防火墙SecPath F1000-AI-35+配置策略NAT目的地址转换

F1000-AI-35 双线目的 NAT（端口映射）一条通一条不通完整排查方案
一、先梳理你的场景
双线：电信公网口、联通公网口，两个公网 IP，分别做目的 NAT 映射到同一个内网服务器同一端口；
电信端口映射正常，联通端口映射失败；
设备：H3C SecPath F1000-AI-35+ 策略型目的 NAT。
二、核心原理：双线端口映射必须同时满足 4 点，联通不通基本逃不出下面 4 类问题
1. 联通线路缺少回程源 NAT（最高发原因）
故障逻辑
用户联通外网访问防火墙联通公网 IP: 端口 → 目的 NAT 转内网服务器；
服务器回包时，源地址是内网私网段，防火墙没有联通线路对应的源 NAT 策略，回包直接丢弃，外部用户收不到响应，表现连接失败。
电信能通 = 电信有配套源 NAT，联通漏配。
解决配置（联通线路新增源 NAT）
plaintext
# 1. 创建联通内网访问联通公网的地址池
nat address-group UNI 0 192.168.2.10 192.168.2.10 # 联通公网接口IP
# 2. 联通内网→联通公网源NAT策略
nat policy uni-nat
rule permit source 内网段 0 destination any
nat address-group UNI
# 3. 绑定到联通安全域间策略
security-policy interzone trust untrust_uni
source-zone trust
destination-zone untrust_uni
action permit
nat apply policy uni-nat
双线必须两套独立源 NAT：电信源 NAT 走电信公网 IP，联通源 NAT 走联通公网 IP，不能共用一条源 NAT。
2. 联通目的 NAT 绑定错误安全域 / 接口
电信目的 NAT 绑定untrust_tele电信外网域；
联通目的 NAT 必须绑定untrust_uni联通外网域；
若联通目的 NAT 选错域 / 没绑定联通外网接口，流量匹配不到映射规则，直接阻断。
3. 联通外网安全策略拦截入站流量
即使目的 NAT 配置正确，域间策略没放行联通外网到内网服务器：
plaintext
security-policy interzone untrust_uni trust
rule permit destination 内网服务器IP 0 service tcp 对应端口
电信域放行了，联通域漏放，访问直接被防火墙丢弃。
4. 路由问题（联通线路双向路由缺失）
① 外网回包路由
内网服务器网关指向防火墙内网口没问题；
防火墙联通接口回程路由：内网服务器回包去往联通外网用户，必须从联通接口转发，不能默认走电信。
解决：添加明细回程静态路由，根据源 / 目的匹配联通出接口，或配置策略路由区分双线回包。
② 公网 IP 路由可达
联通公网 IP 段路由是否下发到联通接口，避免流量从电信口转发导致源 IP 不匹配，NAT 失效。
5. 端口冲突 / 联通公网端口被防火墙占用
联通使用的映射端口，被防火墙本地服务占用（如 80/443/22/8080 管理端口），监听失败，映射不生效。
更换其他端口测试验证。
三、针对你截图 OpenVPN 专线补充额外风险
截图存在 OpenVPN 专线隧道，需确认：
联通外网流量不会被 VPN 策略路由劫持；
目的 NAT 匹配顺序：外网流量优先匹配接口目的 NAT，不要被 VPN 路由提前转发。
四、现场快速定位排查命令
查看联通目的 NAT 是否匹配流量
plaintext
display nat destination statistics
联通条目计数为 0 = 流量根本没匹配到映射规则；
计数有增长但不通 = 回程源 NAT / 安全策略拦截。
抓包看联通接口流量
plaintext
debugging ip packet interface GigabitEthernet 0/1 (联通外网口)
看请求包进来、回包是否发出，无回包 = 回程 NAT / 路由问题。
查看域间安全策略命中统计
plaintext
display security-policy statistics interzone untrust_uni trust
联通访问内网端口是否被 deny 丢弃。
五、最简落地修复顺序
给联通线路补充独立源 NAT 地址池 + 源 NAT 策略（90% 双线单通故障根源）；
确认联通目的 NAT 绑定联通外网安全域 / 接口；
放行联通外网→内网服务器对应端口的域间安全策略；
配置双线回程策略路由，内网服务器回包对应从联通接口转发；
排查端口是否被防火墙本地服务占用。
极简总结
电信通、联通不通，9 成是联通线路缺少配套的源 NAT 地址转换，服务器回包无公网联通 IP 源地址，外网客户端收不到应答；其次是联通外网安全策略拦截、双线回程路由错乱。