专线连接防火墙

打通网络就可以 

专线对端访问内网录像机 华三防火墙完整配置方案
一、基础组网接线
专线线路 → 防火墙专线 WAN 口（划入 Untrust 区域）
防火墙LAN 口 → 内网核心交换机 → NVR 录像机（Trust 区域）
提前收集信息：
本端专线接口 IP / 掩码、专线运营商网关
对端（上端）专线网段：10.20.0.0/24（举例，替换实际）
录像机内网网段：192.168.1.0/24，NVR 地址192.168.1.100
监控端口：80、8080、554、37777（大华 / 海康通用）
二、4 项核心必配（缺一不可）
1. 接口 IP + 安全域划分
plaintext
system-view
# 专线口（Untrust）
interface GigabitEthernet 1/0/0
port link-mode route
ip address 10.10.1.2 255.255.255.24
security-zone name Untrust
import interface GigabitEthernet 1/0/0

# 内网口（Trust）接交换机
interface GigabitEthernet 1/0/1
port link-mode route
ip address 192.168.1.1 255.255.255.0
security-zone name Trust
import interface GigabitEthernet 1/0/1

2. 静态路由（双向互通关键）
1）默认路由：内网正常上网
plaintext
ip route-static 0.0.0.0 0 10.10.1.1

2）回程路由：告诉防火墙，上端专线网段从专线口转发
plaintext
# 对端上端网段10.20.0.0/24，下一跳专线运营商网关10.10.1.1
ip route-static 10.20.0.0 255.255.255.0 10.10.1.1

3. 安全策略（允许上端访问录像机）
创建Untrust→Trust放行策略，只放通对端网段 + 监控端口，最小权限更安全
plaintext
# 1. 创建地址对象
object ip-address duanduan-wangduan
ip 10.20.0.0 mask 255.255.255.0
object ip-address nvr
ip 192.168.1.100 mask 255.255.255.255

# 2. 监控服务对象
object service jiankong
service tcp destination-port eq 80
service tcp destination-port eq 554
service tcp destination-port eq 37777
service tcp destination-port eq 8080

# 3. 域间安全策略
zone-pair security source Untrust destination Trust
object-policy apply ip duan-visit-nvr
object-policy ip duan-visit-nvr
rule 0 permit source duanduan-wangduan destination nvr service jiankong
rule 999 deny ip

4. NAT 配置（分两种专线场景）
场景 A：专线是内网互通（运营商三层专线，无公网）
不需要源 NAT，两端私有网段直接路由互通，跳过 NAT 配置。
场景 B：专线为公网线路（上端公网 IP 访问）
需要做端口映射 NAT Server，上端访问专线公网 IP 转发到 NVR：
plaintext
# 专线公网IP：10.10.1.2，映射内网NVR 192.168.1.100所有监控端口
nat server protocol tcp global 10.10.1.2 80 inside 192.168.1.100 80
nat server protocol tcp global 10.10.1.2 554 inside 192.168.1.100 554
nat server protocol tcp global 10.10.1.2 37777 inside 192.168.1.100 37777
# 内网上网正常源NAT
nat address-group 1 10.10.1.2 10.10.1.2
nat policy
rule 0 permit source 192.168.1.0 0 destination any
nat address-group 1

三、安全优化建议（专线跨网访问必做）
策略严格限制仅上端指定网段能访问录像机，禁止 any 源；
关闭多余端口，只开放监控需要的 TCP 端口；
开启策略日志，方便排查访问失败记录：
plaintext
object-policy ip duan-visit-nvr
rule 0 permit source duanduan-wangduan destination nvr service jiankong logging enable

录像机设置复杂登录密码，关闭匿名预览。
四、快速排错步骤（上端看不了录像）
防火墙 ping 对端上端设备 IP，不通：检查专线接口 IP、静态路由；
能 ping 通但打不开监控：查看display logbuffer | include deny，确认安全策略拦截；
公网专线访问失败：核对 NAT Server 映射端口、安全策略同时放行映射端口；
单向能通：缺失回程静态路由。
极简总结
专线口接防火墙 Untrust，内网口接交换机 Trust；
配置指向上端专线网段的静态回程路由；
新建安全策略，仅允许上端网段访问录像机监控端口；
公网专线增加 NAT 端口映射，三层内网专线无需 NAT；
全部配置完成后上端即可正常预览录像。

您好，配置端口映射就好