全部
經驗案例
典型配置
技術公告
FAQ
漏洞說明

全部
是
否

全部
是
否

大數據引擎
知了引擎

產品線		搜索取消
案例類型
發布者
是否解決
是否官方
時間
搜索引擎
匹配模式	默認策略匹配全詞匹配整句

高級搜索

問

路由器防火牆源進源出

2024-04-07提問

0關注
0收藏，3520瀏覽

果樹節零段

粉絲：0人關注：1人

問題描述：

中有兩個出口一個是FW PC（192.168.1.2）直接FW1 通過 100.1.1.2 的公網地址SNAT出去其中另外一個web服務器10.1.1.2 在FW1中通過PBR 牽引路由到FW2 FW2 中有DNAT配置 web服務發布到 200.1.1.2 公網中

FW1配置

interface GigabitEthernet1/0/2

ip address 100.1.1.2 255.255.255.0

nat outbound

interface GigabitEthernet1/0/3

ip address 172.16.1.2 255.255.255.0

interface GigabitEthernet1/0/4

ip address 172.10.11.254 255.255.255.0

nat hairpin enable

ip policy-based-route aaa

Policy name: aaa

node 10 permit:

if-match acl 3000

apply next-hop 172.16.1.1

Advanced IPv4 ACL 3000, 1 rule,

ACL's step is 5

rule 5 permit ip source 10.1.1.0 0.0.0.255

FW2配置

interface GigabitEthernet0/1

ip address 200.1.1.2 255.255.255.0

nat outbound

nat server protocol tcp global 200.1.1.2 10022 inside 10.1.1.2 23

現在訪問請求 192.168.1.2 訪問 200.1.1.2 10022 端口不通

通過查看防火牆會話發現產生了一條 local 到trust的會話

192.168.1.2 訪問 200.1.1.2 FW1設備上第一步SNAT 100.1.1.2 100.1.1.2- 200.1.1.2 公網流量走一圈然後到FW2 DNAT 100.1.1.2 訪問10.1.1.2 最後到FW1 設備我認為是這個會話100.1.1.2 訪問 10.1.1.2 應該是utrust -trust 但是由於 100.1.1.2 剛好是設備本地地址隻不過流量從外部繞一圈回來了，那麼設備FW1 是怎麼把100.2訪問 10.1.1.2 這個訪問源區域從utrust變成local 是基於什麼樣的一個機製想了解一下原理？

後續在FW1 和FW2中接口開啟了源進源出的配置 192.168.1.2 訪問 200.1.1.2 10022 端口正常查看會話也是utrust -trust

interface GigabitEthernet1/0/3

ip address 172.16.1.2 255.255.255.0

ip last-hop hold

組網及組網描述：

配置源進源出來後

最佳答案

早雷知我意_歲歲憶榮安

早雷知我意_歲歲憶榮安九段

粉絲：207人關注：0人

您好，開啟一下保持上一跳

沒開源進源出的時候為什麼 100.1.1.2 從公網繞一圈然後FW1-FW2-FW1 FW1 是怎麼樣的機製的把安全區域換成了local

果樹節發表時間：2024-04-07 更多>>

沒開源進源出的時候為什麼 100.1.1.2 從公網繞一圈然後FW1-FW2-FW1 FW1 是怎麼樣的機製的把安全區域換成了local

果樹節發表時間：2024-04-07

4 個回答

按時間按讚數

果樹節知了小白

粉絲：0人關注：1人

192.168.1.2 訪問 200.1.1.2 FW1設備上第一步SNAT 100.1.1.2 100.1.1.2- 200.1.1.2 公網流量走一圈然後到FW2 DNAT 100.1.1.2 訪問10.1.1.2 最後到FW1 設備我認為是這個會話100.1.1.2 訪問 10.1.1.2 應該是utrust -trust 但是由於 100.1.1.2 剛好是設備本地地址隻不過流量從外部繞一圈回來了，那麼設備FW1 是怎麼把100.2訪問 10.1.1.2 這個訪問源區域從utrust變成local 是基於什麼樣的一個機製想了解一下原理？

Admin 四段

粉絲：11人關注：0人

有點不太理解你的意思有無拓撲圖呢

拓撲如下所示：

zhiliao_lIB5S9 發表時間：2024-04-07 更多>>

有發的在樓下

果樹節發表時間：2024-04-07

拓撲如下所示：

zhiliao_lIB5S9 發表時間：2024-04-07

zhiliao_lIB5S9 知了小白

粉絲：0人關注：0人

拓撲如下所示：

回複Admin:

公網路由器nat會話都是正常的

果樹節發表時間：2024-04-07 更多>>

看這個拓撲我有一些疑問： 1.內網是否互通有路由直達到FW2？ 2.你的下一跳地址有無配置172.16.1.2 如果沒有他從外網訪問出去是正常的你的疑問是貌似有點矛盾（既然說從外部訪問就不會是local）

