检查下安全策略

M9008-S 接口 NAT（easy ip）命中，但是流量出不去

现象：会话可以建立、NAT 计数命中，但是报文只有出方向，没有回包，是 V7 防火墙经典场景，按顺序排查：

1、安全策略（最高概率）

接口 NAT 只是做地址转换，必须有 Trust→Untrust 的安全策略允许流量转发。

• 看会话状态：display session verbose
  • 如果会话状态是SYN_SENT，只有发起包，没有回包，大概率策略没放通。

注意：安全策略是域间转发策略，NAT 只是改源 IP，不能替代安全策略放行。

2、默认路由 / 回程路由问题（第二常见）

接口 NAT（EasyIP）只是把内网 IP 换成外网接口 IP，防火墙必须存在默认路由指向运营商下一跳。

• 没有默认路由：就算 NAT 命中，报文转发不出去。
• 运营商侧回程：运营商的设备要有回包 ARP；部分场景需要在出口接口开启nat outbound arp-proxy。

3、接口、安全域归属检查

• 内网口划入 Trust，外网口划入 Untrust；接口 IP 配置正确，接口 UP。

⚠️接口 NAT 要配置在外网出接口：nat outbound在 Untrust 接口下。

4、会话与 NAT 查看命令（定位报文方向）

看会话里面：

• Initiator → Responder：发包数量
• Responder → Initiator：回包数量 = 0 → 报文到外网之后没有回来，重点查默认路由 / 运营商
• 两边都有包，但终端收不到：检查内网 PC 网关是否指向防火墙内网接口

5、其他容易踩坑点

1. 黑名单 / 应用过滤 / 带宽策略：安全策略允许，但是应用识别、IPS、URL 过滤丢弃报文。
2. 多板卡 M9008-S：业务板卡（业务槽位）转发异常，会话建立在主控但是流量没有转发到业务板；需要确认业务板状态display device。
3. MTU：出口 PPPoe 场景，MTU 没调，大包丢包，小包 ping 正常，网页打不开。
4. 运营商绑定 MAC、IP 地址冲突。

快速定位一句话

display session verbose看回包计数

• 回包 = 0：防火墙发出去了，外网没有回复 → 查默认路由、运营商线路
• 有回包但是终端收不到：内网 PC 网关错误，或者安全策略拦截回程报文

最简排查顺序

1. 确认 Trust→Untrust 安全策略允许 any，hit 计数上涨
2. 确认存在默认路由，防火墙本身能 ping 公网 IP
3. display nat session 确认源地址已经转换成外网接口 IP
4. 看 session 的双向报文计数

补充：M9008-S 是模块化防火墙，业务流量跑业务板，不要只用主控测试。

“NAT命中但出不去”这个现象，核心原因在于NAT策略的命中（计数）与流量是否被真正允许转发，是两个不同阶段的处理结果。NAT只负责地址转换，而流量能否通过，最终由安全策略、路由以及会话状态共同决定。

 核心排查思路：先看会话，再查策略

不要只看NAT的命中计数，那只能说明报文匹配了规则，不代表它会建立会话并被转发。最关键的判断依据是设备上是否存在对应的NAT会话表项。

建议你在M9008-S上执行以下命令，按顺序排查：

第一步：检查NAT会话是否存在

这是排查的核心。根据结果，分两种情况：

• 能查到会话：说明NAT转换已生效，问题在转换后的转发环节（安全策略、路由等）。

• 查不到会话：说明流量虽然命中了NAT策略，但未能建立有效会话，报文在建立会话前就被丢弃了。

第二步：如果查不到会话，检查安全策略

NAT策略只做地址转换，流量是否被允许通过，由安全策略决定。即使NAT配置完全正确，如果安全策略拒绝，流量也无法建立会话。

• 检查你的安全策略，确认已放行NAT转换后的源地址到目的地址的流量。

• 执行 display security-policy statistics，查看是否有对应流量被 deny 的记录。

• 尤其注意反向流量（外网回包）的安全策略是否放行。如果回包被拒绝，正向会话也无法完整建立。

第三步：如果已有会话，检查路由与转发

如果会话存在但业务仍不通，问题通常在路由或接口层面。

• 检查路由：确认设备有到达目的地址的路由。如果NAT转换后的公网地址与出接口不在同一网段，需要确保上游设备有回程路由指向防火墙。

• 检查接口状态：确认NAT绑定的出接口物理和协议状态均为 UP。

• 检查NAT地址池：确认地址池中的公网地址是否已正确配置，且与出接口在同一网段。

 M9008-S需要特别关注的“流表资源”问题

M9008-S作为分布式高端设备，有一个独有的限制：NAT配置会占用流表资源。如果NAT策略、安全策略或会话数量过多，可能导致流表资源耗尽，此时新流量无法创建流表项，就会出现“NAT命中但流量不通”的现象。

建议检查设备的流表资源使用情况，如果发现资源接近或达到上限，需要考虑精简NAT/安全策略规则，或联系H3C技术支持评估扩容方案。

 快速排查清单