NAT Hairpin（双向 NAT / 环回 NAT）安全策略完整逻辑拆解

先梳理你的组网

• 域 21：Server 服务器区（私网服务器，做目的 NAT 映射公网 IP 对外发布）
• 域 31：Office 办公网段
• 域 41：IT 运维网段
• 公网域：Internet
  需求：内网 31/41 电脑用公网域名 / 公网映射 IP访问内网服务器 21 区

一、核心原理：Hairpin 流量路径（决定安全策略匹配规则）

1. 源 NAT：内网终端源 IP → 转换成防火墙内网出接口同网段地址（Hairpin 强制源地址转换）
2. 目的 NAT：公网映射 IP → 转换成服务器真实私网 IP（原有发布服务器目的 NAT）

流量域间走向（关键！）

二、逐条解答你的 4 个疑问

1. 为什么社区说只给服务器侧 21 开 hairpin，但你 21/31/41 全都开才通？

• 官方最简方案：仅在 ** 服务器所在接口 / 域（21）** 开启 hairpin，只做目的 NAT 环回；
• 你的场景失效原因：内网 31、41 属于不同安全域 / 三层接口，部分 H3C 防火墙版本要求发起访问的客户端域接口同时开启 hairpin，否则源 NAT 转换失败、报文丢包；
• 本质：hairpin 是接口属性，客户端入接口不开，源地址无法被转换成内网中转地址，流量中断。

2. 为什么必须配置「21 域允许访问 21 域」本地域安全策略？

1. 报文经过两次 NAT 后，转换后的源地址属于公网中转地址（归属公网域），目的是 21 服务器；
2. 防火墙转发校验：出方向是公网域→21 域，正常公网→21服务器发布策略放行外网；
3. 但回程报文：服务器 21 回包给中转公网 IP，此时流量是21 域→公网域，部分固件下，同域环回报文会识别为21→21本地域流量；
4. 缺少local 21 permit 21策略时，服务器回包被本地域拦截，访问不通。

3. 41 网段不用配置「21 允许 21」策略也能通，31 必须配的差异原因

1. IT 域 41 接口 / 域开启了域内流量默认放行，本地同域报文不校验本地安全策略；
2. Office 域 31 接口默认域内隔离，服务器 21 回环流量强制匹配21 to 21本地策略；
3. 也可能是策略优先级差异：41 访问 21 的全域放通策略优先级高于本地域拦截，覆盖了限制。

4. 41 网段用公网域名访问，匹配策略是 41→21，不是互联网上网策略

• 互联网上网策略适用场景：41 域终端直接访问外网 IP（41→公网域）；
• Hairpin 场景：终端访问公网服务器映射 IP，报文触发目的 NAT，流量被引流内网 21 区；
• 防火墙匹配逻辑：先匹配目的 NAT，识别目标是内网服务器，不走外网路由，直接匹配内网域间策略 41→21，不会匹配普通上网策略。

三、Hairpin 场景安全策略完整匹配逻辑（重点第 5 问）

1. 去程报文（内网终端→服务器）

1. 入接口属于 31/41 域，先匹配41/31 to 公网域策略，允许访问公网映射 IP；
2. 触发目的 NAT：目的地址转为服务器私网 IP；
3. Hairpin 源 NAT：源 IP 转换为防火墙内网中转 IP（公网域地址池）；
4. 出接口属于 21 服务器域，匹配公网域 to 21 域服务器发布策略，放行流量。

2. 回程报文（服务器→内网终端）

1. 入接口 21 域，出接口公网域；
2. 匹配两条策略之一：
   • 存在21 to 21本地域放行策略（Office31 网段必须）；
   • 域内流量默认放行（IT41 网段无需配置本条）；
3. 反向解除两次 NAT，报文转回终端原始 IP，发回 31/41 域终端。

总结策略匹配规则

1. 客户端访问校验：客户端域(31/41) → 公网域放通；
2. 服务器入站校验：公网域 → 服务器域21服务器发布策略；
3. 服务器回环校验：服务器域21 → 公网域，依赖本地同域 21→21 策略 / 域内默认放行；
4. 全程不会匹配普通内网互通策略 31→21、41→21，仅当不使用公网 IP、直接私网访问服务器时才匹配这条内网策略。

四、优化建议（不用全接口开 hairpin，简化配置）

1. 仅在服务器 21 域接口开启nat hairpin enable，客户端 31/41 接口关闭；
2. 保证两条基础策略：
   • 公网域 → 21 域：放行服务器端口（对外发布）；
   • 31/41 域 → 公网域：允许终端访问服务器公网映射 IP；
3. 关闭服务器域 21 的域内隔离，取消强制21 to 21本地策略；
4. 区分两种访问模式：
   • 私网 IP 直连服务器：匹配31/41 to 21内网策略；
   • 公网域名 / 映射 IP 访问服务器：走 hairpin，匹配公网域中转策略。