防火墙NAT错误

故障根因

• 公网 IP 1.1.1.1 已经配置了nat server端口映射（目的 NAT，发布内网服务器）；
• 同时这个 IP 又被放进动态 NAT 地址组（address‑group），用来做内网用户上网的源 NAT（PAT 端口转换）。
• V7 防火墙限制：同一个公网 IP，不能同时既做 nat‑server（目的 NAT），又放在动态 PAT 地址池做源 NAT，会出现 IP + 端口资源争抢，配置直接报错拒绝提交H3C。

通俗理解：1.1.1.1 既要对外提供端口映射给外网访问服务器，又要拿来给内网上网做 PAT 转换，二者资源冲突。

排查命令

两种解决办法（二选一）

方案 1（推荐）：把冲突 IP 从动态 NAT 地址组剔除

1. 修改 nat address‑group，不要把 1.1.1.1 包含在动态上网地址池，动态 NAT 使用其他公网 IP；
2. 1.1.1.1 专门留给nat server做端口映射使用。

示例：地址组原本是nat address‑group 1 1.1.1.1 1.1.1.5，改为nat address‑group 1 1.1.1.2 1.1.1.5，剔除 1.1.1.1。

方案 2：保留 IP 在地址组，错开端口范围

如果公网 IP 资源紧张，1.1.1.1 必须同时用于上网 PAT + 端口映射：

1. 地址组配置port‑range，把 nat‑server 占用的端口从地址组端口池挖掉；
2. 例如 nat‑server 占用 TCP 80、443，则地址组 port‑range 避开 80、443，动态 PAT 只使用剩余端口。

⚠️注意：操作复杂，维护麻烦，生产环境不推荐，优先方案 1。

补充避坑

1. Easy‑IP（直接用外网接口 IP 做源 NAT）场景：接口 IP 不要同时配置nat server，也会报同类冲突；
2. 不要一个公网 IP 同时混用静态目的 NAT 和动态 PAT，这是 V7 防火墙硬性约束H3C；
3. 修改完地址组后，建议清除旧 NAT 会话：reset nat session all。