SR6608NAT流程问题

在SR6608上做静态1:1 NAT，出访方向路由要写 global-ip，不是local-ip。
原因：出访时，外部主机（20.1.1.1）访问的是global地址10.1.1.1，路由器收到目的地址为10.1.1.1的报文后，先查路由，路由必须能命中10.1.1.1，然后才触发NAT转换成192.168.1.1。如果路由写local-ip，外部访问10.1.1.1时路由不可达，NAT根本不会触发。
转发流程：
出访方向（20.1.1.1 → 10.1.1.1）：
1. 报文从G1/1/0进入，目的IP=10.1.1.1
2. 查路由表，命中10.1.1.1/32路由（需指向G1/1/0或出接口）
3. 匹配nat static inbound规则，目的地址10.1.1.1转换为192.168.1.1
4. 重新查路由转发给192.168.1.1
入访方向（192.168.1.1 → 20.1.1.1）：
1. 报文从内网进入，源IP=192.168.1.1
2. 匹配nat static inbound，源地址转换为10.1.1.1
3. 查路由转发出去
关键配置：
bash
全局静态映射
nat static inbound 10.1.1.1 192.168.1.1
接口使能
interface GigabitEthernet1/1/0
nat static enable
出访路由必须写global-ip
ip route-static 10.1.1.1 32 GigabitEthernet1/1/0
排查命令：
bash
display nat static
display ip routing-table 10.1.1.1
display nat session verbose # 查看NAT会话是否建立
debugging nat packet # 抓NAT处理过程
注意：如果10.1.1.1是接口地址同网段，路由会自动生成直连路由，无需手工配置；如果是独立映射地址，必须手工加32位路由指向内网接口。

1. display nat static all确认 inbound 映射存在；
2. 确认出接口 G1/1/0 有nat static enable；
3. 必须存在 local‑ip 的 32 位静态路由指向内网；global‑ip 不需要路由；
4. 测试出访不通优先 debug ip packet 看报文是在路由阶段丢弃，还是 NAT 阶段没转换。

补充：如果反过来，内网192.168.1.1访问外网 20.1.1.1，报文从 G1/1/0 进入路由器，源 IP 匹配 global‑ip=10.1.1.1，源转换为 192.168.1.1；这条流量不需要依赖 local‑ip 静态路由。