H3C SecPath GAP2000-CN80型号网闸，还能做SNAT或这DNAT了么？

不能 啊 

GAP2000‑CN80 没有传统防火墙那种 IP 层 SNAT/DNAT（报文 IP 头直接改写），内外网之间 TCP/IP 网络层是物理隔离、协议栈断开，不能做 IP 报文头的源 / 目的地址改写 NAT。 但是依靠TCP 应用通道的监听地址、连接源 IP 参数，实现等效的地址转换效果，属于应用层摆渡映射，不是 IP 层 NATH3C。

1、等效 DNAT（外网访问内网服务场景）

外网客户端访问网闸外端监听 IP + 端口，网闸摆渡之后，访问内网真实服务器 IP: 端口。

• 外网看到的是网闸外端 IP，看不到内网真实服务器 IP，业务效果等价 DNAT；
• 实现方式：新建 TCP 通道，填写【外端监听 IP、监听端口】，【内网真实目的 IP、目的端口】。

外网访问 外端IP:端口 →网闸摆渡→访问内网真实服务器 IP 端口。

2、等效 SNAT（内网访问外网服务场景）

内网客户端访问网闸内端监听 IP + 端口，网闸向外网发起连接的时候，报文源 IP 使用网闸外端的 “连接源 IP”，内网客户端真实源 IP 对外网不可见，业务效果等价 SNATH3C。

内网客户端→访问网闸内端监听 IP: 端口；网闸外端使用配置的连接源 IP 去访问外网服务器，外网服务器看到的源是网闸外端地址，看不到真实内网客户端 IP。

⚠️关键限制（和防火墙 NAT 重大区别）

1. 只支持 TCP 类应用通道（TCP 通用通道、HTTP、FTP 等），UDP 不支持该源地址伪装；
2. 不支持传统动态 NAT/PAT 地址池，只能填写固定的连接源 IP，不能多源 IP 地址池动态转换；
3. 每一条业务通道独立配置映射；不能像防火墙一条 NAT 策略匹配整个网段所有流量；
4. IP 报文头不在网络层直接修改，是网闸两端分别新建 TCP 连接，做应用层数据摆渡，不是改写原始 IP 包。

3、哪些实现不了

1. ❌不支持 IP 层动态 SNAT 地址池，内网大量主机共享一个地址访问外网（防火墙那种多对多 PAT/NAPT 做不到）；
2. ❌不能直接透传原始 IP 报文做网络层 DNAT/SNAT；
3. ❌普通 UDP 流量无法做源地址伪装，UDP 通道没有连接源 IP 参数。

组网建议

1. 内网多主机访问外网服务：每一类外网服务单独创建 TCP 通道，配置外端连接源 IP；
2. 外网访问内网服务器：配置 TCP 通道外端监听 IP 端口映射内网真实服务器；
3. 如果需要大量网段动态 PAT，建议在网闸外侧外挂防火墙做真正 SNAT，网闸只负责隔离摆渡。