什么前端设备，还有两个网卡，既然是录像机，那另外一个网口是链接的哪里呢。

1. 确认基础网络与安全域配置

• Trust 域：接口 GE1/0/4 已加入 Trust 域，配置 IP 为 192.168.1.x。
• 专线域（或 Untrust 域）：接口 GE1/0/1 已加入对应安全域（假设为 Untrust 或新建的专线域），配置 IP 为 192.168.2.x。
• 路由可达：防火墙上必须有到达 192.168.2.0/29 网段的路由（直连路由或静态路由）。

2. 配置全局 NAT 策略（Web 界面）

1. 登录 F100-C-G2 的 Web 管理界面。
2. 导航至 策略 > NAT > 全局 NAT 策略（部分版本路径为 策略 > 全局策略 > NAT 策略）。
3. 点击 新建 规则，按以下参数进行配置：
   • 规则名称：例如 Trust_to_Line_NAT
   • 源安全域：选择 Trust
   • 目的安全域：选择专线接口所在的安全域（如 Untrust）
   • 源地址：填写中心客户端地址 192.168.1.3（或对应的地址对象）
   • 目的地址：填写前端设备地址 192.168.2.13（或对应的地址对象）
   • 服务：选择 any（或根据实际业务选择特定端口）
   • 动作：选择 SNAT（源地址转换）
   • 转换方式：选择 静态地址转换 或 指定 IP 地址
   • 转换后的地址：填写 192.168.2.14
4. 确认无误后，点击 确定 保存策略。

3. 检查安全策略（关键）

1. 导航至 策略 > 安全策略 > 安全策略。
2. 检查是否有一条从 Trust 域到专线域（或 Untrust 域）的允许（Pass/Permit）策略。
3. 策略的目的地址应包含 192.168.2.13，服务应匹配您的业务端口。
   (注：H3C 防火墙的安全策略匹配是在 NAT 转换之后进行的，因此安全策略的目的地址应写转换后的真实目的地址)。

SecPath F100‑C‑G2 Web 配置：特定流量源地址转换

业务背景

• 1/0/4 接口：中心客户端 192.168.1.3（安全域 Trust）
• 1/0/1 接口：专线直连现场设备网段 192.168.2.0/29（安全域 Untrust）
• 需求：只有192.168.1.3访问目的192.168.2.13时，源 IP 转换成192.168.2.14；其余所有流量保持原有路由、不做任何 NAT 修改H3C。

原理：策略 NAT‑源地址转换，匹配五元组条件，静态 IP 转换；仅匹配这条特定流量，其他流量不命中该 NAT 规则，原有路由完全不受影响。 前提：防火墙 1‑0‑1 接口 IP 必须属于192.168.2.0/29网段，192.168.2.14这个 IP 不能被其他设备占用。

步骤 1：确认接口 & 安全域绑定

Web：【网络‑接口】

1. GigabitEthernet1/0/4 划入Trust域；
2. GigabitEthernet1/0/1 划入Untrust域；

原有三层 IP、静态路由全部保留，不要改动现有路由。

步骤 2：新建策略 NAT 规则（Web 路径：【策略】→【策略 NAT】→新建 NAT44 规则）

表格

保存。 关键点：只匹配源 192.168.1.3、目的 192.168.2.13 这一组流量；其他所有流量不会命中此 NAT，原有路由、转发完全不受改动。

💡静态 IP 模式：只修改源 IP，端口号保持不变（NO‑PAT），适合设备之间业务互通，不会做端口改写。

步骤 3：确认安全策略放行该流量

Web【策略‑安全策略】，确认存在放行规则：

• 源域 Trust，目的域 Untrust
• 源地址192.168.1.3，目的地址192.168.2.13，动作允许。

如果已经有宽泛 trust‑>untrust 允许策略，则无需新增；没有就新建一条。 ⚠️安全策略匹配转换前的源 IP（192.168.1.3），不是转换后的 2.14。

步骤 4：回程路由非常关键（极易踩坑）

现场设备192.168.2.13收到报文源是192.168.2.14，设备回程回复包目的 IP 为192.168.2.14，必须确保回包送到防火墙 G1/0/1 接口。

① 防火墙 G1/0/1 接口所在网段192.168.2.0/29，192.168.2.14属于该直连网段；防火墙本机有直连路由，收到回包之后，NAT 会话表自动把目的192.168.2.14还原回192.168.1.3，送回 1/0/4 接口客户端。 ② 禁止在防火墙上新增静态路由，原有全部路由保持不动。

⚠️重点：现场设备192.168.2.13的网关必须指向防火墙 1/0/1 接口 IP，否则回程报文不经过防火墙，NAT 会话无法还原，单向不通。

CLI 参考（供排查，不需要 web 操作）

验证与排错命令

1. Web 策略 NAT 页面，看这条规则命中计数是否增长；
2. CLI 查看 NAT 会话：

正常会话：源 IP192.168.1.3 转换后源 192.168.2.14，目的 192.168.2.13。

高频坑总结

1. ❌192.168.2.14被其他设备占用，出现 IP 冲突，业务不通；
2. ❌现场设备 192.168.2.13 网关没有指向防火墙 G1/0/1，回包绕开防火墙，单向 ping 通业务不通；
3. ❌安全策略目的填转换后 IP，安全策略要写转换前目的192.168.2.13；
4. ✅此规则是条件匹配 NAT，只有 1.3 访问 2.13 才转换，其余全部流量完全沿用原有路由，不改动现有配置。

测试：192.168.1.3 ping 192.168.2.13；同时测试 192.168.1.3 访问别的地址，确认不发生源地址转换。