与路由、广域与运营商接入
42.6~42.8 —— 安全与认证、无线局域网、IPv6
42.9 管理与运维
42.10 易混淆术语对比
42.11 缩写索引
42.12 术语背后的三条设计思路
42.13 本章小结

重点提示：读别的章节卡在一个词上，直接搜本章；只记得英文缩写就走 42.11 的缩写索引。最容易搞混的几组（VLAN/PVID/Trunk、VT/VA、AC/AP、NAT/NAPT）先看 42.10，比零散查快。 关联章节：每条术语的配置细节见对应专题章（第 1~36 章）；命令层面的对照见第 40 章；术语背后的官方文档出处见第 43 章。

42.1 使用说明

42.1.1 这张表怎么查

网络圈最大的门槛之一，是同一件事在不同厂商嘴里叫不同名字。华为说「Eth-Trunk」，H3C 说「Bridge-Aggregation」，思科说「Port-Channel」——它们其实是同一个东西。新手读文档时最大的浪费，就是反复去确认「这两个词是不是一个意思」。

这一章把全书出现的术语汇总成表，每一条给三样东西：中文全称（英文缩写）、一句话解释、两家的叫法差异。查法有两种：

按主题查：每节一个主题（二层、三层、无线、安全……），顺着找。
按首字母查：如果只记得英文缩写，用 41.11 的「缩写索引」快速定位。

42.1.2 为什么「两家叫法差异」这么重要

举个真实例子：你从华为团队接手一台 H3C 设备，想找「聚合口」。如果你去 H3C 上敲 display eth-trunk，会得到「命令不存在」；如果你理解了「华为 Eth-Trunk = H3C Bridge-Aggregation」，就会去敲 display link-aggregation，一秒定位。

华为H3C实战 | 第43章参考资料与学习路径

Tue, 08 Sep 2026 10:00:00 +0800

📚 本系列共 43 篇（第 43 / 43 篇）　·　第六卷实战与附录篇 —— 把它们拼起来

← 上一篇：第 42 章术语表与协议索引

本章导读：书里的版本几年后就会过时，你不可能靠一本书记住一切，但可以靠正确的检索方法保持知识新鲜。本章不讲配置，只讲去哪儿找答案：权威入口、学习路径、书目与参考文献。

本章结构：

43.1 为什么「会查资料」比「背命令」更重要 —— 资料可信度六级排序
43.2 华为官方文档入口 —— 站点分工、四类文档各自在什么时候用、典型配置举例为什么值得单独看
43.3 H3C 官方文档入口
43.4 版本与产品线说明
43.5 认证体系与学习路径
43.6 模拟器与实验工具
43.7 参考书推荐
43.8 参考文献与标准索引 —— 全书引用的标准、RFC 与厂商文档按编号统一列出，正文引用可反查
43.9 文档阅读方法论
43.10 本章小结

重点提示：书里哪条命令在你设备上敲不出来，先看 43.1.2 的可信度排序——设备上 ? 的帮助永远排第一；想系统学就照 43.5 的路径走；核对引用出处去 43.8 按编号查。 关联章节：命令速查见第 40 章；术语对照见第 42 章；新手常见问题见第 41 章；案例式学习见第 37~39 章。

43.1 为什么「会查资料」比「背命令」更重要

43.1.1 这一章讲什么

写完整本书 42 章，最后这一章不讲配置，讲去哪里找答案。

防火墙 on Lutong's Homepage

华为H3C实战 | 第14章 NAT 与地址转换

华为H3C实战 | 第26章 防火墙安全区域与基本策略

华为H3C实战 | 第27章 防火墙 NAT 与部署模式

华为H3C实战 | 第28章 防火墙双机热备

华为H3C实战 | 第29章 防火墙高级功能

华为H3C实战 | 第30章 设备管理安全与等保基线

华为H3C实战 | 第38章 小型办公网从零配置

华为H3C实战 | 第40章 华为 / H3C 命令速查字典

华为H3C实战 | 第41章 新手常见问题 FAQ

华为H3C实战 | 第42章 术语表与协议索引

42.1 使用说明

42.1.1 这张表怎么查

42.1.2 为什么「两家叫法差异」这么重要

华为H3C实战 | 第43章 参考资料与学习路径

43.1 为什么「会查资料」比「背命令」更重要

43.1.1 这一章讲什么

华为H3C实战 | 第26章防火墙安全区域与基本策略

华为H3C实战 | 第27章防火墙 NAT 与部署模式

华为H3C实战 | 第28章防火墙双机热备

华为H3C实战 | 第29章防火墙高级功能

华为H3C实战 | 第30章设备管理安全与等保基线

华为H3C实战 | 第38章小型办公网从零配置

华为H3C实战 | 第40章华为 / H3C 命令速查字典

华为H3C实战 | 第41章新手常见问题 FAQ

华为H3C实战 | 第42章术语表与协议索引

华为H3C实战 | 第43章参考资料与学习路径