华为NAT配置实例的核心就一句话：内网地址在出口设备上被替换成公网地址，路由器上抓住ACL、地址池、接口调用三件事，防火墙上再加安全策略，Easy IP适合动态拨号，NAT Server适合映射内网服务器。 下面按真实设备场景拆开说,命令可直接对着配。
华为路由器NAT配置命令怎么用？从ACL到出接口只需三步
在华为AR系列路由器上，最常见的NAT配置就是让内网用户共享公网地址上网，假设内网网段是192.168.1.0/24，运营商分给公司一段公网IP：203.0.113.10到203.0.113.20，配置思路很直接：先圈定哪些内网地址允许上网，再准备公网地址池,最后在出接口调用。
华为NAT地址池配置步骤：把公网IP段建成地址池
路由器上先进入系统视图,创建ACL匹配内网网段：
system-view
acl number 2000
rule 5 permit source 192.168.1.0 0.0.0.255
quit再配置公网地址池：
nat address-group 1 203.0.113.10 203.0.113.20这条命令建了一个编号为1的地址池，包含11个公网地址，多数情况下，内网主机数量远多于公网IP个数，所以华为默认启用NAPT端口复用，几百台内网电脑共用这11个公网IP，出口流量通过端口号区分会话,不会互相干扰。
出接口一条命令完成NAT绑定
接着进入连接运营商的公网接口，比如GE0/0/0：
interface GigabitEthernet0/0/0
ip address 203.0.113.10 255.255.255.0
nat outbound 2000 address-group 1
quitnat outbound 2000 address-group 1这条命令的含义很明确：匹配ACL 2000的内网流量，从GE0/0/0出去时，把源地址替换成地址池group 1里的公网IP，配完这一步，只要内网主机缺省路由指向路由器,就能正常访问外网。
华为Easy IP和NAT Server区别：拨号与服务器映射怎么选
如果公司用的是PPPoE拨号，公网IP每次拨号都可能变化，固定地址池就不适用，这时用Easy IP，直接复用拨号接口当前获取的IP做源地址转换,配置更简单：
interface Dialer0
nat outbound 2000N
AT Server解决的是相反方向的需求：让外网主动访问内网服务器，它必须使用固定公网IP和固定端口，Easy IP解决“内网主动出去”，NAT Server解决“外网主动进来”，两者目标不同，配置位置也不同,别把它们当成同一种场景的替代方案。
华为防火墙NAT配置实例：企业出口双线或多服务器映射
防火墙上的NAT配置不能只做地址转换，还要让安全策略放行，很多工程师在路由器上配完NAT就能通，到了防火墙只配NAT命令却不通，问题基本都出在安全策略上，行业共识认为，NAT本身不提供安全过滤,必须配合ACL或安全策略使用。
华为防火墙NAT Server配置内网服务器：端口映射实操
以USG6000系列为例，内网有一台Web服务器192.168.1.10，需要把公网203.0.113.10的8080端口映射到内网80端口，先在接口下配置NAT Server：
interface GigabitEthernet1/0/1
ip address 203.0.113.10 255.255.255.0
nat server protocol tcp global 203.0.113.10 8080 inside 192.168.1.10 80然后必须放行从untrust到trust方向的安全策略，允许目的地址为192.168.1.10、目的端口为80的流量通过，如果漏掉安全策略，外网访问会显示连接超时，而设备上NAT Server配置看起来完全正确。
防火墙出方向源NAT：用NAT策略替代接口命令
新版本华为防火墙更推荐用nat-policy做源NAT，匹配条件更丰富,先建地址池：
nat address-group pool1
section 0 203.0.113.11 203.0.113.20再写NAT策略：
nat-policy
rule name snat_to_internet
source-zone trust
destination-zone untrust
source-address 192.168.1.0 mask 255.255.255.0
action source-nat address-group pool1这种方式的好处是能区分源区域、目的区域、地址段甚至应用，管理上比接口直接调用ACL清晰，适合多出口或按部门分流的办公场景，策略动作明确,不会和接口下的NAT命令混淆。