Admin 發表時間：2024-04-07

回複Admin:

ip policy-based-route aaa Policy name: aaa node 10 permit: if-match acl 3000 apply next-hop 172.16.1.1 FW1 走到fw2 是pbr

果樹節發表時間：2024-04-07

回複Admin:

pc 他從公網走了一圈然後訪問fw2上的dnat 最後流量返回 fw1 最後到web 開始沒有配置源進源出的時候會話就是有這個local 配置之後就變成了UTRUST

果樹節發表時間：2024-04-07

回複Admin:

公網路由器nat會話都是正常的

果樹節發表時間：2024-04-07

zhiliao_sEUyB 九段

粉絲：98人關注：11人

配置一下保持上一跳功能

是的就是配置了源進源出就正常了就是想了解一下沒配置之前防火牆機製是怎麼樣把流量源區域untrust轉為LOCAL區域的原理是

果樹節發表時間：2024-04-11 更多>>

是的就是配置了源進源出就正常了就是想了解一下沒配置之前防火牆機製是怎麼樣把流量源區域untrust轉為LOCAL區域的原理是

果樹節發表時間：2024-04-11

編輯答案

分享擴散:

➤

網站相關: 關於我們; 服務條款; 隱私政策; 幫助中心; 經驗與權限; 積分規則

聯係我們: 聯係我們; 建議反饋

常用鏈接: 標杆的神器下載

關注我們: H3C官網; BOB登陆服務公眾號; 安仔遠程運維服務; BOB登陆商城

內容許可: 除特別說明外，用戶內容均可采用知識共享署名-相同方式共享3.0中國大陸許可協議進行許可

Copyright©2026BOB登陆集團保留一切權利當前呈現版本 NO.1

本圖標版權歸BOB登陆集團所有，僅限本社區使用，切勿用做商業目的，違者必究

浙ICP備09064986號-1 浙公網安備 33010802004416號

✖

親~登錄後才可以操作哦!

確定

✖

親~檢測到您登陸的賬號未在http://hclhub.h3c.com進行注冊

注冊後可訪問此模塊

✖

你的郵箱還未認證，請認證郵箱或綁定手機後進行當前操作

✖

舉報

×

侵犯我的權益 >

對根叔社區有害的內容 >

辱罵、歧視、挑釁等（不友善）

侵犯我的權益

×

泄露了我的隱私 >

侵犯了我企業的權益 >

抄襲了我的內容 >

誹謗我 >

辱罵、歧視、挑釁等（不友善）

騷擾我

泄露了我的隱私

×

您好，當您發現根叔知了上有泄漏您隱私的內容時，您可以向根叔知了進行舉報。請您把以下內容通過郵件發送到pub.zhiliao@h3c.com 郵箱，我們會盡快處理。

1. 您認為哪些內容泄露了您的隱私？（請在郵件中列出您舉報的內容、鏈接地址，並給出簡短的說明）
2. 您是誰？（身份證明材料，可以是身份證或護照等證件）

侵犯了我企業的權益

×

您好，當您發現根叔知了上有關於您企業的造謠與誹謗、商業侵權等內容時，您可以向根叔知了進行舉報。請您把以下內容通過郵件發送到 pub.zhiliao@h3c.com 郵箱，我們會在審核後盡快給您答複。

1. 您舉報的內容是什麼？（請在郵件中列出您舉報的內容和鏈接地址）
2. 您是誰？（身份證明材料，可以是身份證或護照等證件）
3. 是哪家企業？（營業執照，單位登記證明等證件）
4. 您與該企業的關係是？（您是企業法人或被授權人，需提供企業委托授權書）

我們認為知名企業應該坦然接受公眾討論，對於答案中不準確的部分，我們歡迎您以正式或非正式身份在根叔知了上進行澄清。

抄襲了我的內容

×

原文鏈接或出處

誹謗我

×

您好，當您發現根叔知了上有誹謗您的內容時，您可以向根叔知了進行舉報。請您把以下內容通過郵件發送到pub.zhiliao@h3c.com 郵箱，我們會盡快處理。

1. 您舉報的內容以及侵犯了您什麼權益？（請在郵件中列出您舉報的內容、鏈接地址，並給出簡短的說明）
2. 您是誰？（身份證明材料，可以是身份證或護照等證件）

我們認為知名企業應該坦然接受公眾討論，對於答案中不準確的部分，我們歡迎您以正式或非正式身份在根叔知了上進行澄清。

對根叔社區有害的內容

×

垃圾廣告信息

色情、暴力、血腥等違反法律法規的內容

政治敏感

不規範轉載 >

辱罵、歧視、挑釁等（不友善）

騷擾我

誘導投票

不規範轉載

×

舉報說明