防火墙做接口nat，在外网无法连通

1、看你的防火墙ssh 是不是开着呢，也是22端口

2、内部检查一下服务器相互ssh 通不通，是不是服务器操作系统的防火墙开着呢

外网吗？

有可能是运营商限制了

核心原因优先级（按最常见到少见排序）

1、域间安全策略未放行 untrust→trust 的 TCP 22（最高概率）

V7 防火墙默认域间拒绝。443 能通说明有一条放行 443 的策略，但没有单独放行 TCP 22。 很多人只添加了 443 服务对象，SSH 的 22 端口没有加到 untrust 到 trust 的安全策略。 命令查看策略：

需要新建策略：源域 untrust，目的域 trust，源 any，目的内网服务器 IP，服务 TCP 22，动作允许。

2、防火墙入侵防御 / 应用识别默认拦截 SSH 外网入站连接（非常典型）

V7 防火墙 IPS / 应用识别默认对外网主动发起 SSH 到内网判定为高危扫描、暴力破解行为，直接丢弃 SYN 包。 443 属于 HTTPS 业务，默认不拦截；而 SSH 22 是运维端口，IPS 特征库默认会阻断外网主动访问内网 SSH。 排查：关闭 IPS 策略测试，或者把外网测试 IP 加入白名单。

3、运营商侧封禁 TCP 22 端口

国内宽带运营商通常会屏蔽公网入方向 22 端口，防止暴力破解。443 是 HTTPS 常用端口一般放开。 测试验证：修改 nat server 的公网端口，把外网端口改成非 22，例如外网 2222 映射内网 22：

外网访问公网IP:2222，如果能连上，证明运营商封了 22。

4、服务器侧本地防火墙 /sshd 监听限制（多台服务器都出现，概率偏低，但仍要核对）

• Linux 服务器 firewalld/iptables 未放行 22；sshd 只监听内网网段；
• Windows OpenSSH 防火墙策略仅允许内网访问。

用户反馈换多台服务器都不行，说明大概率不是服务器本身问题。

5、NAT 规则冲突：接口 NAT（nat server）和出方向 nat outbound 冲突

当外网接口同时配置了 nat outbound（内网上网 PAT），容易出现端口资源抢占。 查看 nat 配置：

确认出接口的 nat outbound 不要覆盖 nat server 的内网服务器网段。

6、会话与 TCP 单包检查

防火墙开启 TCP 首包检测，SSH 握手报文特征容易被识别丢弃；443 的 TLS 握手不会触发。

标准排查步骤（顺序执行）

1. 内网直接访问服务器 22 端口，确认 SSH 服务正常监听，服务器本地防火墙放行。
2. 检查安全策略：确认 untrust 到 trust，允许 TCP 22，策略 ID 在 443 策略之后也没关系，只要匹配。
3. 临时关闭 IPS、应用过滤、威胁防护策略，外网测试 SSH。如果通了，就是 IPS 拦截，添加例外。
4. 修改映射公网端口，外网用 2222 访问内网 22，判断是否运营商封禁 22 端口。
5. 在防火墙外网 / 内网口抓包，看外网 SYN 报文是否到达内网服务器，有没有 SYN+ACK 回来：
   • 抓包看不到 SYN：运营商拦截
   • 收到 SYN，但防火墙丢弃：IPS / 安全策略拦截
   • SYN 到达服务器，无 SYN+ACK：服务器防火墙 /sshd 限制
   • 有 SYN+ACK 但是回包被防火墙丢弃：策略回包校验问题
6. 核对 nat server 配置，协议必须是 tcp，不要写成 udp。

补充说明

443 能通，说明接口 NAT 本身、公网路由、ARP、基础转发全部正常；问题集中在22 端口专属限制：安全策略、IPS 防护、运营商端口封禁三者之一。

临时验证配置示例