F1000-AK115 如果取消内网网段出去的nat功能

删除接口nat或者策略nat

你想表达的是

①我做了映射，能从外网访问，但是现在我想取消掉，不用了

②我内网有一个网段不想让它做nat上网，如何取消

设备：F1000-AK115，V7 平台，存在策略路由多出口场景
核心原理：使用 nat-policy 全局 NAT 策略，action no-nat，不建议依赖接口 nat outbound；no-nat 规则必须放在普通 snat 规则上方（优先级更高）。
重要前置提醒
流量直接以私网 IP 上公网，运营商骨干网默认不路由私网地址！
✅适用场景：专线互联、SD-WAN、跨站点隧道、对接上游可路由私网的运营商；
❌普通互联网宽带：不做 NAT 直接无法上网，会断网。
区分两种现有 NAT 部署方式：
方式 A：接口下 nat outbound easy-ip（老旧接口 NAT）
方式 B：全局 nat policy（推荐，新规范，支持精细化控制）
方案一：全局 NAT 策略（推荐，适配策略路由多出口）
示例需求
内网网段 10.10.1.0/24 访问外网不做源 NAT；其余内网网段正常 SNAT。
plaintext
system-view
# 进入全局NAT策略
nat policy
# 【最高优先级，放在最前面】匹配目标网段，执行不转换
rule name NO_NAT_10_10_1
source-zone trust
destination-zone untrust
source-address 10.10.1.0 255.255.255.0
action no-nat

# 原有普通网段SNAT规则（在no-nat下方）
rule name SNAT_NORMAL
source-zone trust
destination-zone untrust
source-address any
action source-nat easy-ip
Web 界面操作路径（新版固件）
【策略】→【NAT 策略】
新建规则：源区域 trust、目的区域 untrust、填入目标内网网段；
转换动作选择 不进行源地址转换（no-nat）；
拖动这条规则到所有 SNAT 规则顶部（顺序决定优先级）。
方案二：如果你当前使用【接口 nat outbound】（不推荐长期使用）
接口 EasyIP 方式无法原生配置 “部分网段免 NAT”，两种处理：
改造：删除接口 nat outbound，迁移到上面全局 nat-policy（最优）；
临时规避：ACL 精确匹配，把不需要 NAT 的网段拒绝在 ACL 之外
plaintext
acl number 3000
rule permit ip source 10.10.2.0 0.0.0.255 # 需要NAT的网段
# 不写10.10.1.0网段，该网段不会匹配nat outbound，不转换
interface GigabitEthernet0/0
nat outbound 3000 easy-ip
三、策略路由场景关键坑（你重点注意）
策略路由 (PBR) 只改变下一跳 / 出接口，不会干预 NAT；
✅正确逻辑顺序：
报文 → 安全策略放行 → NAT 策略匹配（no-nat/snat） → 策略路由选出口 → 转发
⚠️常见错误：以为配置策略路由就能跳过 NAT，不行，必须单独配置 no-nat 策略。
四、验证命令（配置完成必查）
plaintext
# 查看nat策略顺序
display nat policy
# 发起测试流量后查看会话表，确认源IP仍是私网地址（没有转换）
display session table source 10.10.1.10
# 查看NAT表项，确认没有生成对应转换条目
display nat session

取消内网网段的 NAT 功能，具体操作取决于你的实际需求。通常有以下两种情况，你可以对照参考：

情况一：取消某个内网网段的上网 NAT（最常见）

如果你想让某个内网网段（比如办公网段）直接通过路由上网，不使用防火墙的 NAT 功能，最直接的方法是修改 NAT 策略中匹配的源地址。

操作思路：找到控制该网段上网的 NAT 策略，将其匹配的源 IP 地址从“所有内网”改为“指定的其他网段”，从而把目标网段“排除”出去。

方法一：通过命令行 (CLI) 操作

1. 查看现有的 NAT 配置：
   首先登录防火墙，通过 display nat outbound 命令查看当前的 NAT 出方向配置。这会显示 NAT 策略关联的 ACL（访问控制列表）编号。

   bash

   <H3C> display nat outbound

2. 修改关联的 ACL：
   根据上一步查到的 ACL 编号（例如 2000），进入其视图，修改允许的源地址范围。

   bash

   <H3C> system-view [H3C] acl basic 2000 # 例如，原规则允许所有地址：rule 0 permit source any # 现在要排除 192.168.1.0/24 网段，可以改为只允许其他网段： [H3C-acl-ipv4-basic-2000] rule 0 permit source 192.168.2.0 0.0.0.255 [H3C-acl-ipv4-basic-2000] quit

3. （可选）删除并重新应用 NAT：
   有时修改 ACL 后需要重新应用 NAT 配置才能生效。

   bash

   [H3C] interface GigabitEthernet 1/0/2 # 替换为你的外网接口 [H3C-GigabitEthernet1/0/2] undo nat outbound 2000 [H3C-GigabitEthernet1/0/2] nat outbound 2000 [H3C-GigabitEthernet1/0/2] quit

方法二：通过 Web 界面操作

1. 登录防火墙的 Web 管理页面，导航至 “策略” > “NAT” > “NAT动态转换”（或类似“源NAT”的菜单）。

2. 找到控制内网上网的 NAT 策略，点击编辑。

3. 在 “源地址” 或 “匹配规则” 部分，将需要取消 NAT 的网段从地址池或 ACL 规则中移除，或修改规则使其不匹配该网段。

4. 保存配置。

情况二：取消端口映射 (NAT Server)

如果你之前为内网服务器（如 Web 服务器）配置了端口映射，现在想取消，操作会更直接。

操作思路：直接删除对应的 nat server 配置项。

方法一：通过命令行 (CLI) 操作

1. 查看现有的 NAT Server 配置：
   使用以下命令查看所有已配置的内部服务器映射。

   bash

   <H3C> display nat server

2. 删除指定的配置：
   找到要删除的映射后，在外网接口视图下使用 undo nat server 命令删除。

   bash

   <H3C> system-view [H3C] interface GigabitEthernet 1/0/2 # 替换为你的外网接口 # 以下命令假设映射的是 TCP 8080 端口到内网 192.168.1.10 的 80 端口 [H3C-GigabitEthernet1/0/2] undo nat server protocol tcp global current-interface 8080 inside 192.168.1.10 80 [H3C-GigabitEthernet1/0/2] quit

方法二：通过 Web 界面操作

1. 登录 Web 管理页面，导航至 “策略” > “NAT” > “NAT内部服务器”。

2. 在列表中找到你要取消的映射规则，直接点击 “删除” 即可。

💎 情况三：彻底关闭设备的所有 NAT 功能

这是一个全局操作，会禁用设备上所有 NAT 功能，操作前请务必确认。

注意：H3C 防火墙的 NAT 功能默认是关闭的。如果全局关闭，所有 NAT 策略和映射都将失效。

⚠️ 关键提醒

• 影响范围：取消某个网段的 NAT 后，该网段将无法通过此防火墙的 NAT 功能访问外网。请确保该网段有其他路由路径可以上网，否则会导致断网。

• 配置保存：所有修改完成后，务必执行 save 命令保存配置，以防止设备重启后配置丢失。

• 操作前备份：在进行重大 NAT 配置变更前，强烈建议先备份当前配置文件，以便在出现问题时可以快速恢复。