防火墙堆叠组网部署NAT实现夸框转发

堆叠后就是一台了，默认就跨框。

F1060 IRF 堆叠跨框 NAT 完整解决方案（适配你双上行路由器拓扑）
一、核心问题根源
盒式防火墙（F1060）物理单接口不支持跨板 NAT：
内网流量从框 1 入、框 2 出，或反过来非对称路径，回包匹配不到 NAT 会话直接丢弃；
若 NAT 绑定在单独物理 GE0/0（框 1）、GE0/1（框 2），来回跨框就会断流。
二、4 个硬性改造方案（按推荐优先级排序）
方案 1：上下行全部做跨设备链路聚合（最优，无业务缺陷）
上行：F1060_1 GE0/0 + F1060_2 GE0/0 聚合 Bridge-Aggregation 1，对接 MCR 路由器 GE0/0；
F1060_1 GE0/1 + F1060_2 GE0/1 聚合 Bridge-Aggregation 2，对接 AR2 路由器 GE0/0；
下行：F1060_1 GE0/1 + F1060_2 GE0/0 聚合 Bridge-Aggregation 3，对接内网 MCR GE5/0；
NAT 统一配置在聚合虚接口上，不要绑定物理口：
plaintext
interface Bridge-Aggregation 1
nat outbound 2000
interface Bridge-Aggregation 2
nat outbound 2000
聚合口属于 IRF 全局接口，NAT 会话支持跨框转发，完美解决非对称路径。
方案 2：开启宽松会话模式（无需改聚合，临时应急）
允许非对称跨框流量匹配会话，备机放行不属于本机发起的回包，兼容双上行不对称路由：
plaintext
system-view
session asymmetric-path allow
配套必须开启会话热备份，NAT 会话同步到另一台框：
plaintext
session hotbackup enable
⚠️ 局限：高并发场景性能损耗大，大流量出口不推荐长期使用。
方案 3：NAT 全局配置（不绑定接口，规避物理口跨框限制）
不把 nat outbound 写在出口物理口，改用全局 NAT，路由决定出口，天然支持跨框转发：
plaintext
acl basic 2000
rule permit source 10.1.1.0 0.0.0.255
nat address-group 1 192.168.100.10 192.168.100.20
nat outbound 2000 address-group 1
两条上行路由分别指向两台路由器，流量任意走框 1 / 框 2，回包可正常还原 NAT。
方案 4：路由层面强制同框进出（极简改造，成本最低）
内网 10.1.1.0 路由下一跳固定走 F1060_1；访问 MCR（192.168.100.4）出口强制框 1；
新增内网网段路由下一跳走 F1060_2，访问 AR2（192.168.100.6）出口强制框 2；
同一流的往返报文固定在同一台防火墙转发，不会跨框，无需改动 NAT 配置。
三、配套关键必配命令（防止跨框丢包）
IRF 会话热备份（NAT 会话同步）
plaintext
session hotbackup enable
宽松会话（非对称流量放行，方案 2 专用）
plaintext
session asymmetric-path allow
NAT 全局地址池（方案 3 全局 NAT）
plaintext
nat address-group 1 192.168.100.10 192.168.100.20
nat outbound 2000 address-group 1
上下行跨设备聚合基础配置（方案 1 核心）
plaintext
interface Bridge-Aggregation 1
port link-aggregation mode dynamic
ip address 192.168.100.1 255.255.255.252
nat outbound 2000
interface GigabitEthernet 1/0/0
port link-aggregation group 1
interface GigabitEthernet 2/0/0
port link-aggregation group 1
四、故障排查验证命令
plaintext
# 查看NAT会话是否同步到另一框
display nat session table chassis 1
display nat session table chassis 2
# 查看会话热备份状态
display session hotbackup state
# 查看宽松会话是否开启
display session configuration
# 查看聚合口NAT配置
display current-configuration interface Bridge-Aggregation
五、简短总结
根本限制：F1060 物理接口绑定 NAT 不支持跨框非对称流量；
最优方案：上下行全部做 IRF 跨设备聚合，NAT 绑定聚合虚接口；
应急方案：全局 NAT + 开启会话热备份 + 宽松会话；
低成本方案：静态路由约束流量同框进出，避免跨框转发。