内网系统让外网访问：AR路由器NAT Server一条映射发布服务

公司内网跑了套 ERP 或监控系统，出差同事和客户要从外面访问，又不想把整台服务器直接暴露在公网。华为 AR 路由器上的 NAT Server（_nat 命令）就是干这个的：把公网地址的一个端口映射到内网服务器的端口，外网访问公网地址即被转进内网，内网服务器的真实地址不出门。本文按官方典型配置把这件事讲透。

机制：地址加端口的翻译规则

NAT Server 在路由器上登记一条"公网地址：端口 → 内网地址：端口"的静态映射。外网用户访问公网地址的目标端口时，路由器把目的地址改写成内网服务器地址并转进内网；服务器回包经路由器把源地址还原成公网地址发回去。可以一对一映射（公网地址整台给内网服务器），也可以只映射个别端口——只开业务需要的端口是安全基线，比如 Web 服务只映射 443，管理端口一概不出门。

配置走一遍

典型配置两条路线。静态指定公网地址的写法：

system-view
interface gigabitethernet 0/0/0
 nat server protocol tcp global 202.x.x.x 443 inside 192.168.10.20 443
quit

公网地址是出接口上动态获取（拨号线路）时，用接口地址方式：

interface gigabitethernet 0/0/0
 nat server protocol tcp global current-interface 443 inside 192.168.10.20 443
quit

多条映射可以在接口视图下逐条追加，各自独立生效。配完用 display nat server 核对映射表。

两个高频坑

一是回程路径必须对称：外网进来的流量由路由器转换，服务器的网关必须指向这台路由器，否则回包不走 NAT、外网用户收不到响应——这是 NAT Server 配完"通不了"的第一大原因。二是内网访问公网地址打不开属于正常现象：从内网访问自己的公网映射需要 NAT 环回（hairpin）配合，多数场景直接用内网地址访问内网服务即可，不必强配。安全侧再补一句：映射即暴露面，发布前确认服务器本身打了补丁、弱口令清零，管理界面别跟着一起映射出去。

验证

外网客户端访问公网地址的映射端口确认业务可达；路由器上 display nat session 观察转换会话是否命中；业务日志里记录的来源 IP 若显示为路由器内网口地址，按需排查应用层的真实 IP 透传配置。

NAT Server 是中小单位把内网服务安全地递到公网的最低成本路径：一条映射、一个端口、服务器地址不出门。贵州诚鑫致达科技帮客户发布业务系统时坚持"最小映射+发布前体检"两个动作——暴露面每少一个端口，风险就少一整类。

企业存储选型参考｜贵州诚鑫致达

做海量监控接入与长期归档，群晖机型参考：HD6500 · RS3621xs+ · DS2422+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。