外网访问公司服务器正常内网反而打不开：防火墙NAT回环补上这一环
整理自华为官方发布的典型配置案例。
官网和文件服务都在防火墙后面的 DMZ 区里，NAT Server 映射配好，外面访问公网地址一切正常。可办公室里自己人用公网地址（域名解析出来的就是它）打开自家网站，偏偏打不开。官方文档把这个场景叫"私网用户使用公网地址访问内部服务器"，俗称 NAT 回环：光有对外发布的 NAT Server 不够，内网电脑去访问公网地址的这段流量，还得在防火墙上做一次源 NAT，让"出去再回来"的路径在防火墙内部就闭环。
先有对外发布的NAT Server
示例里两台服务器已通过 NAT Server 对外发布：公网地址 1.1.1.10，Web 服务用 8080 对内网的 80 口，FTP 直接 21 对 21：
nat server policy_web protocol tcp global 1.1.1.10 8080 inside 10.2.0.7 www route
nat server policy_ftp protocol tcp global 1.1.1.10 ftp inside 10.2.0.8 ftp route
内网访问的流量补一条源NAT
内网的电脑（示例地址 10.2.0.6）去访问 1.1.1.10，把它的地址转成申请到的另一个公网地址 1.1.1.11，流量就能在防火墙上完成回环：
nat address-group addressgroup1 0
mode pat
route enable
section 0 1.1.1.11 1.1.1.11
nat-policy
rule name policy_nat1
source-zone dmz
destination-zone dmz
source-address 10.2.0.6 32
action source-nat address-group addressgroup1
注意这条策略的源区和目的区都是 DMZ——访问者和服务器在同一侧，这是回环流量的特征。
安全策略把两个方向的源都放行
访问服务器的策略里，源区把 DMZ 和 Untrust 都放进来，内外用户一视同仁：
security-policy
rule name policy1
source-zone dmz
source-zone untrust
destination-zone dmz
destination-address 10.2.0.0 24
action permit
配完怎么验
私网用户访问内网服务器正常，即配置成功；在 Web 界面"监控 > 会话表"里能看到目的地址为服务器公网地址的会话，说明回环路径真的走了防火墙。
几个容易踩的点
- 别只配NAT Server：对外发布正常、内网打不开，十有八九就是缺这条源 NAT 策略，两条要配齐才成环。
- 地址池记得 route enable：示例的地址组里带 route enable，转换后的流量才按路由正常发出。
- 源地址精确到位：回环策略按需收敛到需要这样访问的电脑或网段，别一张大网全转，白白消耗公网地址。
- 服务器网关指向防火墙：示例中内网服务器把防火墙内接口地址配置为默认网关，回程流量才不会走丢。
对外发布和内网回环一起配顺，官网、文件服务才能内外一个体验。欢迎搜索关注贵州诚鑫致达科技，防火墙策略梳理、发布服务上架都可以上门处理。
企业存储选型参考｜贵州诚鑫致达
小团队起步上手 NAS，群晖机型参考：DS425+ · DS224+ · DS124。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。西藏·拉萨企业数据存储与备份容灾，支持远程与驻场。