华为路由器与防火墙NAT配置命令对照：别把接口命令搬到防火墙上
实际维护中经常有人把路由器命令拿到防火墙上用，结果不生效，两类设备命令逻辑不同,关键差异列出来：
| 操作 | 华为路由器AR系列 | 华为防火墙USG6000 |
|---|---|---|
| 匹配内网地址 | ACL number 2000 | nat-policy中source-address |
| 公网地址池 | nat address-group | nat address-group + section |
| 出方向源NAT | interface下nat outbound | nat-policy action source-nat |
| 服务器映射 | interface下nat server | interface下nat server或nat server policy |
| 安全过滤 | 默认不需要单独放行 | 必须额外写安全策略 |
表格里的差异不是配置习惯问题，而是产品架构决定的，路由器侧重转发，NAT规则本身参与转发决策；防火墙侧重安全过滤，NAT和安全策略是两条独立处理线，配防火墙时只写NAT不写安全策略,流量会被默认拒绝。
内网服务器映射失败怎么排错？先查数据流经过的每一跳
配置命令只是第一步，实际维护中，内网服务器映射失败是高频问题，业内专家指出，多数企业内网服务器映射失败，问题不在NAT命令，而在安全策略和回程路由,可以按数据流方向逐跳检查：
- 外网访问者能否解析到公网IP，公网IP如果是动态的,需要DDNS绑定。
- 公网IP的8080端口是否在运营商侧被限制，部分地区的运营商对常见端口有管控,换高位端口能规避。
- 防火墙是否放行untrust到trust方向、目的端口为内网端口的流量。
- NAT Server命令里的global端口和inside端口是否写反。
- 内网服务器网关是否指向防火墙或路由器内网接口,回程路由是否可达。
- 路由器上可以用
display nat session查看会话是否生成，防火墙上用display firewall session table查看会话匹配情况。
按照这个顺序，相当一部分映射失败都能在几分钟内定位,不要在没检查安全策略前反复修改NAT命令。
到底选哪种NAT？一张表看懂应用场景
不同办公场景对NAT类型的要求不一样,把常见场景汇总如下：
| 场景 | 推荐方式 |
配置要点 |
|---|---|---|
| 固定公网IP、内网多台主机共享上网 | 地址池NAPT | ACL匹配内网网段，出接口nat outbound |
| PPPoE拨号、公网IP不固定 | Easy IP | 出接口nat outbound，不带地址池 |
| 外网访问内网Web/邮件服务器 | NAT Server | 固定公网IP+端口映射，配安全策略 |
| 多出口负载或分应用出网 | NAT策略 | 源区域、目的区域、应用匹配后做source-nat |
多数情况下，小企业用Easy IP就够了，中型企业用地址池，有服务器映射需求就加NAT Server，配置时不建议在同一个接口混用多个NAT规则而不加匹配条件,容易造成回程流量找不到会话。
华为NAT配置实例的核心没变：内网地址在出口设备上被替换成公网地址，路由器上抓住ACL、地址池、接口调用三件事，防火墙上再加一条安全策略，需要外网访问内网服务器时，NAT Server的global端口和inside端口必须一一对应，搞清数据流的源和目的,NAT配置不会复杂。
华为NAT配置实例：为什么配置完成后内网还是上不了网？
最常见的原因是ACL没有匹配到内网源地址，或者出接口没有正确配置nat outbound，路由器上可以用display nat session查看是否有会话生成，如果会话计数不变，基本是ACL或接口问题；如果有会话但ping不通,检查缺省路由和运营商网关。
华为NAT配置实例：内网服务器映射后外网访问不通如何排查？
先确认公网端口是否可达，再查防火墙安全策略是否放行untrust到trust的流量，最后检查NAT Server命令中的inside地址和端口是否与服务器实际监听一致，回程路由也必须指向防火墙,否则外网流量进来后服务器响应无法回到出口。
华为NAT配置实例：Easy IP和地址池能同时用吗？
可以在不同接口或不同规则下同时使用，但不建议对同一内网网段在同一出接口重复配置，Easy IP复用接口当前IP，地址池使用固定公网段，同一接口上多条NAT规则需要靠ACL区分不同内网网段,否则后配置的规则可能覆盖前面的匹配结果。